Nova resolução de problemas com a autenticação Kerberos quando os utilizadores pertencem a quantidade de grupos

Quando um utilizador pertence a vários grupos, esse utilizador poderá ter problemas de autenticação ou com as definições de política de grupo. Os seguintes artigos da base de dados de conhecimento da Microsoft descrevem estes sintomas mais detalhadamente:

A resolução existente que está descrita nestes artigos indica ao modificar o valor de registo MaxTokenSize. Foi efectuada uma melhoria esta resolução. Se utilizar a correcção descrita neste artigo, não poderá ter de editar o valor de MaxTokenSize predefinido.

A correcção descrita neste artigo substitui as correcções que são descritas nos artigos da base de dados de conhecimento listados nesta secção.

O utilizador não é capaz de autenticar porque os Kerberos token que é gerada durante a autenticação tentativas tem um tamanho máximo fixo. Transportes, tais como a chamada de procedimento remoto (RPC) e HTTP dependem do valor de MaxTokenSize quando lhes atribuir memórias intermédias para autenticação. No Windows 2000 (a versão original), o valor MaxTokenSize é 8.000 bytes. No Windows 2000 Service Pack 2 (SP2) e Microsoft Windows Server 2003, o valor MaxTokenSize é 12.000 bytes.

Se um utilizador for membro de mais do que 120 grupos, a memória intermédia que é determinada pelo valor MaxTokenSize não é suficientemente grande. Como resultado, os utilizadores não podem ser autenticados, e poderão receber uma mensagem de erro "memória esgotada". Antes de aplicar a correcção descrita neste artigo, cada grupo no qual é adicionado a uma conta de utilizador aumenta a esta memória intermédia por 40 bytes.

Nota: em vários cenários, o Windows NTLM autenticação funciona conforme esperado; poderá não detectar o problema de autenticação Kerberos sem análise. No entanto, os cenários em que as definições de política de grupo são aplicadas poderão não funcionar conforme esperado.

Nota Windows Server 2003, Windows Vista, Windows Server 2008 e Windows XP Professional incluem uma correcção para este problema.

Informações sobre o Service pack

Para resolver este problema, obtenha o service pack mais recente para o Microsoft Windows 2000. Para obter mais informações, clique no número de artigo que se segue para visualizar o artigo na base de dados de conhecimento da Microsoft:

Informações sobre a correcção

Tem já disponível na Microsoft uma correcção suportada. Contudo, destina-se a corrigir o problema descrito neste artigo. Aplique-a apenas em sistemas que tenham este problema específico. Esta correcção poderá ser submetida a testes adicionais. Por conseguinte, se não estiver a ser gravemente afectado por este problema, recomendamos que aguarde o próximo service pack do Windows 2000 que contenha esta correcção.

Para resolver este problema imediatamente, contacte o suporte técnico da Microsoft para obter a correcção. Para obter uma lista completa dos números de telefone do suporte técnico da Microsoft e informações sobre os custos de suporte, visite o seguinte Web site da Microsoft:Nota Em casos especiais, os custos normalmente inerentes às chamadas de suporte poderão ser anulados se um técnico de suporte da Microsoft determinar que uma actualização específica resolverá o problema. Os custos normais do suporte serão aplicados a perguntas de suporte adicionais e problemas que não se enquadrem na atualização específica em questão.A versão inglesa desta correcção tem os atributos de ficheiro (ou atributos de ficheiro posteriores) listados na seguinte tabela. As datas e horas destes ficheiros são indicadas na hora universal coordenada (UTC). Quando visualiza as informações do ficheiro, são convertida para a hora local. Para determinar a diferença entre a UTC e a hora local, utilize o separador Fuso horário no item Data e hora no painel de controlo.

A Microsoft confirmou que este é um problema nos produtos da Microsoft listados na secção "Aplica-se a". Este problema foi corrigido pela primeira vez no Microsoft Windows 2000 Service Pack 4.

Anteriormente, se os utilizadores detectou este problema, tinha de ajustar o valor de Kerberos MaxTokenSize para retomar as operações. Para resolver este problema, tinha de actualizar este valor em todas as estações de trabalho do domínio.

Se utilizar a correcção descrita neste artigo, não é necessário modificar o valor de registo MaxTokenSize na maior parte dos casos. No entanto, existem alguns cenários em que é necessário modificar o valor de registo MaxTokenSize depois de aplicar esta correcção. Depois de aplicar esta correcção todos os controladores de domínio, utilize a seguinte fórmula para determinar se precisa de modificar o valor de MaxTokenSize: Esta fórmula utiliza os seguintes valores:

• d: o número de grupos locais de domínio que um utilizador for membro de mais o número de grupos universais fora do domínio de conta do utilizador mais o número de grupos representado em segurança o histórico ID (SID).
• s: o número de grupos globais de segurança que um utilizador for membro de mais o número de grupos universais no domínio da conta do utilizador.
• 1200: O valor estimado de sobrecarga de permissão. Este valor pode variar dependendo de factores tais como o comprimento do nome de domínio DNS, nome do cliente e outros factores.

Em cenários em que é utilizada delegação (por exemplo, quando os utilizadores autenticados num controlador de domínio), a Microsoft recomenda que duas vezes o tamanho do token.

Se o tamanho do token que calculam utilizando esta fórmula for inferior a 12.000 bytes (o tamanho predefinido), não é necessário modificar o valor de registo MaxTokenSize nos clientes de domínio. Se o valor for superior a 12.000 bytes, consulte o seguinte artigo da base de dados de conhecimento para obter uma descrição de como ajustar o valor de registo MaxTokenSize:

Para obter mais informações sobre como obter uma correcção para o Windows 2000 Datacenter Server, clique no número de artigo que se segue para visualizar o artigo na base de dados de conhecimento da Microsoft: Notas

• Quando altera MaxTokenSize, tem de reiniciar o computador para que a alteração seja eficaz.
• O valor máximo recomendado é de 65535 decimal ou FFFF hexadecimal. O valor de MaxTokenSize Especifica uma permissão Kerberos fixa recebem da memória intermédia que contém os SID que representam os grupos dos quais a conta é membro. Mais tarde, o serviço de autoridade de segurança local (LSA) gera o token desta memória intermédia SID. O limite codificados de cliente definível SID para este token é 1,015. Para obter mais informações, clique no número de artigo que se segue para visualizar o artigo na base de dados de conhecimento da Microsoft:
  328889  (http://support.microsoft.com/kb/328889/ ) Utilizadores que são membros de 1,015 mais do que grupos podem haver falha na autenticação de início de sessão

Por conseguinte, um valor de MaxTokenSize de SID eficaz 1015 mais do que não é útil. Na seguinte fórmula: 40 d significa que tem tem 40 bytes para um SID de grupo local de domínio. 8S significa 8 bytes para um SID de grupo do domínio global/universal. Por conseguinte, se tiver um valor de MaxTokenSize de 0x0000FFFF (64 K), poderá aproximadamente 1600 domínio local grupo SID ou aproximadamente 8000 domínio global/universal grupo SID de memória intermédia. Se utilizar contas "fidedigno para delegação", os requisitos de memória intermédia para cada SID podem ser duplicado. Nestes cenários, pode armazenar apenas cerca de 800 Domain SID de grupo local quando é utilizado um valor de MaxTokenSize de 64 K. No entanto, ter apenas domínio local grupo SID não é um cenário realista. Um valor de 64 K deve ser suficiente para cenários de delegação. Além disso, as aplicações poderão ter problemas se numa memória intermédia de tamanho token contiver mais do que 64 K.

Para obter mais informações, clique nos números de artigo que se seguem para visualizar os artigos na base de dados de conhecimento da Microsoft:
Uma vez que pode ter cenários de domínios de início de sessão na sua floresta, o valor deve ser definido em toda a floresta em todos os sistemas baseados no Windows. Por conseguinte, recomendamos que o valor máximo para o valor MaxTokenSize ser 64 K.

Nos clientes de SQL Server, poderá receber a seguinte mensagem de erro quando este problema ocorre: Para resolver este problema, tem de definir o valor de registo MaxTokenSize para todos os computadores envolvidos no processo de autenticação Kerberos, incluindo os clientes de SQL Server.