Glossar
Gruppe Protected Users
Integrierte Active Directory-Gruppe, deren Mitglieder feste Schutzmaßnahmen erhalten: kein NTLM, keine Delegierung, kein Caching, kurze Kerberos-TGTs.
Protected Users ist eine globale Sicherheitsgruppe, die mit Windows Server 2012 R2 eingeführt wurde. Die Mitgliedschaft aktiviert Schutzmaßnahmen, die sich pro Konto nicht abschalten lassen. Auf unterstützten Clients werden Anmeldeinformationen nicht zwischengespeichert (kein Verifizierer für zwischengespeicherte Anmeldungen, kein Klartext für WDigest oder CredSSP, keine langfristigen Kerberos-Schlüssel). Ab der Domänenfunktionsebene Windows Server 2012 R2 können sich Mitglieder nicht per NTLM authentifizieren, bei der Kerberos-Vorauthentifizierung weder DES noch RC4 verwenden, nicht delegiert werden und erhalten TGTs mit einer Gültigkeit von vier Stunden.
Die Gruppe ist für privilegierte Konten von Personen gedacht. Dienst- und Computerkonten sollten keine Mitglieder sein, da die Einschränkungen sie funktionsunfähig machen. Fehlschläge werden auf Domänencontrollern in den Protokollen Microsoft-Windows-Authentication erfasst, die standardmäßig deaktiviert sind und aktiviert werden müssen.