KDC-stöd för anspråk, sammansatt autentisering och Kerberos-skydd

Med den här principinställningen kan du konfigurera en domänkontrollant för anspråk och sammansatt autentisering för dynamisk åtkomstkontroll och Kerberos-skydd via Kerberos-autentisering.

Om du aktiverar den här principinställningen kommer klientdatorer som har stöd för anspråk och sammansatt autentisering för dynamisk åtkomstkontroll samt har Kerberos-skydd att använda funktionen för Kerberos-autentiseringsmeddelanden. Den här principinställningen bör användas på alla domänkontrollanter för att säkerställa en konsekvent tillämpning av principen i domänen.

Om du inaktiverar eller låter bli att konfigurera den här principinställningen har inte domänkontrollanten stöd för anspråk, sammansatt autentisering och Kerberos-skydd.

Om du konfigurerar alternativet Stöds inte (Not supported) kan domänkontrollanten inte hantera anspråk, sammansatt autentisering eller skydd som är standardbeteendet för domänkontrollanter som kör Windows Server 2008 R2 eller tidigare operativsystem.

Obs! Om de följande alternativen till KDC-principen ska fungeras måste Kerberos-grupprincipen Kerberosklientstöd för anspråk, sammansatt autentisering och Kerberos-skydd vara aktiverad på de system som stöds. Om Kerberos-principinställningen inte är aktiverad används inte dessa funktioner i Kerberos-autentiseringsmeddelanden.

Om du konfigurerar alternativet Stöds (Supported) kan domänkontrollanten hantera anspråk, sammansatt autentisering och Kerberos-skydd. Domänkontrollanten meddelar Kerberos-klientdatorerna att domänen kan hantera anspråk och sammansatt autentisering för dynamisk åtkomstkontroll samt Kerberos-skydd.

Krav på domänfunktionsnivå
Om domänfunktionsnivån är Windows Server 2008 R2 eller tidigare beter sig domänkontrollanterna som om alternativet Stöds (Supported) har valts för alternativen Tillhandahåll alltid anspråk (Always provide claims) och Avböj oskyddade autentiseringsbegäranden (Fail unarmored authentication requests).

När domänfunktionsnivån är inställd på Windows Server 2012 meddelar domänkontrollanten Kerberos-klientdatorerna att domänen kan hantera anspråk och sammansatt autentisering för dynamisk åtkomstkontroll samt Kerberos-skydd och:
– Om du anger alternativet Tillhandahåll alltid anspråk (Always provide claims) returnerar domänkontrollanterna dessutom alltid anspråk för konton samt stöder RFC-funktioner för FAST-annonsering (Flexible Authentication Secure Tunneling).
– Om du väljer alternativet Avböj oskyddade autentiseringsbegäranden (Fail unarmored authentication requests) avvisar domänkontrollanterna oskyddade Kerberos-meddelanden.

Varning! Om du väljer Avböj oskyddade autentiseringsbegäranden (Fail unarmored authentication requests) misslyckas autentiseringen av domänkontrollanten för klientdatorer som inte stöder Kerberos-skydd.

För att funktionen ska vara effektiv är det dock viktigt att tillräckligt många domänkontrollanter har stöd för anspråk och sammansatt autentisering för dynamisk åtkomstkontroll samt har Kerberos-skydd för hantering av autentiseringsbegäranden. Om inte tillräckligt många domänkontrollanter har för stöd för principen misslyckas autentiseringen när dynamisk åtkomstkontroll eller Kerberos-skydd krävs (d.v.s. alternativet Stöds (Supported) är aktiverat).

Prestandakonsekvenser för domänkontrollanter när den här principinställningen är aktiverad:
– Funktionsidentifiering för säkra Kerberos-domäner krävs, vilket leder till ytterligare meddelandeutbyten.
– Med anspråk och sammansatt autentisering för dynamisk åtkomstkontroll ökar storleken och komplexiteten på data i meddelandet, vilket leder till längre bearbetningstid och större storlek på Kerberos-tjänstbiljetter.
– Med Kerberos-skydd krypteras Kerberos-meddelanden helt och Kerberos-fel signeras, vilket leder till ökad bearbetningstid. Storleken på tjänstbiljetterna ändras dock inte.

Alternativ för anspråk, sammansatt autentisering för dynamisk åtkomstkontroll och Kerberos-skydd:

0. Stöds inte (Not supported)
   

   Registry Hive	HKEY_LOCAL_MACHINE
   Registry Path	Software\Microsoft\Windows\CurrentVersion\Policies\System\KDC\Parameters
   Value Name	CbacAndArmorLevel
   Value Type	REG_DWORD
   Value	0

1. Stöds
   

   Registry Hive	HKEY_LOCAL_MACHINE
   Registry Path	Software\Microsoft\Windows\CurrentVersion\Policies\System\KDC\Parameters
   Value Name	CbacAndArmorLevel
   Value Type	REG_DWORD
   Value	1

2. Tillhandahåll alltid anspråk (Always provide claims)
   

   Registry Hive	HKEY_LOCAL_MACHINE
   Registry Path	Software\Microsoft\Windows\CurrentVersion\Policies\System\KDC\Parameters
   Value Name	CbacAndArmorLevel
   Value Type	REG_DWORD
   Value	2

3. Avböj oskyddade autentiseringsbegäranden (Fail unarmored authentication requests)
   

   Registry Hive	HKEY_LOCAL_MACHINE
   Registry Path	Software\Microsoft\Windows\CurrentVersion\Policies\System\KDC\Parameters
   Value Name	CbacAndArmorLevel
   Value Type	REG_DWORD
   Value	3