Kerberos AyarlarıKerberos kimlik doğrulama protokolü için yapılandırma ayarları.KerberosOrman arama sırasını kullanBu ilke ayarı, Kerberos istemcisinin iki parçalı hizmet asıl adlarını (SPN) çözümlemeye çalışırken arayacağı güvenen ormanlar listesini tanımlar.
Bu ilke ayarını etkinleştirirseniz Kerberos istemcisi iki parçalı bir SPN'yi çözümleyemezse bu listedeki ormanları arar. Bir eşleşme bulunursa, Kerberos istemcisi uygun etki alanı için bir başvuru anahtarı ister.
Bu ilke ayarını devre dışı bırakırsanız veya yapılandırmazsanız Kerberos istemcisi SPN'yi çözümlemek için listelenen ormanları aramaz. Kerberos istemcisi ad bulunamadığı için SPN'yi çözümleyemezse, NTLM kimlik doğrulaması kullanılabilir.Ana bilgisayar adını Kerberos bölgesine eşleştirmeleri tanımlamaBu ilke ayarı, Kerberos bölgesine hangi DNS ana bilgisayar adlarının ve hangi DNS soneklerinin eşleneceğini belirlemenize olanak sağlar.
Bu ilke ayarını etkinleştirirseniz Grup İlkesi tarafından tanımlandığı şekilde Kerberos bölgesine eşlenen DNS ana bilgisayar adlarının ve DNS soneklerinin listesini görebilir ve değiştirebilirsiniz. Eşleme listesini görüntülemek için, ilke ayarını etkinleştirin ve sonra Göster düğmesini tıklatın. Eşleme eklemek için, ilke ayarını etkinleştirin, sözdizimini not edin ve sonra Göster'i tıklatın. İçeriği Göster iletişim kutusunda, Değer Adı sütununa bir bölge adı yazın. Değer sütununa, uygun sözdizimi biçimini kullanarak DNS ana bilgisayar adları ve DNS sonekleri listesini yazın. Listeden bir eşlemeyi kaldırmak için, kaldırılacak eşleme girişini tıklatın ve sonra DELETE tuşuna basın. Eşlemeyi düzenlemek için, listeden geçerli girişi kaldırın ve farklı parametrelerle yeni bir tane ekleyin.
İlke ayarını devre dışı bırakırsanız, Grup İlkesi tarafından tanımlanan ana bilgisayar adını Kerberos bölgesine eşleme listesi silinir.
Bu ilke ayarını yapılandırmazsanız sistem yerel kayıt defterinde tanımlanmış olan ana bilgisayar adı - Kerberos bölgesi eşlemelerini (varsa) kullanır.Birlikte çalışabilen Kerberos V5 bölgesi ayarlarını tanımlamaBu ilke ayarı, Kerberos istemcisini, bu ilke ayarında tanımlandığı biçimde birlikte çalışabilen Kerberos V5 bölgelerinde kimlik doğrulamasına olanak verecek şekilde yapılandırır.
Bu ilke ayarını etkinleştirirseniz birlikte çalışabilen Kerberos V5 bölgelerinin listesini ve ayarlarını görebilir ve değiştirebilirsiniz. Birlikte çalışabilen Kerberos V5 bölgelerinin listesini görmek için, ilke ayarını etkinleştirin ve Göster düğmesini tıklatın. Birlikte çalışabilir Kerberos V5 bölgesi eklemek için ilke ayarını etkinleştirin, sözdizimini not edin ve sonra Göster'i tıklatın. İçeriği Göster iletişim kutusunda, Değer Adı sütununa bir birlikte çalışabilir Kerberos V5 bölgesinin adını yazın. Değer sütununa, uygun sözdizimi biçimini kullanarak ana bilgisayar KDC'lerinin bölge bayraklarını ve ana bilgisayar adlarını yazın. Listeden bir birlikte çalışabilir Kerberos V5 bölgesi Değer Adı veya Değer girişini kaldırmak için girişi tıklatın ve sonra DELETE tuşuna basın. Eşlemeyi düzenlemek için, listeden geçerli girişi kaldırın ve farklı parametrelerle yeni bir tane ekleyin.
Bu ilke ayarını devre dışı bırakırsanız, Grup İlkesi tarafından tanımlanan birlikte çalışabilen Kerberos V5 bölgesi ayarları silinir.
Bu ilke ayarını yapılandırmazsanız sistem yerel kayıt defteri tarafından tanımlanan birlikte çalışabilen Kerberos V5 bölgesi ayarlarını (varsa) kullanır.Katı KDC doğrulaması isteBu ilke ayarı, akıllı kart ve sistem sertifikası oturumu için KDC sertifikasını doğrulama sırasında Kerberos istemcisinin davranışını denetler.
Bu ilke ayarını etkinleştirirseniz Kerberos istemcisi, KDC'nin X.509 sertifikasının Uzatılmış Anahtar Kullanımı (EKU) uzantıları içinde KDC anahtarı amacı nesne tanımlayıcı içermesini ve KDC'nin X.509 sertifikasının etki alanının DNS adıyla eşleşen bir dNSName subjectAltName (SAN) uzantısı içermesini gerektirir. Bilgisayar bir etki alanına katılmışsa, Kerberos istemcisi, KDC'nin X.509 sertifikasının NTAuth deposundaki bir Sertifika Yetkilisi (CA) tarafından imzalanmasını gerektirir. Bilgisayar etki alanına dahil değilse, Kerberos istemcisi, akıllı karttaki kök CA sertifikasının KDC'nin X.509 sertifikasının yol doğrulamasında kullanılmasına izin verir.
Bu ilke ayarını devre dışı bırakırsanız veya yapılandırmazsanız Kerberos istemcisi yalnızca KDC sertifikasının EKU uzantılarında Sunucu Kimlik Doğrulaması amaçlı nesne tanımlayıcısını bulundurmasını ister.
Uzaktan yordam çağrılarında katı hedef SPN'si eşleştirme iste Bu ilke ayarı, bu sunucuyu, Kerberos bu sistem tarafından üretilen SPN'yi içeren bir anahtarın şifresini çözebilecek şekilde yapılandırmanızı sağlar. Bir uygulama hizmet asıl adı (SPN) için NULL değer kullanarak bu sunucuya bir uzaktan yordam çağrısı (RPC) yapma girişiminde bulunursa, Windows 7 çalıştıran bilgisayarlar bir SPN üreterek Kerberos kullanmaya çalışır.
Bu ilke ayarını etkinleştirirseniz yalnızca LocalSystem veya NetworkService olarak çalışan hizmetlerin bu bağlantıları kabul etmesine izin verilir. LocalSystem ve NetworkService dışındaki kimliklerle çalışan hizmetler kimlik doğrulayamayabilir.
Bu ilke ayarını devre dışı bırakırsanız veya yapılandırmazsanız herhangi bir hizmetin bu sistem tarafından üretilen SPN'yi kullanarak gelen bağlantıları kabul etmesine izin verilir.Kerberos istemcileri için KDC ara sunucularını belirtBu ilke ayarı, etki alanları için Kerberos istemcisinin KDC ara sunucularına eşlenmesini, DNS sonek adlarını temel alarak yapılandırır.
Bu ilke ayarını etkinleştirirseniz, yapılandırılan eşlemeleri temel alan bir etki alanı denetleyicisi bulunamazsa, Kerberos istemcisi etki alanı için KDC ara sunucusunu kullanır. KDC ara sunucusunu etki alanına eşlemek için ilke ayarını etkinleştirin, Göster'i tıklatın ve sonra seçenekler bölmesinde açıklanan sözdizimini kullanarak KDC ara sunucusu adlarını DNS adına eşleyin. İçeriği Göster iletişim kutusunun Değer Adı sütununa bir DNS sonek adı yazın. Değer sütununa, uygun sözdizimi biçimini kullanarak ara sunucuların listesini yazın. Eşleme listesini görüntülemek için ilke ayarını etkinleştirin ve sonra Göster düğmesini tıklatın. Listeden bir eşlemeyi kaldırmak için kaldırılacak eşleme girdisini tıklatın ve sonra DELETE tuşuna basın. Eşlemeyi düzenlemek için listeden geçerli girdiyi kaldırın ve farklı parametrelerle yeni bir girdi ekleyin.
Bu ilke ayarını devre dışı bırakır veya yapılandırmazsanız, Kerberos istemcisinin Grup İlkesi tarafından tanımlanan KDC ara sunucusu ayarları olmaz.
KDC ara sunucularının SSL sertifikası için iptal denetimini devre dışı bırakBu ilke ayarı, hedeflenen KDC ara sunucusunun SSL sertifikası için iptal denetimini devre dışı bırakmanıza olanak tanır.
Bu ilke ayarını etkinleştirirseniz, KDC ara sunucusunun SSL sertifikası için iptal denetimi Kerberos istemcisi tarafından yok sayılır. Bu ilke ayarı, yalnızca KDC ara sunucusu bağlantılarında sorun gidermek için kullanılmalıdır.
Uyarı: İptal denetimi yok sayıldığında, sertifikanın temsil ettiği sunucunun geçerli olduğu garanti edilmez.
Bu ilke ayarını devre dışı bırakır veya yapılandırmazsanız, Kerberos istemcisi SSL sertifikası için iptal denetimini zorunlu tutar. İptal denetimi başarısız olursa KDC ara sunucusuyla bağlantı kurulmaz.
Kerberos koruması olmadığında kimlik doğrulama istekleri başarısız olsunBu ilke ayarı, bilgisayarın etki alanı denetleyicisiyle iletişim kurarken Kerberos iletisi değişimlerinin korumalı olmasını gerektirip gerektirmeyeceğini denetler.
Uyarı: Bir etki alanı "Dinamik Erişim Denetimi ve Kerberos korumasını destekle" ilke ayarının etkinleştirilmesiyle Kerberos korumasını desteklemiyorsa, bu ilke ayarının etkinleştirildiği tüm bilgisayarlarda o etki alanı kullanıcılarının tümünün kimlik doğrulaması başarısız olur.
Bu ilke ayarını etkinleştirirseniz etki alanındaki istemci bilgisayarlar, yalnızca etki alanı denetleyicileriyle kimlik doğrulama hizmeti (AS) ve anahtar verme hizmeti (TGS) ileti alışverişlerinde Kerberos koruması kullanmaya zorlanır.
Not: Kerberos korumasının desteklenmesi için Kerberos Grup İlkesi "Talepler, bileşik kimlik doğrulaması ve Kerberos koruması için Kerberos istemci desteği" de etkinleştirilmelidir.
Bu ilke ayarını devre dışı bırakırsanız veya yapılandırmazsanız etki alanındaki istemci bilgisayarlar, hedef etki alanında desteklendiği şekliyle mümkün olan her yerde Kerberos koruması kullanmaya zorlanır.
Bileşik kimlik doğrulamasını destekleBu ilke ayarı, bileşik kimlik doğrulaması için aygıtın Active Directory hesabını yapılandırmayı denetler.
Erişim denetiminde kullanılan bileşik kimlik doğrulamasını sağlamaya yönelik destek için, kaynak hesap etki alanlarında istekleri destekleyecek yeterli sayıda etki alanı denetleyicisi bulunmalıdır. Bu ilkeyi desteklemek için Etki Alanı Yöneticisi'nin tüm etki alanı denetleyicilerinde "Dinamik Erişim Denetimi ve Kerberos korumasını destekle" ilkesini yapılandırması gerekir.
Bu ilke ayarını etkinleştirirseniz, bileşik kimlik doğrulaması için aygıtın Active Directory hesabı aşağıdaki seçeneklerle yapılandırılır:
Hiçbir Zaman: Bileşik kimlik doğrulaması bu bilgisayar hesabı için hiçbir zaman sağlanmaz.
Otomatik: Dinamik Erişim Denetimi için bir veya birden çok uygulama yapılandırıldığında, bu bilgisayar hesabında bileşik kimlik doğrulaması sağlanır.
Her Zaman: Bileşik kimlik doğrulaması bu bilgisayar hesabı için her zaman sağlanır.
Bu ilke ayarını devre dışı bırakırsanız, Hiçbir Zaman seçeneği kullanılır.
Bu ilke ayarını yapılandırmazsanız Otomatik seçeneği kullanılır.
Hiçbir ZamanOtomatikHer zamanKerberos SSPI bağlamı belirteci arabellek boyutu üst sınırını ayarlaBu ilke ayarı, SSPI bağlamı belirteci arabellek boyutu üst sınırını isteyen uygulamalara döndürülecek değeri ayarlamanızı sağlar.
Bağlam belirteci arabelleğinin boyutu, uygulamanın SSPI bağlamı belirteçleri için bekleyeceği ve ayıracağı en büyük boyutu belirler. Kimlik doğrulama isteğinin işlenmesine ve grup üyeliklerine bağlı olarak, arabellek SSPI bağlamı belirtecinin gerçek boyutundan daha küçük olabilir.
Bu ilke ayarını etkinleştirirseniz, Kerberos istemcisi veya sunucusu yapılandırılan değeri veya yerel olarak izin verilen en büyük değeri (hangisi daha küçükse) kullanır.
Bu ilke ayarını devre dışı bırakır veya yapılandırmazsanız, Kerberos istemcisi veya sunucusu yerel olarak yapılandırılan değeri veya varsayılan değeri kullanır.
Not: Bu ilke ayarı, Windows XP ve Windows Server 2003'te eklenen ve HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\Kerberos\Parameters altında bulunan, varsayılan değeri 12.000 bayt olan MaxTokenSize kayıt defteri değerini yapılandırır. Windows 8'den başlayarak, varsayılan değer 48.000 bayttır. HTTP kimlik doğrulaması bağlamı belirteçleri için base64 kodlaması kullandığından, bu değeri 48.000 bayttan büyük bir değere ayarlamamanız önerilir.
Talepler, bileşik kimlik doğrulaması ve Kerberos koruması için Kerberos istemci desteğiBu ilke ayarı, bir aygıtın bu özellikleri destekleyen etki alanlarında Dinamik Erişim Denetimi için talepler ve bileşik kimlik doğrulaması ve Kerberos kimlik doğrulaması kullanan Kerberos koruması isteyip istemeyeceğini denetler.
Bu ilke ayarını etkinleştirirseniz, istemci bilgisayarlar talep ister, Dinamik Erişim Denetimi için talepleri ve bileşik kimlik doğrulamasını ve Kerberos korumasını destekleyen etki alanlarında bileşik kimlik doğrulaması oluşturmak ve Kerberos iletilerini korumak için gereken bilgileri sağlar.
Bu ilke ayarını devre dışı bırakırsanız veya yapılandırmazsanız, istemci aygıtlar talep istemez, bileşik kimlik doğrulaması oluşturmak ve Kerberos iletilerini korumak için gereken bilgileri sağlar. Aygıtta barındırılan hizmetler, istemciler için Kerberos protokol geçişi kullanarak talepleri alamaz.
Her zaman önce bileşik kimlik doğrulamasını gönderBu ilke ayarı, kaynak etki alanı bileşik kimlik istediğinde aygıtın her zaman bileşik kimlik doğrulaması isteği gönderip göndermeyeceğini denetler.
Not: Etki alanı denetleyicisinin bileşik kimlik doğrulaması istemesi için, kaynak hesabı etki alanında "Talepler, bileşik kimlik doğrulaması ve Kerberos koruması için KDC desteği" ve "Bileşik kimlik doğrulaması iste" ilkelerinin yapılandırılmış ve etkinleştirilmiş olması gerekir.
Bu ilke ayarını etkinleştirirseniz ve kaynak etki alanı bileşik kimlik doğrulaması isterse, bileşik kimlik doğrulamasını destekleyen aygıtlar her zaman bileşik kimlik doğrulaması isteği gönderir.
Bu ilke ayarını devre dışı bırakırsanız veya yapılandırmazsanız ve kaynak etki alanı bileşik kimlik doğrulaması isterse, aygıtlar önce bileşik olmayan bir kimlik doğrulaması isteği gönderir ve hizmet bileşik kimlik doğrulaması istedikten sonra da bileşik kimlik doğrulaması isteği gönderirler.
Sertifika kullanan cihaz kimlik doğrulamasını destekleSertifika kullanan cihaz kimlik doğrulaması için destek, bilgisayar hesapları için sertifika doğrulamasını destekleyen cihaz hesabı etki alanında DC bağlantısı gerektiriyor.
Bu ilke ayarı, cihaz için etki alanına sertifika kullanarak kimlik doğrulaması denemek için Kerberos desteği kurmanızı sağlar.
Bu ilke ayarını etkinleştirirseniz, cihazların kimlik bilgileri aşağıdaki seçeneklere göre seçilir:
Otomatik: Cihaz, sertifikasını kullanarak kimlik doğrulaması dener. DC, sertifika kullanan bilgisayar hesabı kimlik doğrulamasını desteklemezse, o zaman parola ile kimlik doğrulama denenir.
Zorlamalı: Cihaz, kimlik doğrulamasını her zaman sertifikasını kullanarak yapar. Sertifika kullanan bilgisayar hesabı kimlik doğrulamasını destekleyen bir DC bulunamazsa, o zaman kimlik doğrulama başarısız olur.
Bu ilke ayarını devre dışı bırakırsanız, sertifikalar bir daha kullanılamaz.
Bu ilke ayarını yapılandırmazsanız, Otomatik seçeneği kullanılır.
OtomatikZorlamalıOturum açma sırasında bulut kerberos biletinin alınmasına izin verBu ilke ayarı, oturum açma sırasında bulut kerberos anahtarının alınmasına olanak sağlar.
Bu ilke ayarını devre dışı bırakırsanız veya yapılandırmazsanız oturum açma sırasında bulut kerberos anahtarı alınmaz.
Bu ilke ayarını etkinleştirirseniz oturum açma sırasında bulut kerberos anahtarı alınır.Ana bilgisayar adını bölgeye eşlemeleri tanımlama:Sözdizimi:Değer Adı olarak Kerberos bölgesi adını girin.Değer olarak Kerberos bölgesine eşlemek istediğinizana bilgisayar adlarını ve DNS soneklerini girin. Birden fazlaad eklemek için girişleri ";" ile ayırın.Not: DNS soneki belirlemek için girişin önüne '.' nokta koyun.Ana bilgisayar girişinin önüne '.' nokta koymayın.Örnek:Değer Adı: MICROSOFT.COMDeğer: .microsoft.com; .ms.com; bilgisayar1.fabrikam.com;Yukarıdaki örnekte. DNS soneki içeren tüm asıl adlar*.microsoft.com veya *.ms.com DNS son eki olan asıl adlarMICROSOFT.COM Kerberos bölgesiyle eşlenir. Ana bilgisayar adına ek olarakbilgisayar1.fabrikam.com da MICROSOFT.COM Kerberos bölgesiyle eşlenir.Birlikte çalışabilen Kerberos V5 bölgesi ayarlarını tanımlama:Sözdizimi:Değer Adı olarak birlikte çalışabilen Kerberos V5 bölgesi adını girin.Değer olarak KDC'nin bölge bayraklarını ve ana bilgisayar adlarınıgirin. Bölge bayraklarını şuetiketlerin içine alın: <f> </f>. KDC listesini şu etiketlerin içine alın: <k> </k>Birden çok KDC adı eklemek için girişlerinoktalı virgülle ";" ayırın.Örnek:Değer Adı: TEST.COMDeğer: <f>0x00000004</f><k>kdc1.test.com; kdc2.test.com</k>Diğer Bir Örnek:Değer Adı: REALM.FABRIKAM.COMDeğer: <f>0x0000000E</f>Mod:Sözdizimi:Bu ilke etkinleştirildiğinde aranacak ormanların listesini girin.Tam Etki Alanı Adı (FQDN) adlandırma biçimini kullanın.Birden fazla arama girişini noktalı virgülle ";" ayırın.Ayrıntılar:Orman Arama Sırası önce genel kataloğu, sonra listelenen sırayı aradığından geçerli ormanın listelenmesi gerekmez.Ormandaki tüm etki alanlarını ayrı olarak listelemeniz gerekmez.Güvenen bir orman listelenmişse, söz konusu ormandaki tüm etki alanları aranır.En iyi performans için, ormanları başarı olasılığı sırasına göre listeleyin. KDC ara sunucularının ayarlarını tanımla:Sözdizimi:Değer Adı olarak Kerberos sonek adını girin.DNS sonek adı, azalan tercih sırasıyla üç biçime izin verir:Tam Eşleşme: anabilgisayar.contoso.comSonek Eşleşmesi: .contoso.comVarsayılan Eşleşme: *Değer olarak ara sunucu adlarını girin.Ara sunucu adları <https /> etiketleri arasına alınmalıdırBirden çok ara sunucu adı eklemek için, girdileri boylukla veya "," virgülle ayırınÖrnek:Değer Adı: .contoso.comDeğer: <https arasunucu1.contoso.com arasunucu2.contoso.com />Diğer Bir Örnek:Değer Adı: *Değer: <https arasunucu.contoso.com />İstemci aygıt bilgileriyle yetkilendirmeyi destekle:Boyut üst sınırıSertifika kullanan cihaz kimlik doğrulaması davranışı: