Podpora služby KDC pro deklarace identity, složené ověřování a obranu protokolu Kerberos

Toto nastavení zásad umožňuje nakonfigurovat řadič domény tak, aby podporoval deklarace identity a složené ověřování dynamického řízení přístupu a obranu protokolu Kerberos pomocí ověřování protokolu Kerberos.

Pokud toto nastavení zásad povolíte, budou klientské počítače podporující deklarace identity a složené ověřování dynamického řízení přístupu a obranu protokolu Kerberos používat tuto funkci pro ověřovací zprávy protokolu Kerberos. Tato zásada by měla být uplatněna na všech řadičích domény, aby bylo zajištěno jednotné používání této zásady v doméně.

Pokud toto nastavení zásad zakážete nebo nenakonfigurujete, nebudou řadiče domény podporovat deklarace identity, složené ověřování ani obranu.

Pokud nakonfigurujete možnost Není podporováno, nebude řadič domény podporovat deklarace identity, složené ověřování ani obranu, což je výchozí chování řadičů domény s operačním systémem Windows Server 2008 R2 nebo starším.

Poznámka: Aby byly účinné následující možnosti této zásady služby KDC, musí být v podporovaných systémech povoleno nastavení zásad skupiny protokolu Kerberos „Podpora klientů služby Kerberos pro deklarace identity, složené ověřování a obranu protokolu Kerberos". Pokud není toto nastavení zásad protokolu Kerberos povoleno, nebudou ověřovací zprávy protokolu Kerberos tyto možnosti používat.

Pokud nakonfigurujete možnost Podporováno, bude řadič domény podporovat deklarace identity, složené ověřování a obranu protokolu Kerberos. Řadič domény klientským počítačům služby Kerberos inzeruje, že doména podporuje deklarace identity a složené ověřování dynamického řízení přístupu a obranu protokolu Kerberos.

Požadavky na úroveň funkčnosti domény
Pokud je úroveň funkčnosti domény nastavena na Windows Server 2008 R2 nebo starší, chovají se možnosti „Vždy poskytovat deklarace identity" a „Odmítnout žádosti o ověření bez obrany" stejně, jako kdyby byla vybrána možnost Podporováno.

Pokud je úroveň funkčnosti domény nastavena na Windows Server 2012, inzeruje řadič domény klientským počítačům služby Kerberos, že doména podporuje deklarace identity a složené ověřování dynamického řízení přístupu a obranu protokolu Kerberos, přičemž:
– Při nastavení možnosti „Vždy poskytovat deklarace identity" vrátí vždy deklarace identity pro účty a u architektury FAST (Flexible Authentication Secure Tunneling) podporuje chování podle dokumentu RFC.
– Při nastavení možnosti „Odmítnout žádosti o ověření bez obrany" jsou odmítány zprávy protokolu Kerberos bez obrany.

Upozornění: Při nastavení možnosti „Odmítnout žádosti o ověření bez obrany" se nezdaří ověření klientských počítačů, které nepodporují obranu protokolu Kerberos, vůči řadiči domény.

Pro efektivní využití této funkce nasaďte dostatečný počet řadičů domény s podporou deklarací identity a složeného ověřování dynamického řízení přístupu a obrany protokolu Kerberos, které zvládnou žádosti o ověření. Při nedostatečném počtu řadičů domény, jež podporují tuto zásadu, dojde k chybě ověření vždy, když je vyžadováno dynamické řízení přístupu nebo obrana protokolu Kerberos (tedy při povolené možnosti Podporováno).

Účinek povolení tohoto nastavení zásad na výkon řadiče domény:

– Je vyžadováno zjišťování schopností domény zabezpečené protokolem Kerberos, což má za následek výměny dalších zpráv.
– Deklarace identity a složené ověřování dynamického řízení přístupu zvyšuje množství a složitost dat ve zprávě, což prodlužuje dobu zpracování a zvětšuje lístek služby Kerberos.
– Obrana protokolu Kerberos zajišťuje úplné šifrování zpráv protokolu Kerberos a podepisování chyb protokolu Kerberos, což prodlužuje dobu zpracování, ale nemění velikost lístku služby.

Možnosti deklarace identity, složeného ověřování dynamického řízení přístupu a obrany protokolu Kerberos:

0. Není podporováno
   

   Registry Hive	HKEY_LOCAL_MACHINE
   Registry Path	Software\Microsoft\Windows\CurrentVersion\Policies\System\KDC\Parameters
   Value Name	CbacAndArmorLevel
   Value Type	REG_DWORD
   Value	0

1. Podporováno
   

   Registry Hive	HKEY_LOCAL_MACHINE
   Registry Path	Software\Microsoft\Windows\CurrentVersion\Policies\System\KDC\Parameters
   Value Name	CbacAndArmorLevel
   Value Type	REG_DWORD
   Value	1

2. Vždy poskytovat deklarace
   

   Registry Hive	HKEY_LOCAL_MACHINE
   Registry Path	Software\Microsoft\Windows\CurrentVersion\Policies\System\KDC\Parameters
   Value Name	CbacAndArmorLevel
   Value Type	REG_DWORD
   Value	2

3. Odmítnout žádosti o ověření bez obrany
   

   Registry Hive	HKEY_LOCAL_MACHINE
   Registry Path	Software\Microsoft\Windows\CurrentVersion\Policies\System\KDC\Parameters
   Value Name	CbacAndArmorLevel
   Value Type	REG_DWORD
   Value	3