☰

Windows Vista 和 Windows 7 跨领域身份验证 MIT Kerberos

tag-icon • tag-icon windows windows-server-2008 windows-7 windows-vista kerberos
Windows Vista 和 Windows 7 跨领域身份验证 MIT Kerberos

我使用 Windows Server 2008 和 Windows Vista 和 7 进行跨领域身份验证，使用 MIT Kerberos 1.6，但是当我尝试以用户身份登录时，KDC 回答：

（wireshark 输出）

错误代码：KRB5KDC_ERR_ETYPE_NOSUPP (14) ... 电子文本：BAD_ENCRYPTION_TYPE

我想知道如何更改加密类型方法以与 KDC 兼容（我尝试过 XP 客户端并且运行良好）。

（昨天在超级用户上发布了这个，但我猜这更像是一个服务器故障问题）

谁可以帮我这个事 ？

非常感谢！

答案1

以下两个链接包含有关 Kerberos 的 SupportedEncryptionTypes 配置的一些详细信息： http://msdn.microsoft.com/en-us/library/ms677827%28v=vs.85%29.aspx https://blogs.msdn.com/b/openspecification/archive/2009/09/12/msds-supportedencryptiontypes-episode-1-computer-accounts.aspx

一般来说，您需要在 KDC 和 Windows 机器之间使用通用算法。如果您运行的是较新版本的 MIT Kerberos，则应该支持 AES，但如果您的 KDC 较旧，则需要使用 DES 进行互操作。@tommed 是正确的，DES 在 Win7 中默认被禁用，但它在 Vista 上应该可以正常工作。

或者，捕获 KDC 和客户端机器之间的网络流量，查看客户端提供的内容，并查看 KDC 配置以确保您至少有一个共同的加密算法。

答案2

这听起来在原理上与我刚刚处理的 SSL 错误类似通过
如果涉及证书，请确保它是使用证书请求向导中的 CNG 选项而不是 Legacy Key 选项生成的。

答案3

您使用的是哪种加密类型？您在创建主机策略时指定了加密类型吗？如果没有，则可能使用 DES，即在 Windows 7 中默认禁用。

尝试启用 DES 并重试。同时确保您的时间与服务器同步！

希望有帮助！:)

相关内容