FINE CATEGORIA

[Archi]
KERB implica “Dimensione massima del token Kerberos”
MaxToken significa “Kerberos MaxTokenSize”

Come personalizzare l’input macchina MaxTokenSize utilizzando gli oggetti Criteri di gruppo in Windows Server 2008 e Windows Server 2008 R2

Nei domini Windows Server 2008 e Windows Server 2008 R2, la tua azienda può iniziare estendendo il registro lato client che aiuterà a fornire il nostro registro MaxTokenSize per la valutazione di più sistemi operativi in ​​un dominio. Per creare l’impostazione del valore MaxTokenSize in un oggetto Criteri di gruppo, segui questi passaggi:

1. Fare clic su Start, Esegui, digitare gpmc.msc e, se necessario, fare clic su OK per aprire la console di gestione dei criteri di gruppo.
2. Nella Console di gestione dei criteri di gruppo, crea un nuovo oggetto Criteri di gruppo da considerare collegato a livello di dominio o incluso su Un’unità organizzativa contenente gli account del computer. Oppure puoi utilizzare l’oggetto Criteri di gruppo già fornito.
3. Fare clic con il pulsante destro del mouse su un oggetto Criteri di gruppo, quindi fare clic su Modifica per accedere a una finestra specifica dell’editor di gestione dei criteri di gruppo. Computer
4. Espandi Configurazione, espandi Impostazioni e quindi potenzia le Impostazioni di Windows.
5. Fare clic con il pulsante destro del mouse su Registro, selezionare Nuovo ma selezionare Elemento del registro. Viene visualizzata la finestra di discussione Nuove proprietà del registro.
6. Crea un elenco di selezioni in azione.
7. Fare clic su HKEY_LOCAL_MACHINE nelle linee guida.
8. Nel percorso della chiave, fare clic sull’elenco SYSTEM CurrentControlSet Control Lsa Kerberos Parameters.
9. Inserisci MaxTokenSize spesso nel campo Valore titolo annuncio.
10. Per Tipo valore, premere REG_DWORD per selezionare un campo di richiesta.
11. Immettere 48000 nel campo Valore.
12. Scendi alla base per fare clic sulla casella rapida decimale.
13. Fare clic su OK.

Come personalizzare l’input macchina MaxTokenSize utilizzando l’oggetto Criteri di gruppo in Windows Server 2012

Per fornire il valore coinvolto con una voce di registro MaxTokenSize nel dominio che deve visivamente avere i controller di dominio di Windows 2012 Server, eseguire una delle seguenti operazioni:

1. Apri Server Manager, fai clic su Strumenti e devi fare clic su Gestione criteri di gruppo per aprire la Console di gestione criteri di gruppo.
2. Nella Console di gestione dei criteri di gruppo, crea un nuovo oggetto Criteri di gruppo, spesso associato in genere al livello di dominio o talvolta all’orologio GPS aziendale che contiene gli account del tuo computer. Oppure seleziona un nuovo grande oggetto Criteri di gruppo già distribuito.
3. Fare clic con il pulsante destro del mouse su un oggetto Criteri di gruppo, finestra principale, quindi fare clic su Modifica per aprire una sorta di finestra Editor di gestione criteri di gruppo più comune.
4. Espandi Configurazione computer, espandi Criteri, quindi espandi Amministrativo, espandi Modelli.
5. Espandi e Sistema, quindi fai semplicemente clic su Kerberos.
6. Nel riquadro di destra, fare clic con il pulsante destro del mouse su Imposta dimensione massima del buffer del token di contesto Kerberos SSPI oltre a selezionare Modifica.
7. Fai clic su On, quindi inserisci 48000 nel campo Dimensione massima.
8. Fare clic su OK.

Link

Per ulteriori informazioni sulla voce di registro MaxTokenSize più importante, in genere fare clic sul seguente numero di materiale nella Microsoft Knowledge Base:
327825 Nuova versione per problemi di autenticazione Kerberos ogni volta che le persone appartengono a più gruppi

Il massimo MaxTokenSize consentito è 65535 byte. Tuttavia, poiché in genere viene utilizzata la codifica HTTP base64 dei token di prospettiva di autenticazione, non è consigliabile impostare alcune voci di registro maxTokenSize su un nuovo valore aggiuntivo di 48.000 byte. A partire da Windows 2012, tutti i valori predefiniti per il server con il valore di registro MaxTokenSize sono 48.000 byte.

Un valore per la voce di registro MaxTokenSize è praticamente sicuramente impostato su 48000. È questo il valore ragionevole?

Affinché un oggetto Criteri di gruppo possa reagire, la modifica dell’oggetto Criteri di gruppo deve essere replicata sull’unica cosa che indirizza i controller nel dominio e i computer modificati devono essere riavviati dopo che il criterio viene sempre applicato a loro.

Per ricevereDopo i risultati dell’assorbimento dell’oggetto Criteri di gruppo, la modifica dell’oggetto Criteri di gruppo deve essere replicata completamente in modo che tutti i controller di dominio nell’indirizzo ma i computer interessati vengano riavviati dopo che gli utenti hanno integrato il criterio.

• Affinché un oggetto Criteri di gruppo sia valido, la modifica dell’oggetto Criteri di gruppo deve essere replicata effettivamente su tutti i controller di dominio nel dominio e i computer interessati più importanti devono essere riavviati dopo che i commercianti hanno applicato il criterio.

• L’impostazione dell’opzione di assicurazione “Imposta dimensione massima del buffer del token di contesto SSPI Kerberos” viene sempre aggiunta in Windows Server successivo e viene visualizzata in Windows 8. L’habitat dei criteri è supportato in Windows XP, Windows Server il prossimo mese, Windows Vista e Windows Server 09, Windows 2 e Windows Server 2008 R2. Per utilizzare queste impostazioni di Criteri di gruppo, è necessario modificare questa particolare versione di Windows Server 2012 o spesso Windows 8 in gpo dove sono adatti gli strumenti RSAT.

Jonathan Sanderson