Symptomen
Neem het volgende scenario:
-
U hebt domeincontrollers waarop Windows Server 2003 (basis in een domein) wordt gebruikt en een Windows Server 2012 R2-of Windows Server 2016-domeincontroller toevoegen aan dit domein.
-
U hebt een computer die lid is van een domein en die zich eerst verifieert tegen een domeincontroller met Windows Server 2003, en de computerverificatie verifieert tegen een Windows Server 2012 R2-domeincontroller.
-
U meldt zich aan bij de computer en het wachtwoord van uw computeraccount wordt twee keer gewijzigd.
-
U meldt zich opnieuw aan bij de computer.
In dit scenario wordt het volgende foutbericht weergegeven:
onbekende gebruikersnaam of ongeldig wachtwoord
Oorzaak
De Kerberos-client is afhankelijk van een Salt van het kern distributiecentrum, zodat de AES-toetsen (Advanced Encryption Standard) aan de clientzijde worden gemaakt. Met deze AES-toetsen wordt het wachtwoord van de gebruiker op de client ingevoerd en wordt het wachtwoord in transit via de kabel zodanig beveiligd, zodat het wachtwoord niet kan worden onderschept en gedecodeerd. De Salt verwijst naar informatie die wordt ingevoerd in het algoritme dat wordt gebruikt voor het genereren van de sleutels, zodat de KDC de wachtwoord-hash kan verifiëren en tickets voor de gebruiker kan verzenden. Wanneer een Windows 2012 R2-domeincontroller wordt toegevoegd aan een omgeving waarin Windows Server 2003-domeincontrollers aanwezig zijn, wordt de versleutelingstypen die worden ondersteund op de KDCs en gebruikt voor de versleutelingstypen niet toegestaan. Windows Server-domeincontrollers ondersteunen geen AES en Windows Server 2012 R2 domeincontrollers bieden geen ondersteuning voor gegevensversleuteling Standard (DES) voor het zouten.
Deze update of hotfix verkrijgen
Om dit probleem op te lossen, hebben we een hotfix uitgebracht en een updatepakket voor Windows Server 2012 R2 waarin Active Directory is geïnstalleerd. Voordat u deze hotfix installeert, controleert u de vereisten van de hotfix. Met het update-updatepakket worden vele andere problemen opgelost die ook zijn opgetreden bij de correctie. U wordt aangeraden het updatepakket te gebruiken. Het updatepakket is groter dan de hotfix. Daarom duurt het downloaden van het updatepakket langer.
Opmerking Nadat de update is geïnstalleerd, wordt u aangeraden alle clientcomputers opnieuw te starten die AES-versleuteling (Advanced Encryption Standard) ondersteunen. Dit houdt in dat de clients herstellen als deze eerder zijn gestart op een Windows Server 2012 R2-domeincontroller waarop de update niet is geïnstalleerd.
Update voor Windows Server 2012 R2
Het volgende updatepakket is beschikbaar:
Hotfix voor Windows Server 2016
Het volgende updatepakket is beschikbaar:
Detailinformatie over de hotfix
Vereisten
Als u deze hotfix wilt toepassen, dient u eerst Update 2919355 voor Windows Server 2012 R2 te installeren. Klik op het volgende artikelnummer in de Microsoft Knowledge Base voor meer informatie:
2919355 Windows RT 8,1, Windows 8,1 en Windows Server 2012 R2 Update april, 2014
Registergegevens
Als u de hotfix in dit pakket wilt gebruiken, moet u geen wijzigingen aanbrengen in het register.
Opnieuw opstarten vereist
Mogelijk moet u de computer opnieuw opstarten nadat u deze hotfix hebt toegepast.
Vervangingsinformatie voor hotfixes
Deze hotfix vervangt geen eerder uitgebrachte hotfix.
Status
Microsoft heeft bevestigd dat dit probleem zich kan voordoen in de Microsoft-producten die worden vermeld in de sectie Van toepassing op.
