Anmelden

Select the product you need help with

KDC-Ereignis-ID 16 oder 27 wird protokolliert, wenn DES f�r Kerberos deaktiviert ist

Artikel-ID: 977321 - Produkte anzeigen, auf die sich dieser Artikel bezieht

Hinweis: Dies ist ein maschinell �bersetzter Artikel.

Maschinell-�bersetzte und englische Version des Artikels nebenander anzeigen

Alles erweitern | Alles schlie�en

Zusammenfassung

In der Standardeinstellung ist die Verschl�sselung DES (Data Encryption Standard), f�r die Kerberos-Authentifizierung in Windows 7 und Windows Server 2008 R2 deaktiviert. Dieser Artikel beschreibt verschiedene Szenarien, in denen Sie die folgenden Ereignisse in den Anwendungs-, Sicherheits- und System-Protokollen erhalten k�nnen, da der DES-Verschl�sselung deaktiviert ist:

KDCEVENT_UNSUPPORTED_ETYPE_REQUEST_TGS
KDCEVENT_NO_KEY_INTERSECTION_TGS

Dar�ber hinaus erl�utert dieser Artikel DES-Verschl�sselung f�r die Kerberos-Authentifizierung in Windows 7 und Windows Server 2008 R2 zu aktivieren. Ausf�hrliche Informationen finden Sie unter "Problembeschreibung," "Ursache" und "Abhilfe" Abschnitten dieses Artikels.

Zum Anfang | Ihr Feedback an uns

Problembeschreibung

Ber�cksichtigen Sie die folgenden Szenarien:

Ein Dienst verwendet ein Benutzerkonto oder ein Computerkonto, das so konfiguriert ist, f�r die DES-Verschl�sselung auf einem Computer, auf der Windows 7 oder Windows Server 2008 R2 ausgef�hrt wird.
Ein Dienst verwendet ein Benutzerkonto oder ein Computerkonto f�r nur DES-Verschl�sselung konfiguriert ist, und das ist in einer Dom�ne mit Windows Server 2008 R2-basierten Dom�nencontrollern.
Ein Client mit Windows 7 oder Windows Server 2008 R2 verbindet sich mit einem Dienst �ber ein Benutzerkonto oder ein Computerkonto, das konfiguriert ist f�r nur DES-Verschl�sselung.
Eine Vertrauensstellung f�r den DES-Verschl�sselung konfiguriert ist, und umfasst Dom�nencontroller, auf denen Windows Server 2008 R2 ausgef�hrt werden.
Eine Anwendung oder ein Dienst ist nur DES-Verschl�sselung verwendet.

Wird in diesen Szenarien sollten Sie m�glicherweise die folgenden Ereignisse in den Anwendungs-, Sicherheits- und Systemprotokollen zusammen mit der Microsoft-Windows-Kerberos-Key-Distribution-Center Quelle:

Tabelle minimierenTabelle vergr��ern

ID	Symbolischer name	Nachricht
27	KDCEVENT_UNSUPPORTED_ETYPE_REQUEST_TGS	W�hrend der Verarbeitung einer TGS-Anforderung f�r den Zielserver % 1, das Konto %2 keinen passenden Schl�ssel zum Generieren eines Kerberos-Tickets (fehlende Schl�ssel hat eine ID % 3). Die angeforderte Etypes waren % 4. Die Konten verf�gbaren Etypes waren 5 %. Ereignis-ID 27 ? KDC-Verschl�sselungstyp-Konfiguration (http://technet.microsoft.com/en-us/library/cc733974(WS.10).aspx)
16	KDCEVENT_NO_KEY_INTERSECTION_TGS	W�hrend der Verarbeitung einer TGS-Anforderung f�r den Zielserver % 1, das Konto %2 keinen passenden Schl�ssel zum Generieren eines Kerberos-Tickets (fehlende Schl�ssel hat eine ID % 3). Die angeforderte Etypes waren % 4. Die Konten verf�gbaren Etypes waren 5 %. �ndern oder Zur�cksetzen des Kennworts %6 wird den notwendigen Schl�ssel generieren. Ereignis-ID 16 ? Kerberos Key Integrity (http://technet.microsoft.com/en-us/library/cc734142(WS.10).aspx)

Zum Anfang | Ihr Feedback an uns

Ursache

Standardm��ig sind die Sicherheitseinstellungen f�r Kerberos-DES-Verschl�sselung auf folgenden Computern deaktiviert:

Computer, auf denen Windows 7 ausgef�hrt wird
Computer, auf denen Windows Server 2008 R2 ausgef�hrt wird
Dom�nencontroller mit Windows Server 2008 R2

Hinweis Kryptografische Unterst�tzung f�r Kerberos ist in Windows 7 und Windows Server 2008 R2 vorhanden.Standardm��ig verwendet Windows 7 die folgenden AES (Advanced Encryption Standard) oder RC4 Cipher Suites f�r "Encryption-Types" und "Etypes":

AES256-CTS-HMAC-SHA1-96
AES128-CTS-HMAC-SHA1-96
RC4-HMAC

Dienste, die f�r den DES-Verschl�sselung konfiguriert sind nicht mehr, wenn die folgenden Bedingungen erf�llt sind:

Der Dienst wird zur Unterst�tzung der RC4-Verschl�sselung oder AES-Verschl�sselung unterst�tzt neu konfiguriert.
Alle Client-Computer, alle Server und alle Dom�nencontroller f�r die Dom�ne des Dienstkontos sind so konfiguriert, dass die DES-Verschl�sselung unterst�tzen.

In der Standardeinstellung, Windows 7 und Windows Server 2008 R2 unterst�tzen die folgenden Verschl�sselungssammlungen: der DES-CBC-MD5-Chiffre-Suite und DES-CBC-CRC-Chiffre-Suite k�nnen in Windows 7 aktiviert werden, wenn dies erforderlich ist.

Zum Anfang | Ihr Feedback an uns

Abhilfe

Es wird dringend empfohlen, dass Sie �berpr�fen, ob die DES-Verschl�sselung in der Umgebung oder das Kontrollk�stchen immer noch erforderlich ist, ob bestimmte Dienste nur DES-Verschl�sselung erfordern. �berpr�fen Sie, ob der Dienst RC4-Verschl�sselung oder AES-Verschl�sselung verwenden kann, oder �berpr�fen Sie, ob der Kreditor Alternative Authentifizierung hat, die eine leistungsst�rkere Kryptografie hat.

Hotfix 978055

(http://support.microsoft.com/kb/978055/ )

ist erforderlich f�r die Windows Server 2008 R2-basierten Dom�nencontroller zur korrekten Behandlung von Typinformationen f�r Verschl�sselung, die von den Dom�nencontrollern repliziert wird, auf dem Windows Server 2003 ausgef�hrt werden. Finden Sie weitere Informationen im Abschnitt unten.

Bestimmen Sie, ob die Anwendung hartcodiert DES-Verschl�sselung verwenden. Aber es ist durch die Standardeinstellungen der unter Windows 7-Clients oder Key Distribution Center (KDCs) deaktiviert.

Um zu �berpr�fen, ob Sie von diesem Problem betroffen sind, bitte erfassen Sie einige Netzwerk-Traces, und �berpr�fen Sie f�r Ablaufverfolgungen, die die folgenden Beispiel Ablaufverfolgungen �hneln:

Frame 1 {TCP:48, IPv4:47}    <SRC IP>   <DEST IP>  KerberosV5  KerberosV5:TGS Request Realm: CONTOSO.COM Sname: HTTP/<hostname>.<FQDN>

Frame 2 {TCP:48, IPv4:47}    <DEST IP>  <SRC IP>   KerberosV5  KerberosV5:KRB_ERROR  - KDC_ERR_ETYPE_NOSUPP (14) 
	
0.000000  {TCP:48, IPv4:47}  <source IP> <destination IP> KerberosV5    KerberosV5:TGS Request Realm: <fqdn> Sname: HTTP/<hostname>.<fqdn> 
       - Etype: 
      + SequenceOfHeader: 
      + EType: aes256-cts-hmac-sha1-96 (18)
      + EType: aes128-cts-hmac-sha1-96 (17)
      + EType: rc4-hmac (23)
      + EType: rc4-hmac-exp (24)
      + EType: rc4 hmac old exp (0xff79)
     + TagA: 
     + EncAuthorizationData:

Bestimmen Sie, ob das Benutzerkonto oder das Computerkonto f�r den DES-Verschl�sselung konfiguriert ist.

�ffnen Sie im Snap-in "Active Directory-Benutzer und-Computer" die Eigenschaften des Benutzerkontos, und pr�fen Sie, ob die Kerberos-DES-Verschl�sselungstypen f�r dieses Konto verwenden Option wird festgelegt, unter dem Konto Registerkarte.

Wenn Sie daraus schlie�en, dass Sie von diesem Problem betroffen sind und Sie den DES-Verschl�sselungstyp f�r die Kerberos-Authentifizierung aktivieren m�ssen, aktivieren Sie um den DES-Verschl�sselungstyp f�r alle Computer, auf denen Windows 7 oder Windows Server 2008 R2 ausgef�hrt werden, gelten die folgenden Gruppenrichtlinien:

Suchen Sie in der Group Policy Management Console (GPMC) nach folgenden Speicherort:
Computer Configuration\ Windows Einstellungen\ Einstellungen\ lokale Policies\ Security Sicherheitsoptionen
Aktivieren Sie die Netzwerksicherheit: Konfigurieren Sie die Verschl�sselungstypen f�r Kerberos zul�ssig Option.
Klicken Sie auf Diese Richtlinieneinstellungen definieren alle sechs Kontrollk�stchen f�r die Encryption-Types und.
Klicken Sie auf OK. Schlie�en Sie die Gruppenrichtlinien-Verwaltungskonsole.

Hinweis Die Richtlinie legt die SupportedEncryptionTypes Eintrag in der Registrierung den Wert 0x7FFFFFFF. Die SupportedEncryptionTypes Registrierungseintrag ist am folgenden Speicherort:

HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\System\Kerberos\parameters\

Je nach Szenario m�ssen Sie m�glicherweise stellen Sie diese Richtlinie auf Dom�nenebene den DES-Verschl�sselungstyp f�r alle Clients anwenden, auf denen Windows 7 oder Windows Server 2008 R2 ausgef�hrt werden. Oder Sie haben um diese Richtlinie auf die Organisationseinheit (OU) des Dom�nencontrollers f�r die Dom�nencontroller, die Windows Server 2008 R2 ausgef�hrt werden.

Zum Anfang | Ihr Feedback an uns

Weitere Informationen

Die reine DES Anwendungskompatibilit�tsprobleme gefunden werden in den folgenden zwei Konfigurationen:

Die aufrufende Anwendung ist hartcodiert DES-Verschl�sselung.
Das Konto, das der Dienst ausgef�hrt wird ist f�r die Verwendung DES-Verschl�sselung konfiguriert.

Die folgenden Kriterien f�r die Verschl�sselung-Typ m�ssen f�r die Kerberos-Authentifizierung funktioniert erf�llt sein:

Ein allgemeiner Typ ist zwischen dem Client und dem Dom�nencontroller f�r die Echtheitsbest�tigung auf dem Client vorhanden.
Ein allgemeiner Typ besteht zwischen dem Dom�nencontroller und dem Ressourcenserver, das Ticket zu verschl�sseln.
Ein allgemeiner Typ besteht zwischen dem Client und dem Ressourcenserver f�r den Sitzungsschl�ssel.

Betrachten Sie die folgende Situation:

Tabelle minimierenTabelle vergr��ern

Rolle	OS	Unterst�tzte Verschl�sselungsstufe f�r Kerberos
DC	WindowsServer 2003	RC4 und DES
Client	Windows 7	AES und RC4
Ressourcenserver	J2EE	DES

In diesem Fall die Kriterien 1 durch RC4-Verschl�sselung erf�llt ist und die Kriterien 2 durch Verschl�sselung DES erf�llt ist. Das dritte Kriterium schl�gt fehl, da der Server ist nur DES- und da der Client DES nicht unterst�tzt.

Der Hotfix 978055 muss auf jedem Windows Server 2008 R2-basierten Dom�nencontroller installiert werden, wenn in der Dom�ne die folgenden Bedingungen erf�llt sind:

Es gibt einige Benutzer- oder Computerkonten DES aktiviert.
In der gleichen Dom�ne ist eine oder mehrere Dom�nencontroller mit Windows 2000 Server, Windows Server 2003 oder Windows Server 2003 R2.

Hinweis

Hotfix 978055 ist erforderlich f�r die Windows Server 2008 R2-basierten Dom�nencontroller zur korrekten Behandlung von Typinformationen f�r Verschl�sselung, die von den Dom�nencontrollern repliziert wird, auf dem Windows Server 2003 ausgef�hrt werden.
Die Windows Server 2008-basierten Dom�nencontrollern ist dieser Hotfix nicht erforderlich.
Dieser Hotfix ist nicht erforderlich, wenn die Dom�ne nur Windows Server 2008-basierten Dom�nencontroller verf�gt.

Weitere Informationen finden Sie in folgendem Artikel der Microsoft Knowledge Base anzuzeigen:

978055

(http://support.microsoft.com/kb/978055/ )

Update: Benutzerkonten, die des-Verschl�sselung f�r die Arten der Kerberos-Authentifizierung verwenden, k�nnen nicht in einer Windows Server 2003-Dom�ne authentifiziert werden, nachdem ein Windows Server 2008 R2-Dom�nencontroller der Dom�ne beitritt

Zum Anfang | Ihr Feedback an uns

Eigenschaften

Artikel-ID: 977321 - Ge�ndert am: Freitag, 22. April 2011 - Version: 2.0

Die Informationen in diesem Artikel beziehen sich auf:

Windows Server 2008 R2 Datacenter
Windows Server 2008 R2 Enterprise
Windows Server 2008 R2 Standard
Windows 7 Enterprise
Windows 7 Professional
Windows 7 Ultimate
Windows Server 2008 R2 Service Pack 1

kbsurveynew kbexpertiseadvanced kbtshoot kbmt KB977321 KbMtde

Maschinell �bersetzter Artikel

Wichtig: Dieser Artikel wurde maschinell und nicht von einem Menschen �bersetzt. Die Microsoft Knowledge Base ist sehr umfangreich und ihre Inhalte werden st�ndig erg�nzt beziehungsweise �berarbeitet. Um Ihnen dennoch alle Inhalte auf Deutsch anbieten zu k�nnen, werden viele Artikel nicht von Menschen, sondern von �bersetzungsprogrammen �bersetzt, die kontinuierlich optimiert werden. Doch noch sind maschinell �bersetzte Texte in der Regel nicht perfekt, insbesondere hinsichtlich Grammatik und des Einsatzes von Fremdw�rtern sowie Fachbegriffen. Microsoft �bernimmt keine Gew�hr f�r die sprachliche Qualit�t oder die technische Richtigkeit der �bersetzungen und ist nicht f�r Probleme haftbar, die direkt oder indirekt durch �bersetzungsfehler oder die Verwendung der �bersetzten Inhalte durch Kunden entstehen k�nnten.

Den englischen Originalartikel k�nnen Sie �ber folgenden Link abrufen: 977321

(http://support.microsoft.com/kb/977321/en-us/ )

Microsoft stellt Ihnen die in der Knowledge Base angebotenen Artikel und Informationen als Service-Leistung zur Verf�gung. Microsoft �bernimmt keinerlei Gew�hrleistung daf�r, dass die angebotenen Artikel und Informationen auch in Ihrer Einsatzumgebung die erw�nschten Ergebnisse erzielen. Die Entscheidung dar�ber, ob und in welcher Form Sie die angebotenen Artikel und Informationen nutzen, liegt daher allein bei Ihnen. Mit Ausnahme der gesetzlichen Haftung f�r Vorsatz ist jede Haftung von Microsoft im Zusammenhang mit Ihrer Nutzung dieser Artikel oder Informationen ausgeschlossen.

Zum Anfang | Ihr Feedback an uns