要求严格的 KDC 验证

此策略设置控制 Kerberos 客户端验证智能卡登录和系统证书登录的 KDC 证书的行为。

如果启用此策略设置，则 Kerberos 客户端要求 KDC 的 X.509 证书在扩展密钥用法(EKU)扩展中包含 KDC 密钥目的对象标识符，并且要求 KDC 的 X.509 证书包含与域的 DNS 名称匹配的 dNSName subjectAltName (SAN)扩展。如果计算机加入到域，则 Kerberos 客户端要求 KDC 的 X.509 证书在 NTAuth 存储中必须由证书颁发机构(CA)签署。如果计算机不加入到域，则 Kerberos 客户端允许在 KDC 的 X.509 证书的路径验证中使用智能卡上的根 CA 证书。

如果禁用或未配置此策略设置，则 Kerberos 客户端仅要求 KDC 证书在可颁发给任何服务器的 EKU 扩展中包含服务器身份验证目的对象标识符。