Conta de administrador não seja utilizável por clientes de Kerberos não-Windows 2000

Todas as contas de usuário do Windows 2000 também são nomes principais de Kerberos. Isso permite que não baseado no Windows implementações do Kerberos para usar um domínio do Windows 2000 como um território do Kerberos. Para habilitar essa funcionalidade, a chave com DES equivalente para uso por implementações interoperáveis é armazenada sempre que uma conta é criada ou uma senha é alterada.

Uma conta não possui uma chave DES nas seguintes situações:

• Quando um domínio é atualizado.
• Quando a conta de administrador inicial em um novo domínio é criada.

Quando um domínio existente é atualizado, as chaves somente disponíveis nas contas são as chaves de desafio/resposta (NTLM) existentes. Essas chaves são usadas pelo tipo de criptografia padrão na implementação do Kerberos ao Windows 2000 (RC4-HMAC-NT). No entanto, essas contas não tem as chaves do DES que são usadas quando os tipos de criptografia interoperável são usados (CBC-DES-MD5 e DES CBC-CRC). Até que essas chaves são definidas por uma alteração de senha, somente os tipos de criptografia NTLM são usados.

A conta Administrador em um novo domínio também não tem uma chave DES associada. Os clientes que não estiverem usando Kerberos ao Windows 2000 não podem acessar a conta. Quando a senha para a conta de administrador for alterada, todas as chaves associadas são criadas. Os clientes que não estiverem usando Kerberos ao Windows 2000, em seguida, podem obter acesso à conta de administrador.