Talepler, bileşik kimlik doğrulaması ve Kerberos koruması için KDC desteği

Bu ilke ayarı, etki alanı denetleyicisini, Dinamik Erişim Denetimi için talepleri ve bileşik kimlik doğrulamasını ve Kerberos kimlik doğrulaması kullanan Kerberos korumasını destekleyecek şekilde yapılandırmanıza olanak verir.

Bu ilke ayarını etkinleştirirseniz, Dinamik Erişim Denetimi için talepleri ve bileşik kimlik doğrulamasını destekleyen ve Kerberos korumasını kullanabilen istemci bilgisayarlar, Kerberos kimlik doğrulaması iletileri için bu özelliği kullanır. İlkenin etki alanında tutarlı bir şekilde uygulanmasını sağlamak için bu ilke tüm etki alanı denetleyicilerine uygulanmalıdır.

Bu ilke ayarını devre dışı bırakır veya yapılandırmazsanız, etki alanı denetleyicisi talepleri, bileşik kimlik doğrulamasını veya korumayı desteklemez.

"Desteklenmiyor" seçeneğini yapılandırırsanız, etki alanı denetleyicisi talepleri, bileşik kimlik doğrulamasını veya korumayı desteklemez; bu, Windows Server 2008 R2 veya önceki işletim sistemlerini çalıştıran etki alanı denetleyicileri için varsayılan davranıştır.

Not: Bu KDC ilkesinin aşağıdaki seçeneklerinin etkili olabilmesi için, Kerberos Grup İlkesi "Talepler, bileşik kimlik doğrulaması ve Kerberos koruması için Kerberos istemci desteği", desteklenen sistemlerde etkinleştirilmelidir. Kerberos ilke ayarı etkinleştirilmezse, Kerberos kimlik doğrulama iletileri bu özellikleri kullanmaz.

"Destekleniyor" olarak yapılandırırsanız, etki alanı denetleyicisi talepleri, bileşik kimlik doğrulamasını ve Kerberos korumasını destekler. Etki alanı denetleyicisi, etki alanının Dinamik Erişim Denetimi için talepleri ve bileşik kimlik doğrulamasını ve Kerberos korumasını desteklediğini Kerberos istemci bilgisayarlarına duyurur.

Etki alanı işlev düzeyi gereksinimleri "Talepleri her zaman sağla" ve "Korumasız kimlik doğrulaması istekleri başarısız olsun" seçeneklerinde, etki alanı işlev düzeyi Windows Server 2008 R2 veya önceki sürümüne ayarlanırsa, etki alanı denetleyicileri "Destekleniyor" seçeneği belirlenmiş gibi davranır.

Etki alanı işlev düzeyi Windows Server 2012 olarak ayarlanırsa, etki alanı denetleyicisi Kerberos istemci bilgisayarlarına etki alanının Dinamik Erişim Denetimi için talepleri ve bileşik kimlik doğrulamasını ve Kerberos korumasını desteklediğini duyurur ve:
- "Talepleri her zaman sağla" seçeneğini ayarlarsanız, hesaplar için her zaman talep döndürür ve esnek kimlik doğrulaması güvenli tünelini (FAST) duyurmak için RFC davranışını destekler.
- "Korumasız kimlik doğrulaması istekleri başarısız olsun" seçeneğini ayarlarsanız, korumasız Kerberos iletilerini her zaman reddeder.

Uyarı: "Korumasız kimlik doğrulaması istekleri başarısız olsun" ayarlandığında, Kerberos korumasını desteklemeyen istemci bilgisayarlar etki alanı denetleyicisinin kimliğini doğrulayamaz.

Bu özelliğin etkili olduğundan emin olmak için Dinamik Erişim Denetimi için talepleri ve bileşik kimlik doğrulamasını destekleyen ve kimlik doğrulama isteklerini işlemek üzere Kerberos koruması kullanabilen yeterli sayıda etki alanı denetleyicisi dağıtın. Bu ilkeyi destekleyen etki alanı denetleyicilerinin sayısının yetersiz olması, Dinamik Erişim Denetimi veya Kerberos korumasının gerekli olduğu her durumda kimlik doğrulama hatalarına neden olur (yani, "Destekleniyor" seçeneğinin etkinleştirildiği durum).

Bu ilke ayarı etkinleştirildiğinde etki alanı denetleyicisinin performansı üzerindeki etkisi:
- Güvenli Kerberos etki alanı özelliği bulunması gerekir ve bu da ek ileti alışverişlerine neden olur.
- Dinamik Erişim Denetimi'ne yönelik talepler ve bileşik kimlik doğrulaması, iletideki verilerin boyutunu ve karmaşıklığını artırır ve bu da daha fazla işlem süresine ve daha büyük Kerberos hizmeti anahtar boyutuna yol açar.
- Kerberos koruması Kerberos iletilerini tamamen şifreler ve Kerberos hatalarını işaretler; bu, işleme süresinin artmasına neden olur ancak hizmet anahtar boyutunu değiştirmez.

Dinamik Erişim Denetimi için talepler ve bileşik kimlik doğrulaması ve Kerberos koruması seçenekleri:

0. Desteklenmiyor
   

   Registry Hive	HKEY_LOCAL_MACHINE
   Registry Path	Software\Microsoft\Windows\CurrentVersion\Policies\System\KDC\Parameters
   Value Name	CbacAndArmorLevel
   Value Type	REG_DWORD
   Value	0

1. Destekleniyor
   

   Registry Hive	HKEY_LOCAL_MACHINE
   Registry Path	Software\Microsoft\Windows\CurrentVersion\Policies\System\KDC\Parameters
   Value Name	CbacAndArmorLevel
   Value Type	REG_DWORD
   Value	1

2. Talepleri her zaman sağla
   

   Registry Hive	HKEY_LOCAL_MACHINE
   Registry Path	Software\Microsoft\Windows\CurrentVersion\Policies\System\KDC\Parameters
   Value Name	CbacAndArmorLevel
   Value Type	REG_DWORD
   Value	2

3. Korumasız kimlik doğrulaması istekleri başarısız olsun
   

   Registry Hive	HKEY_LOCAL_MACHINE
   Registry Path	Software\Microsoft\Windows\CurrentVersion\Policies\System\KDC\Parameters
   Value Name	CbacAndArmorLevel
   Value Type	REG_DWORD
   Value	3