默认情况下，托管服务帐户具有“所有人：更改密码”ACE

Question

我使用Add-ADComputerServiceAccountcmdlet创建了一个服务帐户，并使用Install-ADServiceAccount. 在查看创建的服务帐户对象的 ACL 时，我注意到“Everyone”组具有为此对象分配的“更改密码”权限，而“SELF”神秘地没有：

这看起来像是一个安全问题和一个拒绝服务攻击向量。为什么会这样？有必要一直这样吗？

Answer 1

查看普通用户帐户的默认安全 ACL。您会注意到，每个人也都有更改密码。但是每个人都不能只是去更改彼此的密码。

请记住，更改密码和重置密码是两种不同的权限。更改密码是用户为自己做的事情，需要在此过程中提供当前密码。重置密码是由另一个用户以管理方式完成的，不需要当前密码。

编辑：不，我错了根本原因。Microsoft 文章KB242795更好地解释了获得许可的根本原因。

从文章：

每个人组对所有计算机和用户对象都具有更改密码权限，以便未经身份验证或“匿名”的用户或计算机能够在密码到期时更改其密码，而无需先进行身份验证。如果匿名用户被拒绝更改密码的能力，则用户将无法在不登录的情况下更改密码。