このポリシー設定では、2 つの部分で構成されるサービス プリンシパル名 (SPN) の解決を試行するときにキー配布センター (KDC) によって検索される信頼する側のフォレストの一覧を定義します。
このポリシー設定を有効にすると、2 つの部分で構成される SPN をローカル フォレストで解決できない場合にこの一覧のフォレストが KDC によって検索されます。フォレストの検索は、グローバル カタログまたは名前サフィックスのヒントを使用して実行されます。一致するものが見つかると、KDC は適切なドメインのクライアントに紹介チケットを返します。
このポリシー設定を無効にした場合、または構成しなかった場合は、SPN を解決するために一覧のフォレストが検索されません。名前が見つからないために KDC で SPN を解決できない場合は、NTLM 認証が使用される場合があります。
一貫した動作を確保するには、ドメイン内のすべてのドメイン コントローラーでこのポリシー設定をサポートして同じ設定にする必要があります。
Registry Hive | HKEY_LOCAL_MACHINE |
Registry Path | Software\Microsoft\Windows\CurrentVersion\Policies\System\KDC\Parameters |
Value Name | UseForestSearch |
Value Type | REG_DWORD |
Enabled Value | 1 |
Disabled Value | 0 |
Registry Hive | HKEY_LOCAL_MACHINE |
Registry Path | Software\Microsoft\Windows\CurrentVersion\Policies\System\KDC\Parameters |
Value Name | ForestSearchList |
Value Type | REG_SZ |
Default Value |
構文:
このポリシーが有効になっているときに検索するフォレストの一覧を入力してください。
完全修飾ドメイン名 (FQDN) の形式を使用してください。
複数の検索エントリはセミコロン ";" で区切ってください。
詳細:
フォレストの検索順序ではまずグローバル カタログが使用され、次に一覧に表示されている順序で検索されるため、現在のフォレストを一覧に含める必要はありません。
フォレスト内のすべてのドメインを個別に一覧に含める必要はありません。
信頼する側のフォレストを一覧に含めると、フォレスト内のすべてのドメインが検索されます。
最適なパフォーマンスを得るためには、一致する可能性が高い順序でフォレストを一覧に含めてください。