Glossaire
Groupe Protected Users
Groupe Active Directory intégré dont les membres reçoivent des protections non configurables : pas de NTLM, pas de délégation, pas d'identifiants en cache et des TGT Kerberos de courte durée.
Protected Users est un groupe de sécurité global ajouté avec Windows Server 2012 R2. L'appartenance à ce groupe applique des protections qui ne peuvent pas être désactivées compte par compte. Sur les clients pris en charge, les identifiants ne sont pas mis en cache (pas de vérificateur d'ouverture de session en cache, pas de texte clair WDigest ou CredSSP, pas de clés Kerberos à long terme). Au niveau fonctionnel de domaine Windows Server 2012 R2 ou supérieur, les membres ne peuvent pas s'authentifier avec NTLM, ne peuvent pas utiliser DES ou RC4 pour la pré-authentification Kerberos, ne peuvent pas être délégués et reçoivent des TGT valables quatre heures.
Il est destiné aux comptes privilégiés utilisés par des personnes. Les comptes de service et d'ordinateur ne doivent pas en être membres, car ces restrictions les empêchent de fonctionner. Les échecs sont consignés dans les journaux Microsoft-Windows-Authentication des contrôleurs de domaine, désactivés par défaut et qu'il faut activer.
Voir Modèle en tiers et Protected Users dans Active Directory.