KDC AyarlarıKerberos Anahtar Dağıtım Merkezi için yapılandırma ayarları.KDCOrman arama sırasını kullanBu ilke ayarı, iki parçalı hizmet asıl adlarını (SPN) çözümlemeye çalışırken Anahtar Dağıtım Merkezi'nin (KDC) aradığı güvenen ormanların listesini tanımlar.
Bu ilke ayarını etkinleştirirseniz, yerel bir ormanda iki parçalı bir SPN çözümlenemezse KDC bu listedeki ormanları arar. Orman araması genel bir katalog veya ad soneki ipuçları kullanılarak yapılır. Bir eşleşme bulunursa, uygun bir etki alanı için KDC istemciye bir başvuru anahtarı döndürür.
Bu ilke ayarını devre dışı bırakır veya yapılandırmazsanız, KDC, SPN'yi çözümlemek için listelenen ormanları aramaz. KDC SPN'yi ad bulunamadığı için çözümleyemiyorsa, NTLM kimlik doğrulaması kullanılabilir.
Tutarlı davranış sağlamak için bu ilke ayarının etki alanındaki tüm etki alanı denetleyicilerinde desteklenmesi ve aynı şekilde ayarlanması gerekir.İstemci bilgisayarlara önceki oturum açmalar hakkında bilgi sağlaBu ilke ayarı, etki alanı denetleyicisinin istemci bilgisayarlara önceki oturum açmalar hakkında bilgi sağlayıp sağlamadığını denetler.
Bu ilke ayarını etkinleştirirseniz, bu etki alanı denetleyicisi önceki oturum açmalar hakkında bilgi iletisi sağlar.
Windows Oturum Açma'nın bu özelliği kullanması için Windows Bileşenleri altındaki Windows Oturum Açma Seçenekleri düğümünde bulunan "Kullanıcının oturum açması sırasında daha önceki oturumlar hakkındaki bilgileri görüntüle" ilke ayarının da etkin olması gerekir.
Bu ilke ayarını devre dışı bırakır veya yapılandırmazsanız, etki alanı denetleyicisi "Kullanıcının oturum açması sırasında daha önceki oturumlar hakkındaki bilgileri görüntüle" ilke ayarı etkin olmadıkça önceki oturum açmalar hakkında bilgi sağlamaz.
Not: Yalnızca etki alanı işlev düzeyi Windows Server 2008 ise önceki oturum açmalar hakkında bilgi sağlanır. Etki alanı işlev düzeyi Windows Server 2003, Windows 2000 asıl veya Windows 2000 karma olan etki alanlarındaki etki alanı denetleyicileri önceki oturum açmalar hakkında bilgi sağlayamaz ve bu ilke ayarının etkinleştirilmesi hiçbir şeyi etkilemez.
Talepler, bileşik kimlik doğrulaması ve Kerberos koruması için KDC desteğiBu ilke ayarı, etki alanı denetleyicisini, Dinamik Erişim Denetimi için talepleri ve bileşik kimlik doğrulamasını ve Kerberos kimlik doğrulaması kullanan Kerberos korumasını destekleyecek şekilde yapılandırmanıza olanak verir.
Bu ilke ayarını etkinleştirirseniz, Dinamik Erişim Denetimi için talepleri ve bileşik kimlik doğrulamasını destekleyen ve Kerberos korumasını kullanabilen istemci bilgisayarlar, Kerberos kimlik doğrulaması iletileri için bu özelliği kullanır. İlkenin etki alanında tutarlı bir şekilde uygulanmasını sağlamak için bu ilke tüm etki alanı denetleyicilerine uygulanmalıdır.
Bu ilke ayarını devre dışı bırakır veya yapılandırmazsanız, etki alanı denetleyicisi talepleri, bileşik kimlik doğrulamasını veya korumayı desteklemez.
"Desteklenmiyor" seçeneğini yapılandırırsanız, etki alanı denetleyicisi talepleri, bileşik kimlik doğrulamasını veya korumayı desteklemez; bu, Windows Server 2008 R2 veya önceki işletim sistemlerini çalıştıran etki alanı denetleyicileri için varsayılan davranıştır.
Not: Bu KDC ilkesinin aşağıdaki seçeneklerinin etkili olabilmesi için, Kerberos Grup İlkesi "Talepler, bileşik kimlik doğrulaması ve Kerberos koruması için Kerberos istemci desteği", desteklenen sistemlerde etkinleştirilmelidir. Kerberos ilke ayarı etkinleştirilmezse, Kerberos kimlik doğrulama iletileri bu özellikleri kullanmaz.
"Destekleniyor" olarak yapılandırırsanız, etki alanı denetleyicisi talepleri, bileşik kimlik doğrulamasını ve Kerberos korumasını destekler. Etki alanı denetleyicisi, etki alanının Dinamik Erişim Denetimi için talepleri ve bileşik kimlik doğrulamasını ve Kerberos korumasını desteklediğini Kerberos istemci bilgisayarlarına duyurur.
Etki alanı işlev düzeyi gereksinimleri "Talepleri her zaman sağla" ve "Korumasız kimlik doğrulaması istekleri başarısız olsun" seçeneklerinde, etki alanı işlev düzeyi Windows Server 2008 R2 veya önceki sürümüne ayarlanırsa, etki alanı denetleyicileri "Destekleniyor" seçeneği belirlenmiş gibi davranır.
Etki alanı işlev düzeyi Windows Server 2012 olarak ayarlanırsa, etki alanı denetleyicisi Kerberos istemci bilgisayarlarına etki alanının Dinamik Erişim Denetimi için talepleri ve bileşik kimlik doğrulamasını ve Kerberos korumasını desteklediğini duyurur ve:
- "Talepleri her zaman sağla" seçeneğini ayarlarsanız, hesaplar için her zaman talep döndürür ve esnek kimlik doğrulaması güvenli tünelini (FAST) duyurmak için RFC davranışını destekler.
- "Korumasız kimlik doğrulaması istekleri başarısız olsun" seçeneğini ayarlarsanız, korumasız Kerberos iletilerini her zaman reddeder.
Uyarı: "Korumasız kimlik doğrulaması istekleri başarısız olsun" ayarlandığında, Kerberos korumasını desteklemeyen istemci bilgisayarlar etki alanı denetleyicisinin kimliğini doğrulayamaz.
Bu özelliğin etkili olduğundan emin olmak için Dinamik Erişim Denetimi için talepleri ve bileşik kimlik doğrulamasını destekleyen ve kimlik doğrulama isteklerini işlemek üzere Kerberos koruması kullanabilen yeterli sayıda etki alanı denetleyicisi dağıtın. Bu ilkeyi destekleyen etki alanı denetleyicilerinin sayısının yetersiz olması, Dinamik Erişim Denetimi veya Kerberos korumasının gerekli olduğu her durumda kimlik doğrulama hatalarına neden olur (yani, "Destekleniyor" seçeneğinin etkinleştirildiği durum).
Bu ilke ayarı etkinleştirildiğinde etki alanı denetleyicisinin performansı üzerindeki etkisi:
- Güvenli Kerberos etki alanı özelliği bulunması gerekir ve bu da ek ileti alışverişlerine neden olur.
- Dinamik Erişim Denetimi'ne yönelik talepler ve bileşik kimlik doğrulaması, iletideki verilerin boyutunu ve karmaşıklığını artırır ve bu da daha fazla işlem süresine ve daha büyük Kerberos hizmeti anahtar boyutuna yol açar.
- Kerberos koruması Kerberos iletilerini tamamen şifreler ve Kerberos hatalarını işaretler; bu, işleme süresinin artmasına neden olur ancak hizmet anahtar boyutunu değiştirmez.
DesteklenmiyorDestekleniyorTalepleri her zaman sağlaKorumasız kimlik doğrulaması istekleri başarısız olsunBüyük Kerberos anahtarları için uyarıBu ilke ayarı, Kerberos kimlik doğrulaması sırasında uyarı olayı verildiğinde tetiklenecek Kerberos anahtarları boyutunu yapılandırmanıza olanak tanır. Anahtar boyutu uyarıları Sistem günlüğüne kaydedilir.
Bu ilke ayarını etkinleştirirseniz, uyarı olaylarını tetikleyen Kerberos anahtarı için eşik sınırı ayarlayabilirsiniz. Çok yüksek bir eşik ayarlanırsa, uyarı olayları günlüğe kaydedilmese bile kimlik doğrulaması hataları oluşabilir. Çok düşük bir eşik ayarlanırsa, günlükte çözümleme için yararlı olamayacak kadar çok anahtar uyarısı olur. Grup İlkesi kullanarak yapılandırmıyorsanız, bu değer "En yüksek Kerberos SSPI bağlam belirteci arabellek boyutunu ayarla" Kerberos ilkesiyle aynı değere veya ortamınızda kullanılan en küçük MaxTokenSize değerine ayarlanmalıdır.
Bu ilke ayarını devre dışı bırakır veya yapılandırmazsanız, eşik değeri varsayılan olarak 12.000 bayta ayarlanır; bu, Windows 7, Windows Server 2008 R2 ve önceki sürümlerin varsayılan Kerberos MaxTokenSize değeridir.
Bileşik kimlik doğrulaması isteBu ilke ayarı, etki alanı denetleyicisini bileşik kimlik doğrulaması isteyecek şekilde yapılandırmanıza olanak tanır.
Not: Etki alanı denetleyicisinin bileşik kimlik doğrulaması istemesi için, "Talepler, bileşik kimlik doğrulaması ve Kerberos koruması için KDC desteği" ilkesinin yapılandırılmış ve etkinleştirilmiş olması gerekir.
Bu ilke ayarını etkinleştirirseniz, etki alanı denetleyicileri bileşik kimlik doğrulaması ister. Döndürülen hizmet anahtarının bileşik kimlik doğrulamasını içermesi için, hesabın açıkça yapılandırılmış olması gerekir. İlkenin etki alanında tutarlı bir şekilde uygulanmasını sağlamak için, bu ilke tüm etki alanı denetleyicilerine uygulanmalıdır.
Bu ilke ayarını devre dışı bırakırsanız veya yapılandırmazsanız, istemci her bileşik kimlik doğrulaması isteği gönderdiğinde, hesap yapılandırmasına bakılmaksızın etki alanı denetleyicileri bileşik kimlik doğrulamasını içeren hizmet anahtarları döndürürler.
PKInit Yenilik Uzantısı için KDC desteğiPKInit Yenilik Uzantısı desteği için Windows Server 2016 etki alanı işlev düzeyi (DFL) gereklidir. Etki alanı denetleyicisinin etki alanı Windows Server 2016 DFL veya daha yüksek değilse, bu ilke uygulanmaz.
Bu ilke ayarı, PKInit Yenilik Uzantısı’nı destekleyecek şekilde bir etki alanı denetleyicisi (DC) yapılandırmanıza olanak sağlar.
Bu ilke ayarını etkinleştirirseniz, aşağıdaki seçenekler desteklenir:
Desteklenen: PKInit Yenilik Uzantısı istenildiği takdirde desteklenir. PKInit Yenilik Uzantısı ile başarılı bir şekilde kimlik doğrulaması yapan Kerberos istemcileri, yeni ortak anahtar kimliği SID’sini alır.
Gerekli: PKInit Yenilik Uzantısı, başarılı kimlik doğrulama için gereklidir. PKInit Yenilik Uzantısı’nı desteklemeyen Kerberos işlemcileri, ortak anahtar kimlik bilgilerini her kullandığında başarısız olur.
Bu ilke ayarını devre dışı bırakır veya yapılandırmazsanız, DC, PKInit Yenilik Uzantısı’nı bir daha önermez ve yeniliğine bakmadan geçerli kimlik doğrulama isteklerini kabul eder. Kullanıcılar da bir daha yeni ortak anahtar kimlik SID’si almazlar.
Devre dışıDestekleniyorGerekliMod:Sözdizimi:Bu ilke etkinleştirildiğinde aranacak ormanların listesini girin.Tam Etki Alanı Adı (FQDN) adlandırma biçimini kullanın.Birden fazla arama girişini noktalı virgülle ";" ayırın.Ayrıntılar:Orman Arama Sırası önce genel kataloğu, sonra listelenen sırayı aradığından geçerli ormanın listelenmesi gerekmez.Ormandaki tüm etki alanlarını ayrı olarak listelemeniz gerekmez.Güvenen bir orman listelendiyse, söz konusu ormandaki tüm etki alanları aranır.En iyi performans için ormanları başarı olasılığı sırasına göre listeleyin.Dinamik Erişim Denetimi için talepler ve bileşik kimlik doğrulaması ve Kerberos koruması seçenekleri:Anahtar Boyutu EşiğiPKInit Yenilik Uzantısı seçenekleri: