Τομέας Kerberos για τη φιλοξενία περιορισμών μήκους συμβολοσειράς πολιτικής αντιστοίχισης

Εισαγωγή

Η πολιτική host-to-realm στο Kerberos χρησιμοποιείται για την αντιστοίχιση ενός κεντρικού υπολογιστή (όπως ενός υπολογιστή-πελάτη ή ενός διακομιστή) σε έναν συγκεκριμένο τομέα Kerberos. Για περισσότερες πληροφορίες, ανατρέξτε στο άρθρο CSP πολιτικής - ADMX_Kerberos.

Αυτό το άρθρο περιγράφει τους περιορισμούς μήκους συμβολοσειράς στην πολιτική κεντρικού υπολογιστή προς τομέα για το Kerberos, σενάρια όπου ισχύουν οι περιορισμοί και παρέχει καθοδήγηση σχετικά με τον τρόπο υπέρβασης των περιορισμών.

Ποιοι είναι οι περιορισμοί μήκους συμβολοσειράς;

• Όριο χαρακτήρων περιβάλλοντος εργασίας χρήστη (UI) για τα ονόματα κεντρικού υπολογιστή: Η Πολιτική ομάδας Πρόγραμμα επεξεργασίας Control που χρησιμοποιείται για την εισαγωγή των δεδομένων δεν φορτώνει περισσότερους από 1.024 χαρακτήρες στην καταχώρηση λίστας αρχείων κεντρικού υπολογιστή τομέα. Ωστόσο, μπορείτε να πληκτρολογήσετε έως 32.767 χαρακτήρες και να τους γράψετε με επιτυχία στο registry.pol.

• Όριο χαρακτήρων για τα ονόματα κεντρικού υπολογιστή: Το πρόγραμμα-πελάτης Kerberos που διαβάζει αυτήν τη ρύθμιση στη συσκευή όπου ισχύει η πολιτική έχει όριο 2.048 χαρακτήρων για τη λίστα ονομάτων του κεντρικού υπολογιστή.

Σε ποια σενάρια ισχύουν οι περιορισμοί;

Οι περιορισμοί μήκους συμβολοσειράς ισχύουν στα ακόλουθα σενάρια:

• Έχετε έναν τομέα υπηρεσίας καταλόγου Active Directory και έναν τομέα άλλου κατασκευαστή, όπως το FreeBSD ή το Linux με αξιοπιστία MIT.

• Υποστηρίζετε πολλά επιθήματα SPN ή μια λίστα με κεντρικούς υπολογιστές αντιστοιχισμένους με μη αυτόματο τρόπο στον τομέα που εμπιστεύεται το δάσος AD.

Κατά τη ρύθμιση της πολιτικής αντιστοίχισης κεντρικού υπολογιστή σε τομέα στο Πολιτική ομάδας τομέα, μπορούν να οριστούν τα ακόλουθα πεδία:

• Όνομα πολιτικής: Ορισμός αντιστοιχίσεων κεντρικού υπολογιστή ονόματος σε τομέα Kerberos,

• Δευτερεύον κλειδί μητρώου: domain_realm.

Η ανάκτηση ενός εισιτηρίου για έναν από αυτούς τους κεντρικούς υπολογιστές ενδέχεται να είναι ανεπιτυχής, καθώς πέρα από ένα συγκεκριμένο μήκος των συμβολοσειρών του κεντρικού υπολογιστή, η Πολιτική ομάδας Πρόγραμμα επεξεργασίας δεν εμφανίζει τη λίστα των κεντρικών υπολογιστών. Αντί για αυτό, τα πεδία "όνομα τιμής" και "τιμή" είναι κενά.

Οδηγίες για την αντιμετώπιση των περιορισμών μήκους συμβολοσειράς

• Το όριο περιβάλλοντος εργασίας χρήστη: Για να αποφύγετε το πρόβλημα κατά την εισαγωγή μεγάλων συμβολοσειρών στο Πολιτική ομάδας Πρόγραμμα επεξεργασίας ADMX, μπορείτε να δημιουργήσετε ένα ξεχωριστό αρχείο κειμένου που περιέχει τη λίστα ονομάτων του κεντρικού υπολογιστή. Κατά την ενημέρωση της λίστας των κεντρικών υπολογιστών, θα πρέπει να τροποποιήσετε ανάλογα αυτό το αρχείο κειμένου. Στη συνέχεια, μπορείτε να ανοίξετε την πολιτική και να επικολλήσετε την ενημερωμένη συμβολοσειρά στο στοιχείο ελέγχου επεξεργασίας για τη σχετική αντιστοίχιση τομέα.
  
  Μπορείτε επίσης να χρησιμοποιήσετε το cmdlet Set-GPRegistryValue PowerShell από ένα αρχείο δέσμης ενεργειών. Επιτρέπει επίσης τη μεταβίβαση μιας μεγάλης συμβολοσειράς ως παραμέτρου για να την προσθέσει στο Πολιτική ομάδας.

• Το όριο μήκους του ονόματος του κεντρικού υπολογιστή καταχώρησης μητρώου: Από τον Φεβρουάριο του 2025, δεν είναι δυνατό να αποφευχθεί το όριο χαρακτήρων των 2.048 χαρακτήρων για τα ονόματα κεντρικών υπολογιστών όταν χρησιμοποιείτε τη ρύθμιση ADMX Πολιτική ομάδας ή InTune CSP.

  Υπάρχει μια λύση που δεν απαιτεί Πολιτική ομάδας. Μπορείτε να χρησιμοποιήσετε την εντολή ksetup /addhosttorealmmap , όπως τεκμηριώνεται στον οδηγό ksetup addhosttorealmmap. Αυτή η προσέγγιση περιορίζεται μόνο από το μέγεθος της κυψέλης γενικού μητρώου για τα όρια της κυψέλης και του σωρού ΤΟΥ ΣΥΣΤΗΜΑΤΟΣ.

  Μπορείτε επίσης να χρησιμοποιήσετε την εντολή Registry Πολιτική ομάδας Preferences για να διανείμετε τις αντιστοιχίσεις του κεντρικού υπολογιστή χρησιμοποιώντας τα δεδομένα που είναι αποθηκευμένα από την εντολή ksetup /addhosttorealmmap στο ακόλουθο δευτερεύον κλειδί μητρώου:

  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\Kerberos\HostToRealm

  Για να δημιουργήσετε αυτή τη ρύθμιση στο μητρώο Πολιτική ομάδας Προτιμήσεις, χρησιμοποιήστε το cmdlet set-GPPrefRegistryValue του PowerShell.

Αναφορές

​​​​​​​​​​​​​​Αποποίηση ευθυνών για πληροφορίες τρίτων κατασκευαστών

Τα προϊόντα τρίτων κατασκευαστών που περιγράφονται σε αυτό το άρθρο κατασκευάζονται από εταιρείες ανεξάρτητες από τη Microsoft. Δεν παρέχουμε καμία εγγύηση, έμμεση ή άλλη, σχετικά με την απόδοση και την αξιοπιστία αυτών των προϊόντων.

Παρέχουμε στοιχεία επικοινωνίας τρίτων για να σας βοηθήσουμε να βρείτε τεχνική υποστήριξη. Αυτά τα στοιχεία επικοινωνίας μπορεί να αλλάξουν χωρίς προειδοποίηση. Δεν εγγυόμαστε την ακρίβεια αυτών των στοιχείων επικοινωνίας τρίτων.