Machine Account Quota è un'impostazione del dominio Active Directory che limita quanti account computer può creare un utente normale. In molti ambienti, il valore predefinito è 10, il che significa che un utente non amministratore può aggiungere o creare un numero limitato di macchine nel dominio senza privilegi speciali.
Questa impostazione è importante perché ogni account computer è un'identità con attendibilità Kerberos e attributi di directory che possono essere abusati se gli altri controlli sono deboli. Gli attaccanti possono creare un account macchina come punto d'appoggio, quindi usarlo in catene di delega, autenticazione o escalation dei privilegi quando le autorizzazioni sono configurate in modo errato. I difensori spesso riducono la quota a 0, delegano l'aggiunta di macchine solo a gruppi specifici e monitorano la creazione insolita di account computer, soprattutto account che non corrispondono ai normali schemi di denominazione o provisioning. In pratica, Machine Account Quota è un piccolo valore predefinito che può diventare un utile punto di passaggio negli attacchi basati sull'identità.