Kerberos realm to host mapping policy string-length limitations

Introducción

La directiva host-to-realm en Kerberos se utiliza para asignar un host (por ejemplo, un equipo cliente o servidor) a un territorio kerberos específico. Para obtener más información, consulta CSP de directivas: ADMX_Kerberos.

En este artículo se describen las limitaciones de longitud de cadena en la directiva de host a reino para Kerberos, escenarios donde se aplican las limitaciones y proporciona instrucciones sobre cómo superar las limitaciones.

¿Cuáles son las limitaciones de longitud de cadena?

• Límite de caracteres de la interfaz de usuario (UI) para los nombres de host: El control de directiva de grupo Editor utilizado para introducir los datos no carga más de 1024 caracteres en la entrada de la lista de archivos del host del reino. Sin embargo, puede escribir hasta 32.767 caracteres y escribir correctamente estos caracteres en registry.pol.

• Límite de caracteres para los nombres de host: El cliente Kerberos que lee esta configuración en el dispositivo donde se aplica la directiva tiene un límite completo de 2048 caracteres para la lista de nombres de host.

¿En qué escenarios se aplican las limitaciones?

Las limitaciones de longitud de cadena se aplican en los siguientes escenarios:

• Tiene un Dominio de Active Directory y un reino de terceros como FreeBSD o Linux con una confianza del MIT.

• Admite varios sufijos SPN o una lista de hosts asignados manualmente al territorio que confía en el bosque de AD.

Al establecer la directiva de asignación de host a territorio en el directiva de grupo de dominio, se pueden definir los siguientes campos:

• Nombre de la directiva: Definir asignaciones de nombre de host a kerberos,

• Subclave del Registro: domain_realm.

La recuperación de un vale para uno de estos hosts puede no ser satisfactoria, ya que más allá de una determinada longitud de las cadenas de host, la directiva de grupo Editor no muestra la lista de hosts. En su lugar, los campos "nombre del valor" y "valor" están vacíos.

Instrucciones para solucionar las limitaciones de longitud de cadena

• El límite de la interfaz de usuario: Para evitar el problema al escribir cadenas largas en directiva de grupo Editor ADMX, puede crear un archivo de texto independiente que contenga la lista de nombres de host. Al actualizar la lista de hosts, tendrá que modificar este archivo de texto en consecuencia. Después, puede abrir la directiva y pegar la cadena actualizada en el control de edición para la asignación de territorio relevante.
  
  También puede usar el cmdlet Set-GPRegistryValue PowerShell desde un archivo de script. También permite pasar una cadena larga como parámetro para agregarla a la directiva de grupo.

• Límite de longitud del nombre de host de la entrada del Registro: A partir de febrero de 2025, no se puede evitar el límite de 2048 caracteres para los nombres de host al usar la configuración de CSP de ADMX directiva de grupo o InTune.

  Hay una solución alternativa que no requiere directiva de grupo. Puede usar el comando ksetup /addhosttorealmmap , como se indica en la guía ksetup addhosttorealmmap. Este enfoque solo está limitado por el tamaño de subárbol del Registro general para los límites de subárbol del sistema y del montón.

  También puede usar las Preferencias de directiva de grupo del Registro para distribuir las asignaciones de host mediante los datos almacenados por el comando ksetup /addhosttorealmmap en la siguiente subclave del Registro:

  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\Kerberos\HostToRealm

  Para crear esta configuración en el Registro directiva de grupo Preferencias, use el cmdlet de PowerShell Set-GPPrefRegistryValue.

Referencias

​​​​​​​​​​​​​​Aviso de declinación de responsabilidades sobre la información de terceros

Los productos de otros fabricantes que se mencionan en este artículo han sido creados por compañías independientes de Microsoft. No ofrecemos ninguna garantía, ya sea implícita o de otro tipo, sobre la confiabilidad o el rendimiento de dichos productos.

Proporcionamos información de contacto de otros proveedores para ayudarle a encontrar soporte técnico. Dicha información de contacto puede cambiar sin notificación previa. No garantizamos la precisión de esta información de contacto de terceros.