![如何以编程方式设置“其他域支持 Kerberos AES 加密”设置?](https://linux22.com/image/776663/%E5%A6%82%E4%BD%95%E4%BB%A5%E7%BC%96%E7%A8%8B%E6%96%B9%E5%BC%8F%E8%AE%BE%E7%BD%AE%E2%80%9C%E5%85%B6%E4%BB%96%E5%9F%9F%E6%94%AF%E6%8C%81%20Kerberos%20AES%20%E5%8A%A0%E5%AF%86%E2%80%9D%E8%AE%BE%E7%BD%AE%EF%BC%9F.png)
在 GUI 中(Active Directory 域和信任MMC Snap-in(domain.msc
))中,您可以设置“其他域支持 Kerberos AES 加密”设置以建立信任关系:
我正在寻找一种以编程方式设置此设置的方法。我已经查看了Install-ADDSDomain
PowerShell cmdlet 以及netdom TRUST
工具,但两者似乎都没有包含设置Kerberos AES 加密环境。
有人能告诉我如何以编程方式设置此设置吗?
答案1
这可以通过ksetup
:
ksetup /setenctypeattr <THE_OTHER_DOMAIN> AES128-CTS-HMAC-SHA1-96 AES256-CTS-HMAC-SHA1-96
也可以看看本文档。请注意在哪个域中执行此命令。您只能使用它来设置加密类型其他领域。因此,如果您在 DC 上child.contoso.com
,您可以发出:
ksetup /setenctypeattr contoso.com AES128-CTS-HMAC-SHA1-96 AES256-CTS-HMAC-SHA1-96
如果您在 DC 上contoso.com
,您可以发出:
ksetup /setenctypeattr child.contoso.com AES128-CTS-HMAC-SHA1-96 AES256-CTS-HMAC-SHA1-96
其他组合则不可能发生,并且您可能会面临以下问题: