KDC-Einstellungen Konfigurationseinstellungen für das Kerberos-Schlüsselverteilungscenter KDC Gesamtstruktur-Suchreihenfolge verwenden Mit dieser Richtlinieneinstellung wird die Liste vertrauender Gesamtstrukturen festgelegt, die beim Versuch des Auflösens von zweiteiligen Dienstprinzipalnamen (Service Principal Names, SPNs) des Schlüsselverteilungscenters (Key Distribution Center, KDC) durchsucht werden. Wenn Sie diese Richtlinieneinstellung aktivieren, durchsucht das KDC die Gesamtstrukturen in dieser Liste, wenn ein zweiteiliger SPN in der lokalen Gesamtstruktur nicht aufgelöst werden kann. Die Gesamtstruktur wird mithilfe eines globalen Katalogs oder mithilfe von Namensuffixhinweisen durchsucht. Wenn eine Übereinstimmung gefunden wird, gibt das KDC ein Referenzticket an den Client für die entsprechende Domäne zurück. Wenn Sie diese Richtlinieneinstellung deaktivieren oder nicht konfigurieren, durchsucht das KDC zum Auflösen des SPN die aufgeführten Gesamtstrukturen nicht. Wenn das KDC den SPN nicht auflösen kann, da der Name nicht gefunden wird, wird möglicherweise die NTLM-Authentifizierung verwendet. Um konsistentes Verhalten sicherzustellen, muss diese Richtlinieneinstellung von allen Domänencontrollern in der Domäne unterstützt werden und auf denselben Wert festgelegt sein. Informationen zu vorherigen Anmeldungen für Clientcomputer bereitstellen Mit dieser Richtlinieneinstellung wird gesteuert, ob der Domänencontroller Informationen zu vorherigen Anmeldungen für Clientcomputer bereitstellt. Wenn Sie diese Richtlinieneinstellung aktivieren, stellt der Domänencontroller eine Informationsmeldung zu vorherigen Anmeldungen bereit. Damit die Windows-Anmeldung dieses Feature nutzen kann, muss die Richtlinieneinstellung "Informationen zu vorherigen Anmeldungen bei der Benutzeranmeldung anzeigen" im Knoten "Windows-Anmeldeoptionen" unter "Windows-Komponenten" ebenfalls aktiviert sein. Wenn Sie diese Richtlinieneinstellung deaktivieren oder nicht konfigurieren, stellt der Domänencontroller nur dann Informationen zu vorherigen Anmeldungen bereit, wenn die Richtlinieneinstellung "Informationen zu vorherigen Anmeldungen bei der Benutzeranmeldung anzeigen" aktiviert ist. Hinweis: Damit Informationen zu vorherigen Anmeldungen bereitgestellt werden können, muss die Domänenfunktionsebene "Windows Server 2008" lauten. Domänencontroller in Domänen mit der Domänenfunktionsebene "Windows Server 2003", "Windows 2000 einheitlich" oder "Windows 2000 gemischt" können keine Informationen zu vorherigen Anmeldungen bereitstellen, und das Aktivieren dieser Richtlinieneinstellung hat keine Auswirkung. Unterstützung des Kerberos-Domänencontrollers für Ansprüche, Verbundauthentifizierung und Kerberos-Schutz Mit dieser Richtlinieneinstellung können Sie einen Domänencontroller für die Unterstützung von Ansprüchen, der Verbundauthentifizierung für die dynamische Zugriffssteuerung (Dynamic Access Control, DAC) und den Kerberos-Schutz durch Verwendung der Kerberos-Authentifizierung konfigurieren. Wenn Sie diese Richtlinieneinstellung aktivieren, verwenden Clientcomputer, von denen Ansprüche, Verbundauthentifizierung für DAC und Kerberos-Schutz unterstützt werden, dieses Feature für Kerberos-Authentifizierungsmeldungen. Diese Richtlinie sollte für alle Domänencontroller angewendet werden, um eine konsistente Anwendung dieser Richtlinie innerhalb der Domäne sicherzustellen. Wenn Sie diese Richtlinieneinstellung deaktivieren oder nicht konfigurieren, werden Ansprüche, Verbundauthentifizierung und Kerberos-Schutz nicht vom Domänencontroller unterstützt. Wenn Sie die Option "Nicht unterstützt" konfigurieren, werden Ansprüche, Verbundauthentifizierung und Kerberos-Schutz nicht vom Domänencontroller unterstützt. Dabei handelt es sich um das Standardverhalten für Domänencontroller unter Windows Server 2008 R2 oder Vorgängerbetriebssystemen. Hinweis: Damit die folgenden Optionen dieser KDC-Richtlinie wirksam werden, muss die Kerberos-Gruppenrichtlinie "Unterstützung des Kerberos-Clients für Ansprüche, Verbundauthentifizierung und Kerberos-Schutz" auf unterstützten Systemen aktiviert werden. Wenn die Kerberos-Richtlinieneinstellung nicht aktiviert wird, werden diese Features nicht von Kerberos-Authentifizierungsmeldungen verwendet. Wenn Sie "Unterstützt" konfigurieren, unterstützt der Domänencontroller Ansprüche, Verbundauthentifizierung und Kerberos-Schutz. Der Domänencontroller teilt Kerberos-Clientcomputern mit, dass die Domäne Ansprüche und Verbundauthentifizierung für die dynamische Zugriffssteuerung (DAC) sowie den Kerberos-Schutz unterstützt. Anforderungen der Domänenfunktionsebene Wenn die Domänenfunktionsebene auf Windows Server 2008 R2 oder eine frühere Version festgelegt wird, verhalten sich Domänencontroller bei den Optionen "Immer Ansprüche liefern" und "Ungeschützte Authentifizierungsanfragen ablehnen", als wäre die Option "Unterstützt" ausgewählt. Wenn Sie die Domänenfunktionsebene auf Windows Server 2012 festlegen, teilt der Domänencontroller den Kerberos-Clientcomputern mit, dass von der Domäne Ansprüche, Verbundauthentifizierung für die dynamische Zugriffssteuerung und Kerberos-Schutz unterstützt wird. Außerdem gilt Folgendes: - Falls Sie die Option "Immer Ansprüche liefern" festlegen, werden immer Ansprüche für Konten zurückgegeben, und das RFC-Verhalten für die Ankündigung der flexiblen Authentifizierung über Secure Tunneling (FAST) wird unterstützt. - Wenn Sie die Option "Ungeschützte Authentifizierungsanfragen ablehnen" aktivieren, werden ungeschützte Kerberos-Meldungen abgelehnt. Warnung: Wenn "Ungeschützte Authentifizierungsanfragen ablehnen" aktiviert ist, können sich Clientcomputer, die den Kerberos-Schutz nicht unterstützen, nicht am Domänencontroller authentifizieren. Damit dieses Feature wirksam ist, muss eine ausreichende Anzahl an Domänencontrollern bereitgestellt werden, von denen Ansprüche, Verbundauthentifizierung und Kerberos-Schutz unterstützt werden, um die Authentifizierungsanforderungen zu verarbeiten. Wenn zu wenig Domänencontroller vorhanden sind, die diese Richtlinie unterstützen, führt dies zu Authentifizierungsfehlern, sobald DAC oder der Kerberos-Schutz benötigt wird (d. h. die Option "Unterstützt" ist deaktiviert). Auswirkung auf die Domänencontrollerleistung, wenn diese Richtlinieneinstellung aktiviert ist: - Das sichere Festellen der Kerberos-Domänenfunktion ist erforderlich und führt zum Austausch zusätzlicher Meldungen. - Ansprüche und Verbundauthentifizierung für die dynamische Zugriffssteuerung erhöhen die Größe und Komplexität der in der Meldung enthaltenen Daten, was die Verarbeitungszeit verlängert und das Kerberos-Dienstticket vergrößert. - Kerberos-Meldungen werden vom Kerberos-Schutz vollständig verschlüsselt und Kerberos-Fehler signiert. Dies führt zu einer längeren Verarbeitungszeit, dadurch wird jedoch nicht die Größe des Diensttickets verändert. Nicht unterstützt Unterstützt Immer Ansprüche liefern Ungeschützte Authentifizierungsanfragen ablehnen Warnung für große Kerberos-Tickets Mit dieser Richtlinieneinstellung können Sie konfigurieren, bei welcher Größe Kerberos-Tickets das während der Kerberos-Authentifizierung ausgegebene Warnungsereignis auslösen. Die Warnungen für die Ticketgröße werden im Systemprotokoll aufgezeichnet. Wenn Sie diese Richtlinieneinstellung aktivieren, können Sie den Schwellenwert für Kerberos-Tickets festlegen, bei dem Warnungsereignisse ausgelöst werden. Wenn Sie einen zu hohen Wert festlegen, treten möglicherweise Authentifizierungsfehler auf, auch wenn keine Warnungsereignisse protokolliert werden. Wenn Sie einen zu niedrigen Wert festlegen, kann dies zu sehr vielen Ticketwarnungen im Protokoll führen, was die Analyse möglicherweise erschwert. Für diesen Wert sollte der gleiche Wert wie für die Kerberos-Richtlinie "Maximale Puffergröße für Kerberos-SSPI-Kontexttoken festlegen" oder für den kleinsten in Ihrer Umgebung für "MaxTokenSize" verwendeten Wert festgelegt werden, falls für die Konfiguration keine Gruppenrichtlinie verwendet wird. Wenn Sie diese Richtlinieneinstellung deaktivieren oder nicht konfigurieren, nimmt der Schwellenwert den Standardwert von 12.000 Byte an, was der Standardgröße für Kerberos-MaxTokenSize für Windows 7, Windows Server 2008 R2 und früheren Versionen entspricht. Verbundauthentifizierung anfordern Mit dieser Richtlinieneinstellung können Sie einen Domänencontroller so konfigurieren, dass die Verbundauthentifizierung angefordert wird. Hinweis: Damit ein Domänencontroller die Verbundauthentifizierung anfordern kann, muss die Richtlinie "KDC-Unterstützung für Ansprüche, Verbundauthentifizierung und Kerberos Armoring" konfiguriert und aktiviert sein. Wenn Sie diese Richtlinieneinstellung aktivieren, fordern Domänencontroller die Verbundauthentifizierung an. Das zurückgegebene Dienstticket enthält nur Verbundauthentifizierungsdaten, wenn das Konto explizit dafür konfiguriert ist. Diese Richtlinie sollte für alle Domänencontroller angewendet werden, um eine konsistente Anwendung dieser Richtlinie innerhalb der Domäne sicherzustellen. Wenn Sie diese Richtlinieneinstellung deaktivieren oder nicht konfigurieren, geben Domänencontroller unabhängig von der Kontokonfiguration immer Diensttickets zurück, die Verbundauthentifizierungsdaten enthalten, wenn der Client eine Verbundauthentifizierungsanforderung sendet. KDC-Unterstützung für PKInit Freshness Extension Zur Unterstützung von PKInit Freshness Extension ist eine Windows Server 2016-Domänenfunktionsebene erforderlich. Wenn die Domäne des Domänencontrollers keine Windows Server 2016-Domänenfunktionsebene (oder höher) ist, wird die Richtlinie nicht angewendet. Mit dieser Richtlinieneinstellung kann ein Domänencontroller (DC) für die Unterstützung von PKInit Freshness Extension konfiguriert werden. Wenn Sie die Richtlinieneinstellung aktivieren, werden die folgenden Optionen unterstützt: Unterstützt: PKInit Freshness Extension wird auf Anforderung unterstützt. Kerberos-Clients, die erfolgreich mit PKInit Freshness Extension authentifiziert werden, erhalten die Identitäts-SID für den öffentlichen Schlüssel von Freshness. Erforderlich: PKInit Freshness Extension ist für die erfolgreiche Authentifizierung erforderlich. Kerberos-Clients, die PKInit Freshness Extension nicht unterstützen, verursachen bei der Verwendung von Anmeldeinformationen mit öffentlichem Schlüssel immer einen Fehler. Wenn Sie die Richtlinieneinstellung deaktivieren oder nicht konfigurieren, bietet der DC PKInit Freshness Extension nie an und akzeptiert gültige Authentifizierungsanforderungen ohne Freshness-Überprüfung. Benutzer empfangen nie die Identitäts-SID für den öffentlichen Schlüssel von Freshness. Deaktiviert Unterstützt Erforderlich Namensbasierte starke Zuordnungen für Zertifikate zulassen Diese Richtlinieneinstellung ermöglicht die Verwendung alternativer, namensbasierter Bezeichner, um ausgestellte Zertifikate eindeutig Active Directory-Benutzerkonten zuzuordnen, und gibt an, welche Zertifikate welchen Konten zugeordnet werden. Wenn diese Einstellung nicht aktiviert ist, müssen Zertifikate die in aka.ms/StrongCertMapKB angegebenen Kriterien für die „starke Zuordnung“ erfüllen, die im Allgemeinen keine namensbasierten Bezeichner zulassen. Jede in dieser Richtlinie angegebene Zuordnung muss eine Richtlinien-OID zusammen mit einem IssuerSubject und/oder einem UPN-Suffix enthalten, wobei die unten angegebene Syntax verwendet wird. Wenn in dieser Richtlinie keine gültige Zuordnung für ein bestimmtes Zertifikat gefunden werden kann, versucht Active Directory anhand der vorhandenen starken Zuordnungskriterien, die in KB5014754 angegeben sind, eine Übereinstimmung zu finden. Zertifikatszuordnungen, die weder den Kriterien für „starke Namenszuordnung“ (diese Richtlinie) noch den vorhandenen Kriterien für „starke Zuordnung“ entsprechen, werden für die Authentifizierung als ungültig betrachtet. Das allgemeine Richtlinienformat und einige Beispiele sind unten aufgeführt. Diese Richtlinie gilt nur für Active Directory-Benutzerkonten. Allgemeine Syntax ============== <thumbprint>; <list of oids>; <name-match methods> Beispiele ============== IssuerThumbprint1; oid1, oid2, oid3; UpnSuffix=domain.com IssuerThumbprint2; oid1; UpnSuffix=domain.com, UpnSuffix=other.domain.com, IssuerSubject IssuerThumbprint3; oid1, oid2; IssuerSubject Die Richtlinie muss genau einen Zertifikatfingerabdruck pro Regel enthalten, wobei jede Regel als Tupel dargestellt wird. Fingerabdrücke müssen eindeutig sein und dürfen nicht in mehreren Regeln wiederholt werden. Die Abschnitte jedes Tupels, die durch Semikolons getrennt sind, müssen in der angegebenen Reihenfolge stehen, während die durch Kommas getrennten Felder in beliebiger Reihenfolge stehen können. Die Regeln selbst werden durch Zeilenumbrüche getrennt. Modus: Zu durchsuchende Gesamtstrukturen Syntax: Geben Sie die Liste der Gesamtstrukturen ein, die bei aktivierter Richtlinie durchsucht werden sollen. Verwenden Sie das Namensformat für vollqualifizierte Domänennamen (Fully Qualified Domain Name, FQDN). Trennen Sie mehrere Sucheinträge durch ein Semikolon (";"). Details: Die aktuelle Gesamtstruktur muss nicht aufgelistet werden, da die Gesamtstruktur-Suchreihenfolge zunächst den globalen Katalog verwendet und dann in der aufgelisteten Reihenfolge sucht. Sie müssen nicht alle Domänen in der Gesamtstruktur separat auflisten. Wenn eine vertrauende Gesamtstruktur aufgeführt ist, werden alle Domänen in der Gesamtstruktur durchsucht. Um eine optimale Leistung zu erzielen, führen Sie die Gesamtstrukturen nach der höchsten Wahrscheinlichkeit für eine erfolgreiche Suche auf. Optionen für Ansprüche, Verbundauthentifizierung für die dynamische Zugriffssteuerung und Kerberos-Schutz: Schwellenwert für die Ticketgröße PKInit Freshness Extension-Optionen: Übereinstimmungsregeln für starke Namen: