Nevar pieteikties pēc datora konta paroles maiņas jauktā Windows Server 2012 R2 vai Windows Server 2016 un Windows Server 2003 vidē

Simptomi

Iedomājieties šādu scenāriju:

• Jums ir domēnu kontrolleri, kuros darbojas Windows Server 2003 — bāze domēnā, un šim domēnam pievienojiet Windows Server 2012 R2 vai Windows Server 2016 domēna kontrolleri.

• Jums ir domēnā savienots dators, kas vispirms veic autentifikāciju ar Windows Server 2003 un pēc tam tiek autentificēts ar Windows Server 2012 R2 domēna kontrolleri.

• Jūs piesakāties datorā un divas reizes maināt datora konta paroli.

• Atkal piesakāties datorā.

Šajā scenārijā tiek parādīts šāds kļūdas ziņojums:

Cēlonis

Kerberos klients ir atkarīgs no tā, ka atslēgu sadales centrā (atslēgu centrs) ir sāls, lai izveidotu papildu šifrēšanas standarta (AES) atslēgas klienta pusē. Šie AES taustiņi tiek izmantoti, lai hash paroli, ko lietotājs ievada klientam, un aizsargā paroli tranzītā pār vadu, lai paroli nevarētu aizturēt un atšifrēt. Sāls norāda uz informāciju, kas tiek izmantota algoritmā, kas tiek izmantots, lai ģenerētu taustiņus, lai to varētu pārbaudīt ar paroli jaukšanas un emisijas biļetēm lietotājam. Ja Windows 2012 R2 domēna kontrolleris tiek pievienots vidē, kurā ir pieejami Windows Server 2003 domēnu kontrolleri, ir neatbilstību KDCs atbalstītajos šifrēšanas tipos un izmantoti sālīšana. Windows Server domēnu kontrolleri neatbalsta AES un Windows Server 2012 R2 domēna kontrolleri neatbalsta datu šifrēšanas standartu (DES) sālīšana.

Kā iegūt šo atjauninājumu vai labojumfailu

Lai atrisinātu šo problēmu, esam izlaiduši labojumfailu un atjauninājumu apkopojumu sistēmai Windows Server 2012 R2, kurā ir instalēts Active Directory. Pirms šī labojumfaila instalēšanas pārbaudiet labojumfaila priekšnosacījumu . Atjaunināšanas apkopojums novērš daudzas citas problēmas, kā arī problēmu, ko labojumfails novērš. Iesakām izmantot atjauninājumu apkopojumu. Atjauninājumu apkopojums ir lielāks par labojumfailu. Tāpēc atjauninājumu apkopojumā ir nepieciešams vairāk laika, lai lejupielādētu.

Piezīme. Pēc atjauninājuma instalēšanas iesakām restartēt visus klientu datorus, kas atbalsta papildu šifrēšanas standarta (AES) šifrēšanu. Tas ir nepieciešams, lai atgūtu klientus, ja tie iepriekš bija atsākti ar Windows Server 2012 R2 domēna kontrolleri, kurā nav instalēts atjauninājums.

Statusa

Microsoft ir apstiprinājusi, ka šī problēma pastāv Microsoft produktos, kas ir norādīti sadaļā "attiecas uz".