Δεν είναι δυνατή η σύνδεση μετά την αλλαγή του κωδικού πρόσβασης του λογαριασμού υπολογιστή σε μεικτό περιβάλλον Windows Server 2012 R2 ή Windows Server 2016 και περιβάλλον Windows Server 2003

Συμπτώματα

Εξετάστε το ακόλουθο σενάριο:

• Έχετε ελεγκτές τομέα που εκτελούν Windows Server 2003-Base σε έναν τομέα και να προσθέσετε έναν ελεγκτή τομέα Windows Server 2012 R2 ή Windows Server 2016 σε αυτόν τον τομέα.

• Έχετε έναν υπολογιστή τομέα που ελέγχει την ταυτότητά του σε έναν ελεγκτή τομέα που βασίζεται σε Windows Server 2003 πρώτα και, στη συνέχεια, ο υπολογιστής πραγματοποιεί έλεγχο ταυτότητας σε έναν ελεγκτή τομέα που βασίζεται σε Windows Server 2012 R2.

• Μπορείτε να συνδεθείτε στον υπολογιστή και να αλλάξετε τον κωδικό πρόσβασης του λογαριασμού υπολογιστή δύο φορές.

• Συνδέεστε ξανά στον υπολογιστή.

Σε αυτό το σενάριο, λαμβάνετε το ακόλουθο μήνυμα σφάλματος:

Αιτία

Το πρόγραμμα-πελάτης Kerberos εξαρτάται από ένα άλας από το κέντρο διανομής κλειδιών (KDC), για να δημιουργήσετε τα πλήκτρα Advanced Encryption Standard (AES) από την πλευρά του προγράμματος-πελάτη. Αυτά τα πλήκτρα AES χρησιμοποιούνται για τον κατακερματισμό του κωδικού πρόσβασης που εισάγει ο χρήστης στο πρόγραμμα-πελάτη και για την προστασία του κωδικού πρόσβασης κατά τη μεταφορά μέσω του σύρματος, ώστε να μην είναι δυνατή η υποκλοπή και αποκρυπτογράφηση του κωδικού πρόσβασης. Το αλάτι αναφέρεται σε πληροφορίες που τροφοδοτούνται στον αλγόριθμο που χρησιμοποιείται για τη δημιουργία των πλήκτρων, έτσι ώστε το KDC να μπορεί να επαληθεύσει τον κατακερματισμό κωδικού πρόσβασης και να εκδώσει εισιτήρια στο χρήστη. Όταν ένας ελεγκτής τομέα Windows 2012 R2 προστίθεται σε ένα περιβάλλον όπου υπάρχουν ελεγκτές τομέα του Windows Server 2003, υπάρχει ασυμφωνία στους τύπους κρυπτογράφησης που υποστηρίζονται από το KDCs και χρησιμοποιούνται για το αλάτι. Οι ελεγκτές τομέα του Windows Server δεν υποστηρίζουν τους ελεγκτές τομέα AES και Windows Server 2012 R2 δεν υποστηρίζουν την κρυπτογράφηση δεδομένων Standard (DES) για το αλάτι.

Πώς μπορείτε να αποκτήσετε αυτήν την ενημερωμένη έκδοση ή επείγουσα επιδιόρθωση

Για να επιλύσετε αυτό το ζήτημα, κυκλοφορήσαμε μια επείγουσα επιδιόρθωση και μια συνάθροιση ενημερώσεων για τον Windows Server 2012 R2 στην οποία είναι εγκατεστημένη η υπηρεσία καταλόγου Active Directory. Πριν να εγκαταστήσετε αυτήν την επείγουσα επιδιόρθωση, επιλέξτε την προϋπόθεση της επείγουσας επιδιόρθωσης. Η συνάθροιση ενημερώσεων επιδιορθώνει πολλά άλλα προβλήματα εκτός από το πρόβλημα που επιδιορθώνει η επείγουσα επιδιόρθωση. Συνιστούμε να χρησιμοποιήσετε τη συνάθροιση ενημερώσεων. Η συνάθροιση ενημερώσεων είναι μεγαλύτερη από την επείγουσα επιδιόρθωση. Επομένως, η συνάθροιση ενημερώσεων απαιτεί περισσότερο χρόνο για να κάνετε λήψη.

Σημείωση Μετά την εγκατάσταση της ενημέρωσης, συνιστάται να επανεκκινήσετε όλους τους υπολογιστές-πελάτες που υποστηρίζουν την κρυπτογράφηση Advanced Encryption Standard (AES). Αυτό γίνεται για να ανακτήσετε τα προγράμματα-πελάτες, εάν προηγουμένως είχαν επανεκκινηθεί σε έναν ελεγκτή τομέα Windows Server 2012 R2, ο οποίος δεν έχει εγκατεστημένη την ενημέρωση.

Κατάσταση

Η Microsoft έχει επιβεβαιώσει ότι πρόκειται για ένα πρόβλημα στα προϊόντα της Microsoft που παρατίθενται στην ενότητα "ισχύει για".