Protected Users — группа Active Directory с дополнительными ограничениями для учётных записей. В поддерживаемой конфигурации запрещаются NTLM и слабые типы Kerberos, ограничиваются делегирование, кэширование и продление TGT. Эффект зависит от клиентской системы и условий домена. Массовое включение без проверки может нарушить вход и работу приложений.
Для чего нужна группа Protected Users в Windows?
Дополнительная защита доменных пользователей: ограничения NTLM, кэширования учётных данных и билетов Kerberos. Проверка совместимости перед включением.
Короткий ответ
Что ответить на собеседовании
Подробный разбор
Ответ с пояснениями
Protected Users уменьшает доступность повторно используемых учётных данных и ограничивает устаревшие способы аутентификации. Нужно различать защиту на устройстве пользователя и ограничения, применяемые контроллером домена: требования перечислены в документации Microsoft.
На поддерживаемых клиентах ограничивается кэширование учётных данных, в том числе для NTLM, Digest и CredSSP. Не создаётся кэшированный проверочный материал для автономного входа. Эти изменения начинают действовать при следующем входе пользователя.
На стороне соответствующим образом настроенного домена запрещаются NTLM, DES/RC4 в предварительной аутентификации Kerberos и делегирование. TGT ограничивается четырьмя часами и не продлевается за первоначальный срок. Доступность AES-ключей и требования к функциональному уровню домена необходимо проверить заранее.
Это не универсальная настройка для всех объектов каталога: группу не используют как замену модели прав и не следует добавлять в неё сервисные или компьютерные учётные записи: предусмотренная локальная защита для них не обеспечивается.
Перед включением составляют список зависимостей от NTLM, делегирования и автономного входа, проводят пилот на ограниченной группе и сохраняют проверенный аварийный способ администрирования. Членство само по себе не делает скомпрометированное устройство безопасным.