Conta de administrador não é utilizável por clientes de Kerberos não Windows 2000

Todas as contas de utilizador do Windows 2000 também são nomes principais de Kerberos. Isto permite implementações Kerberos a utilizar um domínio do Windows 2000 como um realm de Kerberos não baseado no Windows. Para activar esta funcionalidade, a chave de baseado em DES equivalente para utilização por implementações interoperáveis é armazenada sempre que é criada uma conta ou uma palavra-passe é alterada.

Uma conta não tem uma chave DES nas seguintes situações:

• Quando um domínio é actualizado.
• Quando a conta de administrador inicial num novo domínio é criada.

Quando é actualizado um domínio existente, as teclas de apenas disponíveis nas contas são as chaves challenge/response (NTLM) existente. Estas teclas são utilizadas pelo tipo de encriptação predefinido na implementação do Windows 2000 Kerberos (RC4-HMAC-NT). No entanto, estas contas não tem as chaves DES são utilizadas quando são utilizados os tipos de interoperabilidade com encriptação (DES CBC-CRC e DES CBC-MD5). Até estas chaves são definidas por uma alteração de palavra-passe, apenas os tipos de encriptação NTLM são utilizados.

A conta de administrador num novo domínio também não tem uma chave DES associada. Os clientes que não estiverem a utilizar Kerberos do Windows 2000 não consegue aceder à conta. Quando a palavra-passe para a conta de administrador for alterada, todas as chaves associadas são criadas. Os clientes que não estiverem a utilizar Kerberos do Windows 2000 poderão então aceder à conta de administrador.