Kerberos realm to host mapping policy string-length limitations

Pendahuluan

Kebijakan host-ke-realm di Kerberos digunakan untuk memetakan host (seperti komputer klien atau server) ke ranah Kerberos tertentu. Untuk informasi selengkapnya, silakan lihat Kebijakan CSP - ADMX_Kerberos.

Artikel ini menguraikan batasan panjang string dalam kebijakan host-ke-realm untuk Kerberos, skenario di mana batasan berlaku, dan memberikan panduan tentang cara mengatasi batasan.

Apa batasan panjang string?

• Batas karakter Antarmuka Pengguna (UI) untuk Nama Host: Kontrol Kebijakan Grup Editor yang digunakan untuk memasukkan data tidak memuat lebih dari 1.024 karakter ke dalam entri daftar file host realm. Namun, Anda dapat mengetik hingga 32.767 karakter dan berhasil menulisnya ke registri.pol.

• Batas karakter untuk Nama Host: Klien Kerberos membaca pengaturan ini di perangkat tempat kebijakan diterapkan memiliki batasan yang keras 2.048 karakter untuk daftar nama host.

Dalam skenario apa batasan berlaku?

Batasan panjang string berlaku dalam skenario berikut:

• Anda memiliki Domain Direktori Aktif dan ranah pihak ketiga seperti FreeBSD atau Linux dengan kepercayaan MIT.

• Anda mendukung beberapa akhiran SPN atau daftar host yang dipetakan secara manual ke alam yang mempercayai hutan AD.

Saat mengatur kebijakan pemetaan host-ke-realm di Kebijakan Grup Domain, bidang berikut ini dapat ditentukan:

• Nama kebijakan: Tentukan pemetaan realm nama host-ke-Kerberos,

• Subkey registri: domain_realm.

Mengambil tiket untuk salah satu host ini mungkin tidak berhasil karena melampaui panjang string host tertentu, Kebijakan Grup Editor tidak memperlihatkan daftar host. Sebagai gantinya, bidang "nama nilai" dan "nilai" kosong.

Panduan untuk mengatasi batasan panjang string

• Batas UI: Untuk menghindari masalah memasukkan string panjang di ADMX Kebijakan Grup Editor, Anda dapat membuat file teks terpisah yang berisi daftar nama host. Saat memperbarui daftar host, Anda harus mengubah file teks ini sesuai keinginan. Setelah itu, Anda dapat membuka kebijakan dan menempelkan string yang diperbarui ke kontrol edit untuk pemetaan alam yang relevan.
  
  Anda juga dapat menggunakan cmdlet Set-GPRegistryValue PowerShell dari file skrip. Ini juga memungkinkan meneruskan string panjang sebagai parameter untuk menambahkannya ke Kebijakan Grup.

• Batas panjang nama host Entri Registri: Mulai Februari 2025, batas karakter 2.048 karakter untuk nama host tidak dapat dihindari ketika Anda menggunakan pengaturan ADMX Kebijakan Grup atau InTune CSP.

  Ada solusi yang tidak memerlukan Kebijakan Grup. Anda dapat menggunakan perintah ksetup /addhosttorealmmap , seperti yang didokumentasikan dalam panduan addhosttorealmmap ksetup. Pendekatan ini hanya dibatasi oleh ukuran sarang registri umum untuk batas sarang dan tumpukan SISTEM.

  Anda juga dapat menggunakan Preferensi registri Kebijakan Grup untuk mendistribusikan pemetaan host menggunakan data yang disimpan oleh perintah ksetup /addhosttorealmmap dalam subkey registri berikut:

  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\Kerberos\HostToRealm

  Untuk membuat pengaturan ini dalam registri Kebijakan Grup Preferensi, silakan gunakan cmdlet PowerShell Set-GPPrefRegistryValue.

Referensi

​​​​​​​​​​​​​​Sanggahan informasi pihak ketiga

Produk pihak ketiga yang dibahas dalam artikel ini dibuat oleh perusahaan yang bukan merupakan bagian dari Microsoft. Kami tidak memberikan jaminan, baik tersirat maupun tersurat, terkait kinerja atau keandalan produk ini.

Kami menyediakan informasi kontak pihak ketiga untuk membantu Anda menemukan dukungan teknis. Informasi kontak ini dapat berubah tanpa pemberitahuan. Kami tidak menjamin keakuratan informasi kontak pihak ketiga ini.