Kerberos realm to host mapping policy string-length limitations (Limitações do comprimento da cadeia de cadeia de mapeamento do kerberos para alojar as limitações de comprimento da cadeia de carateres)

Introdução

A política de anfitrião para realm no Kerberos é utilizada para mapear um anfitrião (como um computador cliente ou servidor) para um realm Kerberos específico. Para obter mais informações, veja Política CSP - ADMX_Kerberos.

Este artigo descreve as limitações de comprimento de cadeias na política de anfitrião para realm para Kerberos, cenários em que as limitações se aplicam e fornece orientações sobre como ultrapassar as limitações.

Quais são as limitações de comprimento de cadeia?

• Limite de carateres da Interface de Utilizador (IU) para Nomes de Anfitrião: O Controlo de Política de Grupo Revisor utilizado para introduzir os dados não carrega mais de 1024 carateres para a entrada da lista de ficheiros de anfitrião de realm. No entanto, pode escrever até 32.767 carateres e escreva-os com êxito em registry.pol.

• Limite de carateres para Nomes de Anfitrião: O cliente Kerberos que lê esta definição no dispositivo onde a política se aplica tem um limite rígido de 2048 carateres para a lista de nomes de anfitrião.

Em que cenários se aplicam as limitações?

As limitações de comprimento de cadeia aplicam-se nos seguintes cenários:

• Tem um Domínio do Active Directory e um reino de terceiros, como FreeBSD ou Linux, com uma confiança mit.

• Suporta vários sufixos SPN ou uma lista de anfitriões mapeados manualmente para o reino que confia na floresta do AD.

Ao definir a política de mapeamento de anfitrião para realm no domínio Política de Grupo, podem ser definidos os seguintes campos:

• Nome da política: Definir mapeamentos de realm nome do anfitrião para Kerberos,

• Subchave do registo: domain_realm.

A obtenção de um pedido de suporte para um destes anfitriões pode não ter êxito, uma vez que, para além de um determinado comprimento das cadeias de anfitrião, o Política de Grupo Revisor não mostra a lista de anfitriões. Em vez disso, os campos "nome do valor" e "valor" estão vazios.

Documentação de orientação para contornar as limitações de comprimento de cadeia

• O limite da IU: Para evitar o problema ao introduzir cadeias longas no ADMX Política de Grupo Revisor, pode criar um ficheiro de texto separado que contenha a lista de nomes de anfitrião. Ao atualizar a lista de anfitriões, terá de modificar este ficheiro de texto em conformidade. Posteriormente, pode abrir a política e colar a cadeia atualizada no controlo de edição para o mapeamento de realm relevante.
  
  Também pode utilizar o cmdlet Do PowerShell Set-GPRegistryValue a partir de um ficheiro de script. Também permite transmitir uma cadeia longa como parâmetro para adicioná-la ao Política de Grupo.

• O limite de comprimento do nome do anfitrião da Entrada de Registo: A partir de fevereiro de 2025, o limite de carateres de 2048 carateres para nomes de anfitrião não pode ser evitado quando utiliza a definição de CSP do ADMX Política de Grupo ou CSP do InTune.

  Existe uma solução que não requer Política de Grupo. Pode utilizar o comando ksetup /addhosttorealmmap , conforme documentado no guia ksetup addhosttorealmmap. Esta abordagem é limitada apenas pelo tamanho geral do ramo de registo para os limites do ramo de registo do SISTEMA e da área dinâmica para dados.

  Também pode utilizar as Preferências de Política de Grupo de Registo para distribuir os mapeamentos do anfitrião com os dados armazenados pelo comando ksetup /addhosttorealmmap na seguinte subchave de registo:

  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\Kerberos\HostToRealm

  Para criar esta definição no registo Política de Grupo Preferências, utilize o cmdlet do PowerShell Set-GPPrefRegistryValue.

Referências

​​​​​​​​​​​​​​Informações sobre a exclusão de responsabilidade de terceiros

Os produtos de terceiros que este artigo aborda são fabricados por empresas que são independentes da Microsoft. Não estabelecemos garantias, implícitas ou de outro tipo, relativamente ao desempenho ou fiabilidade destes produtos.

Fornecemos informações de contacto de terceiros para o ajudar a obter suporte técnico. Estas informações de contacto poderão ser alteradas sem aviso prévio. Não garantimos a exatidão destas informações de contacto de terceiros.