Kerberos-Einstellungen Konfigurationseinstellungen für das Kerberos-Authentifizierungsprotokoll. Kerberos Gesamtstruktur-Suchreihenfolge verwenden Mit dieser Richtlinieneinstellung wird die Liste vertrauender Gesamtstrukturen definiert, die der Kerberos-Client beim Versuch, zweiteilige Dienstprinzipalnamen aufzulösen, durchsucht. Wenn Sie diese Richtlinieneinstellung aktivieren, durchsucht der Kerberos-Client die Gesamtstrukturen in dieser Liste, wenn er einen zweiteiligen Dienstprinzipalnamen nicht auflösen kann. Wenn eine Übereinstimmung gefunden wird, fordert der Kerberos-Client ein Verweisticket zur geeigneten Domäne an. Wenn Sie diese Richtlinieneinstellung deaktivieren oder nicht konfigurieren, werden die aufgelisteten Gesamtstrukturen vom Kerberos-Clients nicht zur Auflösung des Dienstprinzipalnamens durchsucht. Wenn der Kerberos-Client den Dienstprinzipalnamen nicht auflösen kann, da er nicht gefunden wird, kann die NTLM-Authentifizierung verwendet werden. Zuordnungen von Hostnamen zu Kerberosbereichen definieren Mit dieser Richtlinieneinstellung können Sie festlegen, welche DNS-Hostnamen und DNS-Suffixe einem Kerberos-Bereich zugeordnet werden. Wenn Sie diese Richtlinieneinstellung aktivieren, können Sie die Liste der DNS-Hostnamen und DNS-Suffixe anzeigen und ändern, die einem Kerberos-Bereich gemäß der Gruppenrichtlinie zugeordnet sind. Wenn Sie die Zuordnungsliste anzeigen möchten, aktivieren Sie die Richtlinieneinstellung, und klicken Sie dann auf die Schaltfläche "Anzeigen". Wenn Sie eine Zuordnung hinzufügen möchten, aktivieren Sie die Richtlinieneinstellung, notieren sich die Syntax, und klicken Sie dann auf "Anzeigen". Geben Sie im Dialogfeld "Inhalt anzeigen" in der Spalte "Wertname" einen Bereichsnamen ein. Geben Sie in der Spalte "Wert" die Liste der DNS-Hostnamen und DNS-Suffixe im richtigen Syntaxformat ein. Wenn Sie eine Zuordnung aus der Liste entfernen möchten, klicken Sie auf den zu entfernenden Zuordnungseintrag, und drücken Sie dann ENTF. Wenn Sie eine Zuordnung bearbeiten möchten, entfernen Sie den aktuellen Eintrag aus der Liste, und fügen Sie einen neuen Eintrag mit anderen Parametern hinzu. Wenn Sie diese Richtlinieneinstellung deaktivieren, wird die von der Gruppenrichtlinie definierte Liste der Zuordnungen von Hostnamen zu Kerberos-Bereichen gelöscht. Wenn Sie diese Richtlinieneinstellung nicht konfigurieren, verwendet das System die Zuordnungen von Hostnamen zu Kerberos-Bereichen, die in der lokalen Registrierung definiert sind, sofern vorhanden. Interoperable Kerberos-V5-Bereichseinstellungen definieren Diese Richtlinieneinstellung konfiguriert den Kerberos-Client so, dass er eine Authentifizierung mit interoperablen Kerberos V5-Bereichen durchführen kann, wie durch diese Richtlinieneinstellung definiert. Wenn Sie diese Richtlinieneinstellung aktivieren, können Sie die Liste der interoperablen Kerberos V5-Bereiche und ihre Einstellungen anzeigen und ändern. Um die Liste der interoperablen Kerberos V5-Bereiche anzuzeigen, aktivieren Sie die Richtlinieneinstellung und klicken auf die Schaltfläche "Anzeigen". Um einen interoperablen Kerberos V5-Bereich hinzuzufügen, aktivieren Sie die Richtlinieneinstellung, notieren sich die Syntax und klicken auf "Anzeigen". Geben Sie im Dialogfeld "Inhalt anzeigen" in der Spalte "Wertname" den Namen des interoperablen Kerberos V5-Bereichs ein. Geben Sie in der Spalte "Wert" die Bereichskennzeichen und Hostnamen der Host-KDCs im richtigen Syntaxformat ein. Um den Eintrag "Wertname" oder "Wert" eines interoperablen Kerberos V5-Bereichs aus der Liste zu entfernen, klicken Sie auf den Eintrag und drücken die Taste ENTF. Wenn Sie eine Zuordnung bearbeiten möchten, entfernen Sie den aktuellen Eintrag aus der Liste, und fügen Sie einen neuen Eintrag mit anderen Parametern hinzu. Wenn Sie diese Richtlinieneinstellung deaktivieren, werden die von der Gruppenrichtlinie definierten interoperablen Kerberos V5-Bereichseinstellungen gelöscht. Wenn Sie diese Richtlinieneinstellung nicht konfigurieren, verwendet das System die Einstellungen für den interoperablen Kerberos V5-Bereich, die in der lokalen Registrierung definiert sind, sofern vorhanden. Strenge KDC-Überprüfung voraussetzen Diese Richtlinieneinstellung steuert das Verhalten des Kerberos-Clients bei der Überprüfung des KDC-Zertifikats für die Smart Card- und Systemzertifikatanmeldung. Wenn Sie diese Richtlinieneinstellung aktivieren, setzt der Kerberos-Client voraus, dass das X.509-Zertifikat des KDCs in den EKU-Erweiterungen (Extended Key Usage) die KDC-Schlüsselzweck-Objekt-ID und das X.509-Zertifikat des KDCs eine dNSName subjectAltName-(SAN-)Erweiterung vom Typ "dNSName" enthält, die mit dem DNS-Namen der Domäne übereinstimmt. Wenn der Computer einer Domäne angehört, setzt der Kerberos-Client voraus, dass das X.509-Zertifikat des KDCs von einer Zertifizierungsstelle im NTAuth-Speicher signiert ist. Wenn der Computer keiner Domäne angehört, erlaubt der Kerberos-Client bei der Pfadüberprüfung des X.509-Zertifikats des KDCs die Verwendung des Stamm-Zertifizierungsstellenzertifikats für die Smartcard. Wenn Sie diese Richtlinieneinstellung deaktivieren oder nicht konfigurieren, setzt der Kerberos-Client nur voraus, dass das KDC-Zertifikat in den EKU-Erweiterungen die Serverauthentifizierungs-Zweckobjekt-ID enthält, die für alle Server ausgestellt werden kann. Strenge Übereinstimmung mit Ziel-Dienstprinzipalnamen bei Remoteprozeduraufrufen anfordern Mit dieser Richtlinieneinstellung können Sie diesen Server so konfigurieren, dass Kerberos ein Ticket, das den vom System generierten Dienstprinzipalnamen enthält, entschlüsseln kann. Wenn eine Anwendung versucht, einen Remoteprozeduraufruf mit einem NULL-Wert für den Dienstprinzipalnamen an diesen Server zu senden, versuchen Computer unter Windows 7 oder höher, Kerberos zu verwenden, indem sie einen Dienstprinzipalnamen generieren. Wenn Sie diese Richtlinieneinstellung aktivieren, sind nur die als LocalSystem oder NetworkService ausgeführten Dienste zur Annahme dieser Verbindungen berechtigt. Bei Diensten, die nicht als LocalSystem oder NetworkService ausgeführt werden, kann ein Authentifizierungsfehler auftreten. Wenn Sie diese Richtlinieneinstellung deaktivieren oder nicht konfigurieren, ist jeder Dienst berechtigt, eingehende Verbindungen unter Verwendung des vom System generierten Dienstprinzipalnamens anzunehmen. KDC-Proxy-Server für Kerberos-Client angeben Mit dieser Richtlinieneinstellung wird die Zuordnung des Kerberos-Clients zu KDC-Proxyservern für Domänen basierend auf ihren DNS-Suffixnamen konfiguriert. Wenn Sie diese Richtlinieneinstellung aktivieren, wird vom Kerberos-Client der KDC-Proxyserver für eine Domäne verwendet, wenn auf Basis der konfigurierten Zuordnungen kein Domänencontroller gefunden werden kann. Aktivieren Sie zum Zuordnen eines KDC-Proxyservers zu einer Domäne die Richtlinieneinstellung, klicken Sie auf "Anzeigen", und weisen Sie dann dem DNS-Namen für die Domäne den KDC-Proxyservernamen zu. Verwenden Sie dazu die im Optionsbereich beschriebene Syntax. Geben Sie im Dialogfeld "Inhalt anzeigen" in der Spalte "Wertname" einen DNS-Suffixnamen ein. Geben Sie in der Spalte "Wert" die Liste der Proxy-Server im richtigen Syntaxformat ein. Wenn Sie die Zuordnungsliste anzeigen möchten, aktivieren Sie die Richtlinieneinstellung, und klicken Sie dann auf die Schaltfläche "Anzeigen". Wenn Sie eine Zuordnung aus der Liste entfernen möchten, klicken Sie auf den zu entfernenden Zuordnungseintrag, und drücken Sie dann ENTF. Wenn Sie eine Zuordnung bearbeiten möchten, entfernen Sie den aktuellen Eintrag aus der Liste, und fügen Sie einen neuen Eintrag mit anderen Parametern hinzu. Wenn Sie diese Richtlinieneinstellung deaktivieren oder nicht konfigurieren, haben Kerberos-Clients keine über die Gruppenrichtlinien definierten KDC-Proxy-Servereinstellungen. Sperrenüberprüfung für das SSL-Zertifikat von KDC-Proxy-Servern deaktivieren Mit dieser Richtlinieneinstellung können Sie die Sperrprüfung für das SSL-Zertifikat des KDC-Proxy-Zielservers deaktivieren. Wenn Sie diese Richtlinieneinstellung aktivieren, ignoriert der Kerberos-Client die Sperrprüfung für das SSL-Zertifikat des KDC-Proxy-Servers. Diese Richtlinieneinstellung sollte nur zur Behandlung von Problemen mit KDC-Proxy-Verbindungen verwendet werden. Warnung: Wenn die Sperrprüfung ignoriert wird, kann nicht garantiert werden, dass der durch das Zertifikat repräsentierte Server gültig ist. Wenn Sie diese Richtlinieneinstellung deaktivieren oder nicht konfigurieren, erzwingt der Kerberos-Client die Sperrprüfung für das SSL-Zertifikat. Wenn die Sperrenüberprüfung fehlschlägt, wird keine Verbindung zum KDC-Proxy-Server hergestellt. Authentifizierungsanfragen mit einem Fehler abbrechen, wenn kein Kerberos-Schutz verfügbar ist Diese Richtlinieneinstellung legt fest, ob der Nachrichtenaustausch zwischen dem Computer und Kerberos bei der Kommunikation mit einem Domänencontroller geschützt sein muss. Warnung: Wenn eine Domäne den Kerberos-Schutz nicht durch die Aktivierung von "Dynamische Zugriffssteuerung und Kerberos-Schutz unterstützen" unterstützt, schlagen alle Authentifizierungen für alle Benutzer von Computern fehl, auf denen diese Richtlinieneinstellung aktiviert ist. Wenn Sie diese Richtlinieneinstellung aktivieren, erzwingen die Clientcomputer in der Domäne die Verwendung des Kerberos-Schutzes nur beim Nachrichtenaustausch zwischen Authentifizierungsdienst (AS) und Ticket-Granting Service (TGS) mit den Domänencontrollern. Hinweis: Die Kerberos-Gruppenrichtlinie "Unterstützung des Kerberos-Clients für Ansprüche, Verbundauthentifizierung und Kerberos-Schutz" muss ebenfalls aktiviert sein, um den Kerberos-Schutz zu unterstützen. Wenn Sie diese Richtlinieneinstellung deaktivieren oder nicht konfigurieren, erzwingen die Clientcomputer in der Domäne die Verwendung des Kerberos-Schutzes, sofern dies möglich ist, weil er von der Zieldomäne unterstützt wird. Verbundauthentifizierung unterstützen Mit dieser Richtlinieneinstellung können Sie die Konfiguration des Active Directory-Kontos des Geräts für die Verbundauthentifizierung steuern. Um die Bereitstellung der Verbundauthentifizierung für die Zugriffssteuerung zu unterstützen, ist in den Ressourcenkontodomänen eine ausreichende Anzahl Domänencontroller erforderlich, von denen die Anfragen unterstützt werden. Der Domänenadministrator muss auf allen Domänencontrollern die Richtlinieneinstellung "Dynamische Zugriffssteuerung und Kerberos-Schutz unterstützen" konfigurieren, um diese Richtlinie zu unterstützen. Wenn Sie diese Richtlinieneinstellung aktivieren, wird das Active Directory-Konto des Geräts für die Verbundauthentifizierung anhand folgender Optionen konfiguriert: Nie: Verbundauthentifizierung wird für dieses Computerkonto nie bereitgestellt. Automatisch: Verbundauthentifizierung wird für dieses Computerkonto bereitgestellt, wenn Anwendungen für die dynamische Zugriffssteuerung konfiguriert sind. Immer: Verbundauthentifizierung wird für dieses Computerkonto immer bereitgestellt. Wenn Sie diese Richtlinieneinstellung deaktivieren, wird die Option "Nie" verwendet. Wenn Sie diese Richtlinieneinstellung nicht konfigurieren, wird die Option "Automatisch" verwendet. Nie Automatisch Immer Maximale Puffergröße für Kerberos-SSPI-Kontexttoken festlegen Mit dieser Richtlinieneinstellung können Sie den Wert festlegen, der an Anwendungen zurückgegebenen wird, die die maximale Größe des Puffers des SSPI-Kontexttokens anfordern. Die Größe des Kontexttokenpuffers bestimmt die maximale Größe des von einer Anwendung erwarteten und zugeteilten SSPI-Kontexttokens. Abhängig von der Authentifizierungsanforderungverarbeitung und den Gruppenmitgliedschaften, kann der Puffer kleiner sein, als die tatsächliche Größe des SSPI-Kontexttokens. Wenn Sie diese Gruppenrichtlinieneinstellung aktivieren, verwendet der Kerberos-Client oder -Server den konfigurierten Wert oder den lokal zulässigen Maximalwert, je nachdem, welcher kleiner ist. Wenn Sie diese Gruppenrichtlinieneinstellung deaktivieren oder nicht konfigurieren, verwendet der Kerberos-Client oder -Server den lokal konfigurierten Wert oder den Standardwert. Hinweis: Diese Richtlinieneinstellung konfiguriert den bestehenden MaxTokenSize-Registrierungswert unter "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\Kerberos\Parameters", der unter Windows XP und Windows Server 2003 hinzugefügt wurde, mit einem Standardwert von 12.000 Byte. Ab Windows 8 liegt der Standardwert bei 48.000 Byte. Aufgrund der Base64-Kodierung des Authentifizierungskontexttokens von HTTP, ist es nicht ratsam, einen Wert von über 48.000 Byte festzulegen. Unterstützung des Kerberos-Clients für Ansprüche, Verbundauthentifizierung und Kerberos-Schutz Mit dieser Richtlinieneinstellung steuern Sie, ob ein Gerät Ansprüche, Verbundauthentifizierung für die dynamische Zugriffssteuerung und den Kerberos-Schutz mithilfe der Kerberos-Authentifizierung bei Domänen anfordert, von denen diese Features unterstützt werden. Wenn Sie diese Richtlinieneinstellung aktivieren, fordern die Clientcomputer Ansprüche an, stellen zum Erstellen der Verbundauthentifizierung erforderliche Informationen bereit und schützen Kerberos-Meldungen in Domänen, von denen Ansprüche, Verbundauthentifizierung für die dynamische Zugriffssteuerung und den Kerberos-Schutz unterstützt werden. Wenn Sie diese Richtlinieneinstellung deaktivieren oder nicht konfigurieren, werden vom Clientgerät keine Ansprüche angefordert, keine zum Erstellen der Verbundauthentifizierung erforderlichen Informationen bereitgestellt und Kerberos-Meldungen nicht geschützt. Von auf dem Gerät gehosteten Diensten können keine Ansprüche für Clients abgerufen werden, die den Kerberos-Protokollübergang verwenden. Verbundauthentifizierung immer zuerst senden Mit dieser Richtlinieneinstellung wird gesteuert, ob ein Gerät immer eine Verbundauthentifizierungsanforderung sendet, wenn die Ressourcendomäne eine Verbundidentität anfordert. Hinweis: Damit ein Domänencontroller die Verbundauthentifizierung anfordern kann, müssen in der Ressourcenkontodomäne die Richtlinien "KDC-Unterstützung für Ansprüche, Verbundauthentifizierung und Kerberos Armoring" und "Verbundauthentifizierung anfordern" konfiguriert und aktiviert sein. Wenn Sie diese Richtlinieneinstellung aktivieren und die Ressourcendomäne die Verbundauthentifizierung anfordert, senden Geräte, die die Verbundauthentifizierung unterstützen, immer eine Verbundauthentifizierungsanforderung. Wenn Sie diese Richtlinieneinstellung deaktivieren oder nicht konfigurieren und die Ressourcendomäne die Verbundauthentifizierung anfordert, senden Geräte zunächst eine Nicht-Verbundauthentifizierungsanforderung. Wenn der Dienst eine Verbundauthentifizierung anfordert, wird anschließend eine Verbundauthentifizierungsanforderung gesendet. Geräteauthentifizierung mittels Zertifikat unterstützen Die Unterstützung der Geräteauthentifizierung mittels Zertifikat erfordert eine Verbindung mit einem DC in der Gerätekontodomäne, die die Zertifikatauthentifizierung für Computerkonten unterstützt. Mit dieser Richtlinieneinstellung können Sie die Unterstützung für Kerberos festlegen, um das Gerät mithilfe des Zertifikats bei der Domäne zu authentifizieren. Wenn Sie diese Richtlinieneinstellung aktivieren, werden die Geräteanmeldeinformationen basierend auf den folgenden Optionen ausgewählt: Automatisch: Das Gerät versucht, sich mithilfe des Zertifikats zu authentifizieren. Wenn der DC keine Computerkontoauthentifizierung mittels Zertifikat unterstützt, wird versucht, die Authentifizierung mithilfe des Kennworts durchzuführen. Erzwingen: Das Gerät wird immer mithilfe seines Zertifikats authentifiziert. Wenn kein DC gefunden wird, der die Computerkontoauthentifizierung mithilfe von Zertifikaten unterstützt, tritt ein Authentifizierungsfehler auf. Wenn Sie die Richtlinieneinstellung deaktivieren, werden nie Zertifikate verwendet. Wenn Sie diese Richtlinieneinstellung nicht konfigurieren, wird die Option "Automatisch" verwendet. Automatisch Erzwingen Abrufen des Cloud-Kerberos-Tickets während der Anmeldung zulassen Diese Richtlinien Einstellung ermöglicht das Abrufen des Cloud-Kerberos-Tickets während der Anmeldung. Wenn Sie diese Richtlinien Einstellung deaktivieren oder nicht konfigurieren, wird das cloudkerberos-Ticket während der Anmeldung nicht abgerufen. Wenn Sie diese Richtlinien Einstellung aktivieren, wird das cloudkerberos-Ticket während der Anmeldung abgerufen. Zuordnungen von Hostnamen zu Bereichen definieren: Syntax: Geben Sie den Kerberosbereichsnamen als Wertnamen ein. Geben Sie unter "Wert" die Hostnamen und die DNS-Suffixe ein, die Sie dem Kerberosbereich zuordnen möchten. Um mehrere Namen hinzuzufügen, trennen Sie die Einträge durch ein Semikolon (;). Hinweis: Um ein DNS-Suffix anzugeben, geben Sie vor dem Eintrag einen Punkt (.) ein. Bei einem Hostnameneintrag geben Sie keinen Punkt (.) vor dem Eintrag ein. Beispiel: Wertname: MICROSOFT.COM Wert: .microsoft.com; .ms.com; computer1.fabrikam.com; Im obigen Beispiel werden alle Prinzipale mit dem DNS-Suffix *.microsoft.com oder *.ms.com dem Kerberosbereich MICROSOFT.COM zugeordnet. Außerdem wird der Hostname "computer1.fabrikam.com" ebenfalls dem Kerberosbereich MICROSOFT.COM zugeordnet. Interoperable Kerberos-V5-Bereichseinstellungen definieren: Syntax: Geben Sie den interoperablen Kerberos V5-Bereichsnamen als Wertnamen ein. Geben Sie unter "Wert" die Bereichsflags und die Hostnamen der KDCs ein. Schließen Sie die Bereichsflags in die Tags <f> und </f> ein. Schließen Sie die Liste der KDCs in die Tags <k> und </k> ein. Um mehrere KDC-Namen hinzuzufügen, trennen Sie die Einträge durch ein Semikolon (;). Beispiel: Wertname: TEST.COM Wert: <f>0x00000004</f><k>kdc1.test.com; kdc2.test.com</k> Ein weiteres Beispiel: Wertname: REALM.FABRIKAM.COM Wert: <f>0x0000000E</f> Modus: Zu durchsuchende Gesamtstrukturen Syntax: Geben Sie die Liste der Gesamtstrukturen ein, die bei aktivierter Richtlinie durchsucht werden sollen. Verwenden Sie das Namensformat für vollqualifizierte Domänennamen (Fully Qualified Domain Name, FQDN). Trennen Sie mehrere Sucheinträge durch ein Semikolon (";"). Details: Die aktuelle Gesamtstruktur muss nicht aufgelistet werden, da die Gesamtstruktur-Suchreihenfolge zunächst den globalen Katalog verwendet und dann in der aufgelisteten Reihenfolge sucht. Sie müssen nicht alle Domänen in der Gesamtstruktur separat auflisten. Wenn eine vertrauende Gesamtstruktur aufgeführt ist, werden alle Domänen in der Gesamtstruktur durchsucht. Um eine optimale Leistung zu erzielen, führen Sie die Gesamtstrukturen nach der höchsten Wahrscheinlichkeit für eine erfolgreiche Suche auf. KDC-Proxy-Servereinstellungen definieren: Syntax: Geben Sie den DNS-Suffixnamen als Wertnamen ein. Für den DNS-Suffixnamen sind drei Formate verfügbar, mit absteigender Vorrangsreihenfolge: Vollständige Übereinstimmung: host.contoso.com Suffixübereinstimmung: .contoso.com Standardübereinstimmung: * Geben Sie die Proxy-Servernamen als Wert ein. Die Proxy-Servernamen müssen in das Tag <https /> eingefügt werden. Um mehrere Proxy-Servernamen hinzuzufügen, trennen Sie die Einträge durch ein Leerzeichen oder ein Komma (,). Beispiel: Wertname: .contoso.com Wert: <https proxy1.contoso.com proxy2.contoso.com /> Ein weiteres Beispiel: Wertname: * Wert: <https proxy.contoso.com /> Autorisierung mit Clientgeräteinformationen unterstützen: Maximale Größe Geräteauthentifizierungsverhalten mittels Zertifikat: