Glosario
Grupo Protected Users
Grupo integrado de Active Directory cuyos miembros reciben protecciones fijas: sin NTLM, sin delegación, sin credenciales en caché y con TGT de Kerberos cortos.
Protected Users es un grupo de seguridad global añadido en Windows Server 2012 R2. La pertenencia aplica protecciones que no pueden desactivarse por cuenta. En los clientes compatibles, las credenciales no se almacenan en caché (ni verificador de inicio de sesión en caché, ni texto sin cifrar de WDigest o CredSSP, ni claves Kerberos a largo plazo). Con un nivel funcional de dominio Windows Server 2012 R2 o superior, los miembros no pueden autenticarse con NTLM, no pueden usar DES ni RC4 en la autenticación previa de Kerberos, no pueden delegarse y reciben TGT válidos durante cuatro horas.
Está pensado para las cuentas privilegiadas de personas. Las cuentas de servicio y de equipo no deben ser miembros, porque las restricciones las dejan inoperativas. Los errores se registran en los registros Microsoft-Windows-Authentication de los controladores de dominio, que están deshabilitados de forma predeterminada y deben habilitarse.