Política CSP – Kerberos
Dica
Este CSP contém políticas apoiadas pelo ADMX que exigem um formato SyncML especial para habilitar ou desabilitar. Você deve especificar o tipo de dados no SyncML como <Format>chr</Format>. Para obter detalhes, consulte Noções básicas sobre políticas apoiadas pelo ADMX.
A carga do SyncML deve ser codificada por XML; para essa codificação XML, há uma variedade de codificadores online que você pode usar. Para evitar codificar a carga, você pode usar a CDATA se o MDM der suporte a ela. Para obter mais informações, confira Seções CDATA.
AllowForestSearchOrder
| Escopo | Edições | Sistema operacional aplicável |
|---|---|---|
| Dispositivo ✅ Usuário ❌ |
Pro ✅ Corporativo ✅ Educação ✅ Windows SE ✅ Empresa de Internet das Coisas / LTSC Empresa Internet das Coisas ✅ |
✅Windows 10, versão 1703 [10.0.15063] e posterior |
./Device/Vendor/MSFT/Policy/Config/Kerberos/AllowForestSearchOrder
Essa configuração de política define a lista de florestas confiáveis que o cliente Kerberos pesquisa ao tentar resolve SPNs (nomes de entidade de serviço de duas partes).
Se você habilitar essa configuração de política, o cliente Kerberos pesquisará as florestas nesta lista, se não conseguir resolve um SPN de duas partes. Se uma correspondência for encontrada, o cliente Kerberos solicitará um tíquete de referência para o domínio apropriado.
Se você desabilitar ou não configurar essa configuração de política, o cliente Kerberos não pesquisará as florestas listadas para resolve o SPN. Se o cliente Kerberos não conseguir resolve o SPN porque o nome não foi encontrado, a autenticação NTLM poderá ser usada.
Propriedades da estrutura de descrição:
| Nome da propriedade | Valor de propriedade |
|---|---|
| Formato |
chr (cadeia de caracteres) |
| Tipo de acesso | Adicionar, Excluir, Obter, Substituir |
Dica
Essa é uma política apoiada pelo ADMX e requer formato SyncML para configuração. Para obter um exemplo de formato SyncML, consulte Habilitar uma política.
Mapeamento do ADMX:
| Nome | Valor |
|---|---|
| Nome | ForestSearch |
| Nome Amigável | Usar a ordem de pesquisa florestal |
| Localização | Configuração do Computador |
| Caminho | Sistema > Kerberos |
| Nome da Chave do Registro | Software\Microsoft\Windows\CurrentVersion\Policies\System\Kerberos\Parameters |
| Nome do Valor do Registro | UseForestSearch |
| Nome do Arquivo ADMX | Kerberos.admx |
CloudKerberosTicketRetrievalEnabled
| Escopo | Edições | Sistema operacional aplicável |
|---|---|---|
| Dispositivo ✅ Usuário ❌ |
Pro ✅ Corporativo ✅ Educação ✅ Windows SE ✅ Empresa de Internet das Coisas / LTSC Empresa Internet das Coisas ✅ |
✅Windows 11, versão 21H2 [10.0.22000] e posterior |
./Device/Vendor/MSFT/Policy/Config/Kerberos/CloudKerberosTicketRetrievalEnabled
Essa configuração de política permite recuperar o Tíquete de Concessão de Tíquete Kerberos Microsoft Entra durante o logon.
Se você desabilitar ou não configurar essa configuração de política, o Tíquete de Concessão de Tíquete kerberos Microsoft Entra não será recuperado durante o logon.
Se você habilitar essa configuração de política, o Tíquete de Concessão de Tíquete kerberos Microsoft Entra será recuperado durante o logon.
Propriedades da estrutura de descrição:
| Nome da propriedade | Valor de propriedade |
|---|---|
| Formato | int |
| Tipo de acesso | Adicionar, Excluir, Obter, Substituir |
| Valor Padrão | 0 |
Valores Permitidos:
| Valor | Descrição |
|---|---|
| 0 (Padrão) | Desabilitado. |
| 1 | Enabled. |
Mapeamento de política de grupo:
| Nome | Valor |
|---|---|
| Nome | CloudKerberosTicketRetrievalEnabled |
| Nome Amigável | Permitir a recuperação do tíquete de concessão de tíquete kerberos Azure AD durante o logon |
| Localização | Configuração do Computador |
| Caminho | Sistema > Kerberos |
| Nome da Chave do Registro | Software\Microsoft\Windows\CurrentVersion\Policies\System\Kerberos\Parameters |
| Nome do Valor do Registro | CloudKerberosTicketRetrievalEnabled |
| Nome do Arquivo ADMX | Kerberos.admx |
KerberosClientSupportsClaimsCompoundArmor
| Escopo | Edições | Sistema operacional aplicável |
|---|---|---|
| Dispositivo ✅ Usuário ❌ |
Pro ✅ Corporativo ✅ Educação ✅ Windows SE ✅ Empresa de Internet das Coisas / LTSC Empresa Internet das Coisas ✅ |
✅Windows 10, versão 1703 [10.0.15063] e posterior |
./Device/Vendor/MSFT/Policy/Config/Kerberos/KerberosClientSupportsClaimsCompoundArmor
Essa configuração de política controla se um dispositivo solicitará declarações e autenticação composta para o blindamento do Dynamic Controle de Acesso e Kerberos usando a autenticação Kerberos com domínios que dão suporte a esses recursos.
Se você habilitar essa configuração de política, os computadores cliente solicitarão declarações, fornecerão informações necessárias para criar autenticação composta e blindar mensagens Kerberos em domínios que dão suporte a declarações e autenticação composta para blindagem do Dynamic Controle de Acesso e Kerberos.
Se você desabilitar ou não configurar essa configuração de política, os dispositivos cliente não solicitarão declarações, fornecerão informações necessárias para criar autenticação composta e blindar mensagens Kerberos. Os serviços hospedados no dispositivo não poderão recuperar declarações para clientes usando a transição de protocolo Kerberos.
Propriedades da estrutura de descrição:
| Nome da propriedade | Valor de propriedade |
|---|---|
| Formato |
chr (cadeia de caracteres) |
| Tipo de acesso | Adicionar, Excluir, Obter, Substituir |
Dica
Essa é uma política apoiada pelo ADMX e requer formato SyncML para configuração. Para obter um exemplo de formato SyncML, consulte Habilitar uma política.
Mapeamento do ADMX:
| Nome | Valor |
|---|---|
| Nome | EnableCbacAndArmor |
| Nome Amigável | Suporte ao cliente Kerberos para declarações, autenticação composta e blindagem Kerberos |
| Localização | Configuração do Computador |
| Caminho | Sistema > Kerberos |
| Nome da Chave do Registro | Software\Microsoft\Windows\CurrentVersion\Policies\System\Kerberos\Parameters |
| Nome do Valor do Registro | EnableCbacAndArmor |
| Nome do Arquivo ADMX | Kerberos.admx |
PKInitHashAlgorithmConfiguration
| Escopo | Edições | Sistema operacional aplicável |
|---|---|---|
| Dispositivo ✅ Usuário ❌ |
Pro ✅ Corporativo ✅ Educação ✅ Windows SE ✅ Empresa de Internet das Coisas / LTSC Empresa Internet das Coisas ✅ |
✅Windows 11, versão 22H2 [10.0.22621] e posterior |
./Device/Vendor/MSFT/Policy/Config/Kerberos/PKInitHashAlgorithmConfiguration
Essa configuração de política controla algoritmos de hash ou check-um usados pelo cliente Kerberos ao executar a autenticação de certificado.
Se você habilitar essa política, poderá configurar um dos quatro estados para cada algoritmo:
"Padrão" define o algoritmo como o estado recomendado.
"Com suporte" permite o uso do algoritmo. Habilitar algoritmos que foram desabilitados por padrão pode reduzir sua segurança.
"Auditado" permite o uso do algoritmo e relata um evento (ID 206) toda vez que ele é usado. Esse estado destina-se a verificar se o algoritmo não está sendo usado e pode ser desabilitado com segurança.
"Não suportado" desabilita o uso do algoritmo. Esse estado destina-se a algoritmos considerados inseguros.
Se você desabilitar ou não configurar essa política, cada algoritmo assumirá o estado "Padrão".
Eventos gerados por essa configuração: 205, 206, 207, 208.
Propriedades da estrutura de descrição:
| Nome da propriedade | Valor de propriedade |
|---|---|
| Formato | int |
| Tipo de acesso | Adicionar, Excluir, Obter, Substituir |
| Valor Padrão | 0 |
Valores Permitidos:
| Valor | Descrição |
|---|---|
| 0 (Padrão) | Desabilitado/ não configurado. |
| 1 | Enabled. |
Mapeamento de política de grupo:
| Nome | Valor |
|---|---|
| Nome | PKInitHashAlgorithmConfiguration |
| Nome Amigável | Configurar algoritmos de hash para logon de certificado |
| Localização | Configuração do Computador |
| Caminho | Sistema > Kerberos |
| Nome da Chave do Registro | Software\Microsoft\Windows\CurrentVersion\Policies\System\Kerberos\Parameters |
| Nome do Valor do Registro | PKInitHashAlgorithmConfigurationEnabled |
| Nome do Arquivo ADMX | Kerberos.admx |
PKInitHashAlgorithmSHA1
| Escopo | Edições | Sistema operacional aplicável |
|---|---|---|
| Dispositivo ✅ Usuário ❌ |
Pro ✅ Corporativo ✅ Educação ✅ Windows SE ✅ Empresa de Internet das Coisas / LTSC Empresa Internet das Coisas ✅ |
✅Windows 11, versão 22H2 [10.0.22621] e posterior |
./Device/Vendor/MSFT/Policy/Config/Kerberos/PKInitHashAlgorithmSHA1
Essa configuração de política controla a configuração do algoritmo SHA1 usado pelo cliente Kerberos ao executar a autenticação de certificado. Essa política só será imposta se Kerberos/PKInitHashAlgorithmConfiguration estiver habilitada. Você pode configurar um dos quatro estados para este algoritmo:
- 0 – Sem suporte: esse estado desabilita o uso do algoritmo. Esse estado destina-se a algoritmos considerados inseguros.
- 1 – Padrão: esse estado define o algoritmo como o estado recomendado.
- 2 – Auditado: esse estado permite o uso do algoritmo e relata um evento (ID 206) sempre que ele é usado. Esse estado destina-se a verificar se o algoritmo não está sendo usado e pode ser desabilitado com segurança.
- 3 – Com suporte: esse estado permite o uso do algoritmo. Habilitar algoritmos que foram desabilitados por padrão pode reduzir sua segurança.
Se você não configurar essa política, o algoritmo SHA1 assumirá o estado Padrão .
Propriedades da estrutura de descrição:
| Nome da propriedade | Valor de propriedade |
|---|---|
| Formato | int |
| Tipo de acesso | Adicionar, Excluir, Obter, Substituir |
| Valor Padrão | 1 |
| Dependência [PKINIT_Hash_Algorithm_Configuration_DependencyGroup] | Tipo de dependência: DependsOn URI de dependência: Device/Vendor/MSFT/Policy/Config/Kerberos/PKInitHashAlgorithmConfiguration Valor permitido de dependência: [1] Tipo de valor permitido de dependência: Range |
Valores Permitidos:
| Valor | Descrição |
|---|---|
| 0 | Não há suporte. |
| 1 (Padrão) | Padrão. |
| 2 | Auditadas. |
| 3 | Com suporte. |
Mapeamento de política de grupo:
| Nome | Valor |
|---|---|
| Nome | PKInitHashAlgorithmConfiguration |
| Nome Amigável | Configurar algoritmos de hash para logon de certificado |
| Localização | Configuração do Computador |
| Caminho | Sistema > Kerberos |
| Nome da Chave do Registro | Software\Microsoft\Windows\CurrentVersion\Policies\System\Kerberos\Parameters |
| Nome do Valor do Registro | PKInitHashAlgorithmConfigurationEnabled |
| Nome do Arquivo ADMX | Kerberos.admx |
PKInitHashAlgorithmSHA256
| Escopo | Edições | Sistema operacional aplicável |
|---|---|---|
| Dispositivo ✅ Usuário ❌ |
Pro ✅ Corporativo ✅ Educação ✅ Windows SE ✅ Empresa de Internet das Coisas / LTSC Empresa Internet das Coisas ✅ |
✅Windows 11, versão 22H2 [10.0.22621] e posterior |
./Device/Vendor/MSFT/Policy/Config/Kerberos/PKInitHashAlgorithmSHA256
Essa configuração de política controla a configuração do algoritmo SHA256 usado pelo cliente Kerberos ao executar a autenticação de certificado. Essa política só será imposta se Kerberos/PKInitHashAlgorithmConfiguration estiver habilitada. Você pode configurar um dos quatro estados para este algoritmo:
- 0 – Sem suporte: esse estado desabilita o uso do algoritmo. Esse estado destina-se a algoritmos considerados inseguros.
- 1 – Padrão: esse estado define o algoritmo como o estado recomendado.
- 2 – Auditado: esse estado permite o uso do algoritmo e relata um evento (ID 206) sempre que ele é usado. Esse estado destina-se a verificar se o algoritmo não está sendo usado e pode ser desabilitado com segurança.
- 3 – Com suporte: esse estado permite o uso do algoritmo. Habilitar algoritmos que foram desabilitados por padrão pode reduzir sua segurança.
Se você não configurar essa política, o algoritmo SHA256 assumirá o estado Padrão .
Propriedades da estrutura de descrição:
| Nome da propriedade | Valor de propriedade |
|---|---|
| Formato | int |
| Tipo de acesso | Adicionar, Excluir, Obter, Substituir |
| Valor Padrão | 1 |
| Dependência [PKINIT_Hash_Algorithm_Configuration_DependencyGroup] | Tipo de dependência: DependsOn URI de dependência: Device/Vendor/MSFT/Policy/Config/Kerberos/PKInitHashAlgorithmConfiguration Valor permitido de dependência: [1] Tipo de valor permitido de dependência: Range |
Valores Permitidos:
| Valor | Descrição |
|---|---|
| 0 | Não há suporte. |
| 1 (Padrão) | Padrão. |
| 2 | Auditadas. |
| 3 | Com suporte. |
Mapeamento de política de grupo:
| Nome | Valor |
|---|---|
| Nome | PKInitHashAlgorithmConfiguration |
| Nome Amigável | Configurar algoritmos de hash para logon de certificado |
| Localização | Configuração do Computador |
| Caminho | Sistema > Kerberos |
| Nome da Chave do Registro | Software\Microsoft\Windows\CurrentVersion\Policies\System\Kerberos\Parameters |
| Nome do Valor do Registro | PKInitHashAlgorithmConfigurationEnabled |
| Nome do Arquivo ADMX | Kerberos.admx |
PKInitHashAlgorithmSHA384
| Escopo | Edições | Sistema operacional aplicável |
|---|---|---|
| Dispositivo ✅ Usuário ❌ |
Pro ✅ Corporativo ✅ Educação ✅ Windows SE ✅ Empresa de Internet das Coisas / LTSC Empresa Internet das Coisas ✅ |
✅Windows 11, versão 22H2 [10.0.22621] e posterior |
./Device/Vendor/MSFT/Policy/Config/Kerberos/PKInitHashAlgorithmSHA384
Essa configuração de política controla a configuração do algoritmo SHA384 usado pelo cliente Kerberos ao executar a autenticação de certificado. Essa política só será imposta se Kerberos/PKInitHashAlgorithmConfiguration estiver habilitada. Você pode configurar um dos quatro estados para este algoritmo:
- 0 – Sem suporte: esse estado desabilita o uso do algoritmo. Esse estado destina-se a algoritmos considerados inseguros.
- 1 – Padrão: esse estado define o algoritmo como o estado recomendado.
- 2 – Auditado: esse estado permite o uso do algoritmo e relata um evento (ID 206) sempre que ele é usado. Esse estado destina-se a verificar se o algoritmo não está sendo usado e pode ser desabilitado com segurança.
- 3 – Com suporte: esse estado permite o uso do algoritmo. Habilitar algoritmos que foram desabilitados por padrão pode reduzir sua segurança.
Se você não configurar essa política, o algoritmo SHA384 assumirá o estado Padrão .
Propriedades da estrutura de descrição:
| Nome da propriedade | Valor de propriedade |
|---|---|
| Formato | int |
| Tipo de acesso | Adicionar, Excluir, Obter, Substituir |
| Valor Padrão | 1 |
| Dependência [PKINIT_Hash_Algorithm_Configuration_DependencyGroup] | Tipo de dependência: DependsOn URI de dependência: Device/Vendor/MSFT/Policy/Config/Kerberos/PKInitHashAlgorithmConfiguration Valor permitido de dependência: [1] Tipo de valor permitido de dependência: Range |
Valores Permitidos:
| Valor | Descrição |
|---|---|
| 0 | Não há suporte. |
| 1 (Padrão) | Padrão. |
| 2 | Auditadas. |
| 3 | Com suporte. |
Mapeamento de política de grupo:
| Nome | Valor |
|---|---|
| Nome | PKInitHashAlgorithmConfiguration |
| Nome Amigável | Configurar algoritmos de hash para logon de certificado |
| Localização | Configuração do Computador |
| Caminho | Sistema > Kerberos |
| Nome da Chave do Registro | Software\Microsoft\Windows\CurrentVersion\Policies\System\Kerberos\Parameters |
| Nome do Valor do Registro | PKInitHashAlgorithmConfigurationEnabled |
| Nome do Arquivo ADMX | Kerberos.admx |
PKInitHashAlgorithmSHA512
| Escopo | Edições | Sistema operacional aplicável |
|---|---|---|
| Dispositivo ✅ Usuário ❌ |
Pro ✅ Corporativo ✅ Educação ✅ Windows SE ✅ Empresa de Internet das Coisas / LTSC Empresa Internet das Coisas ✅ |
✅Windows 11, versão 22H2 [10.0.22621] e posterior |
./Device/Vendor/MSFT/Policy/Config/Kerberos/PKInitHashAlgorithmSHA512
Essa configuração de política controla a configuração do algoritmo SHA512 usado pelo cliente Kerberos ao executar a autenticação de certificado. Essa política só será imposta se Kerberos/PKInitHashAlgorithmConfiguration estiver habilitada. Você pode configurar um dos quatro estados para este algoritmo:
- 0 – Sem suporte: esse estado desabilita o uso do algoritmo. Esse estado destina-se a algoritmos considerados inseguros.
- 1 – Padrão: esse estado define o algoritmo como o estado recomendado.
- 2 – Auditado: esse estado permite o uso do algoritmo e relata um evento (ID 206) sempre que ele é usado. Esse estado destina-se a verificar se o algoritmo não está sendo usado e pode ser desabilitado com segurança.
- 3 – Com suporte: esse estado permite o uso do algoritmo. Habilitar algoritmos que foram desabilitados por padrão pode reduzir sua segurança.
Se você não configurar essa política, o algoritmo SHA512 assumirá o estado Padrão .
Propriedades da estrutura de descrição:
| Nome da propriedade | Valor de propriedade |
|---|---|
| Formato | int |
| Tipo de acesso | Adicionar, Excluir, Obter, Substituir |
| Valor Padrão | 1 |
| Dependência [PKINIT_Hash_Algorithm_Configuration_DependencyGroup] | Tipo de dependência: DependsOn URI de dependência: Device/Vendor/MSFT/Policy/Config/Kerberos/PKInitHashAlgorithmConfiguration Valor permitido de dependência: [1] Tipo de valor permitido de dependência: Range |
Valores Permitidos:
| Valor | Descrição |
|---|---|
| 0 | Não há suporte. |
| 1 (Padrão) | Padrão. |
| 2 | Auditadas. |
| 3 | Com suporte. |
Mapeamento de política de grupo:
| Nome | Valor |
|---|---|
| Nome | PKInitHashAlgorithmConfiguration |
| Nome Amigável | Configurar algoritmos de hash para logon de certificado |
| Localização | Configuração do Computador |
| Caminho | Sistema > Kerberos |
| Nome da Chave do Registro | Software\Microsoft\Windows\CurrentVersion\Policies\System\Kerberos\Parameters |
| Nome do Valor do Registro | PKInitHashAlgorithmConfigurationEnabled |
| Nome do Arquivo ADMX | Kerberos.admx |
RequireKerberosArmoring
| Escopo | Edições | Sistema operacional aplicável |
|---|---|---|
| Dispositivo ✅ Usuário ❌ |
Pro ✅ Corporativo ✅ Educação ✅ Windows SE ✅ Empresa de Internet das Coisas / LTSC Empresa Internet das Coisas ✅ |
✅Windows 10, versão 1703 [10.0.15063] e posterior |
./Device/Vendor/MSFT/Policy/Config/Kerberos/RequireKerberosArmoring
Essa configuração de política controla se um computador exige que as trocas de mensagens Kerberos sejam blindadas ao se comunicar com um controlador de domínio.
Aviso
Quando um domínio não dá suporte ao blindamento Kerberos habilitando "Suporte ao blindamento dinâmico Controle de Acesso e Kerberos", toda a autenticação para todos os seus usuários falhará em computadores com essa configuração de política habilitada.
- Se você habilitar essa configuração de política, os computadores cliente no domínio imporão o uso do blindamento Kerberos somente em trocas de mensagens TGS (serviço de autenticação) e TGS (serviço de concessão de tíquetes) com os controladores de domínio.
Observação
Os Kerberos Política de Grupo "Suporte ao cliente Kerberos para declarações, autenticação composta e blindagem Kerberos" também devem estar habilitados para dar suporte ao blindamento Kerberos.
- Se você desabilitar ou não configurar essa configuração de política, os computadores cliente no domínio imporão o uso do blindamento Kerberos quando possível, conforme suportado pelo domínio de destino.
Propriedades da estrutura de descrição:
| Nome da propriedade | Valor de propriedade |
|---|---|
| Formato |
chr (cadeia de caracteres) |
| Tipo de acesso | Adicionar, Excluir, Obter, Substituir |
Dica
Essa é uma política apoiada pelo ADMX e requer formato SyncML para configuração. Para obter um exemplo de formato SyncML, consulte Habilitar uma política.
Mapeamento do ADMX:
| Nome | Valor |
|---|---|
| Nome | ClientRequireFast |
| Nome Amigável | Solicitações de autenticação de falha quando o blindamento Kerberos não está disponível |
| Localização | Configuração do Computador |
| Caminho | Sistema > Kerberos |
| Nome da Chave do Registro | Software\Microsoft\Windows\CurrentVersion\Policies\System\Kerberos\Parameters |
| Nome do Valor do Registro | RequireFast |
| Nome do Arquivo ADMX | Kerberos.admx |
RequireStrictKDCValidation
| Escopo | Edições | Sistema operacional aplicável |
|---|---|---|
| Dispositivo ✅ Usuário ❌ |
Pro ✅ Corporativo ✅ Educação ✅ Windows SE ✅ Empresa de Internet das Coisas / LTSC Empresa Internet das Coisas ✅ |
✅Windows 10, versão 1703 [10.0.15063] e posterior |
./Device/Vendor/MSFT/Policy/Config/Kerberos/RequireStrictKDCValidation
Essa configuração de política controla o comportamento do cliente Kerberos na validação do certificado KDC para cartão inteligente e logon de certificado do sistema.
Se você habilitar essa configuração de política, o cliente Kerberos exigirá que o certificado X.509 do KDC contenha o identificador de objeto de finalidade de chave KDC nas extensões EKU (Uso de Chave Estendida) e que o certificado X.509 do KDC contenha uma extensão dNSName subjectAltName (SAN) que corresponda ao nome DNS do domínio. Se o computador for ingressado em um domínio, o cliente Kerberos exigirá que o certificado X.509 do KDC seja assinado por uma AUTORIDADE de Certificado (AC) no repositório NTAuth. Se o computador não for ingressado em um domínio, o cliente Kerberos permitirá que o certificado de AC raiz no cartão inteligente seja usado na validação de caminho do certificado X.509 do KDC.
Se você desabilitar ou não configurar essa configuração de política, o cliente Kerberos exigirá apenas que o certificado KDC contenha o identificador de objeto de finalidade autenticação do servidor nas extensões EKU que podem ser emitidas para qualquer servidor.
Propriedades da estrutura de descrição:
| Nome da propriedade | Valor de propriedade |
|---|---|
| Formato |
chr (cadeia de caracteres) |
| Tipo de acesso | Adicionar, Excluir, Obter, Substituir |
Dica
Essa é uma política apoiada pelo ADMX e requer formato SyncML para configuração. Para obter um exemplo de formato SyncML, consulte Habilitar uma política.
Mapeamento do ADMX:
| Nome | Valor |
|---|---|
| Nome | ValidateKDC |
| Nome Amigável | Exigir validação estrita do KDC |
| Localização | Configuração do Computador |
| Caminho | Sistema > Kerberos |
| Nome da Chave do Registro | Software\Microsoft\Windows\CurrentVersion\Policies\System\Kerberos\Parameters |
| Nome do Valor do Registro | KdcValidation |
| Nome do Arquivo ADMX | Kerberos.admx |
SetMaximumContextTokenSize
| Escopo | Edições | Sistema operacional aplicável |
|---|---|---|
| Dispositivo ✅ Usuário ❌ |
Pro ✅ Corporativo ✅ Educação ✅ Windows SE ✅ Empresa de Internet das Coisas / LTSC Empresa Internet das Coisas ✅ |
✅Windows 10, versão 1703 [10.0.15063] e posterior |
./Device/Vendor/MSFT/Policy/Config/Kerberos/SetMaximumContextTokenSize
Essa configuração de política permite definir o valor retornado aos aplicativos que solicitam o tamanho máximo do tamanho do buffer do token de contexto SSPI.
O tamanho do buffer de token de contexto determina o tamanho máximo dos tokens de contexto SSPI que um aplicativo espera e aloca. Dependendo do processamento de solicitação de autenticação e associações de grupo, o buffer pode ser menor do que o tamanho real do token de contexto SSPI.
Se você habilitar essa configuração de política, o cliente ou servidor Kerberos usará o valor configurado ou o valor máximo permitido localmente, o que for menor.
Se você desabilitar ou não configurar essa configuração de política, o cliente ou servidor Kerberos usará o valor configurado localmente ou o valor padrão.
Observação
Essa configuração de política configura o valor de registro MaxTokenSize existente no HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\Kerberos\Parameters, que foi adicionado no Windows XP e no Windows Server 2003, com um valor padrão de 12.000 bytes. Começando com Windows 8 o padrão é 48.000 bytes. Devido à codificação base64 do HTTP de tokens de contexto de autenticação, não é recomendável definir esse valor em mais de 48.000 bytes.
Propriedades da estrutura de descrição:
| Nome da propriedade | Valor de propriedade |
|---|---|
| Formato |
chr (cadeia de caracteres) |
| Tipo de acesso | Adicionar, Excluir, Obter, Substituir |
Dica
Essa é uma política apoiada pelo ADMX e requer formato SyncML para configuração. Para obter um exemplo de formato SyncML, consulte Habilitar uma política.
Mapeamento do ADMX:
| Nome | Valor |
|---|---|
| Nome | MaxTokenSize |
| Nome Amigável | Definir o tamanho máximo do buffer de token de contexto do Kerberos SSPI |
| Localização | Configuração do Computador |
| Caminho | Sistema > Kerberos |
| Nome da Chave do Registro | System\CurrentControlSet\Control\Lsa\Kerberos\Parameters |
| Nome do Valor do Registro | EnableMaxTokenSize |
| Nome do Arquivo ADMX | Kerberos.admx |
UPNNameHints
| Escopo | Edições | Sistema operacional aplicável |
|---|---|---|
| Dispositivo ✅ Usuário ❌ |
Pro ✅ Corporativo ✅ Educação ✅ Windows SE ✅ Empresa de Internet das Coisas / LTSC Empresa Internet das Coisas ✅ |
✅Windows 10, versão 1809 [10.0.17763] e posterior |
./Device/Vendor/MSFT/Policy/Config/Kerberos/UPNNameHints
Os dispositivos unidos ao Microsoft Entra ID em um ambiente híbrido precisam interagir com Domínio do Active Directory Controladores, mas não têm a capacidade interna de encontrar um Controlador de Domínio que um dispositivo ingressado no domínio tenha. Isso pode causar falhas quando esse dispositivo precisa resolve um MICROSOFT ENTRA UPN em uma Entidade do Active Directory. Esse parâmetro adiciona uma lista de domínios que um Microsoft Entra dispositivo ingressado deve tentar contatar se não for possível resolve um UPN a uma entidade de segurança.
Propriedades da estrutura de descrição:
| Nome da propriedade | Valor de propriedade |
|---|---|
| Formato |
chr (cadeia de caracteres) |
| Tipo de acesso | Adicionar, Excluir, Obter, Substituir |
| Valores Permitidos | Lista (Delimitador: 0xF000) |