Machine Account Quota (MAQ) è un'impostazione di Active Directory che limita quanti account computer può creare per impostazione predefinita un non amministratore. In molti domini, ciò significa che un utente normale può aggiungere o creare un piccolo numero di oggetti macchina senza privilegi elevati. Questi oggetti non sono solo voci di inventario: sono security principal con password proprie, relazioni di trust e, in alcuni casi, privilegi utili.
MAQ è importante perché gli attaccanti spesso cercano modi poco complessi per ottenere un punto d'appoggio nell'infrastruttura di identità. Se MAQ è troppo permissivo, un account utente compromesso può creare oggetti macchina che aiutano nel movimento laterale, nell'abuso della delega o in altre catene di abuso di Active Directory. I difensori di solito riducono MAQ al valore più basso praticabile, monitorano la creazione insolita di account computer e verificano chi può aggiungere dispositivi al dominio. Impostazioni MAQ restrittive non fermano ogni attacco, ma rimuovono un percorso facile dall'accesso a livello utente verso forme più forti di abuso della directory.