Konak eşleme ilkesi dize uzunluğu sınırlamaları için Kerberos bölgesi

Giriş

Kerberos'taki konak-bölge ilkesi, bir konağı (istemci bilgisayar veya sunucu gibi) belirli bir Kerberos bölgesiyle eşlemek için kullanılır. Daha fazla bilgi için bkz. İlke CSP - ADMX_Kerberos.

Bu makalede Kerberos için konak-bölge ilkesindeki dize uzunluğu sınırlamaları, sınırlamaların geçerli olduğu senaryolar açıklanır ve sınırlamaların nasıl aşılacağına ilişkin yönergeler sağlanır.

Dize uzunluğu sınırlamaları nelerdir?

• Konak Adları için Kullanıcı Arabirimi (UI) karakter sınırı: Verileri girmek için kullanılan grup ilkesi Düzenleyici Denetimi, bölge ana bilgisayar dosya listesi girdisine 1.024 karakterden fazla yüklenmez. Ancak, en fazla 32.767 karakter yazabilir ve bunları registry.pol'a başarıyla yazabilirsiniz.

• Konak Adları için karakter sınırı: İlkenin uygulandığı cihazda bu ayarı okuyan Kerberos istemcisinin ana bilgisayar adı listesi için sabit sınırı 2.048 karakterdir.

Sınırlamalar hangi senaryolarda geçerlidir?

Dize uzunluğu sınırlamaları aşağıdaki senaryolarda geçerlidir:

• Bir Active Directory Etki Alanı ve MIT güveni olan FreeBSD veya Linux gibi üçüncü taraf bir bölgeniz vardır.

• AD ormanına güvenen bölgeyle el ile eşlenen birden çok SPN soneki veya ana bilgisayar listesini desteklersiniz.

Etki Alanı grup ilkesi konak-bölge eşleme ilkesi ayarlanırken aşağıdaki alanlar tanımlanabilir:

• İlke adı: Konak adı-Kerberos bölge eşlemelerini tanımlama,

• Kayıt defteri alt anahtarı: domain_realm.

Ana bilgisayar dizelerinin belirli bir uzunluğunun ötesinde grup ilkesi Düzenleyici konak listesini göstermediğinden, bu konaklardan biri için bilet alma işlemi başarısız olabilir. Bunun yerine, "değer adı" ve "değer" alanları boş olur.

Dize uzunluğu sınırlamalarını geçici olarak giderme kılavuzu

• Kullanıcı arabirimi sınırı: ADMX grup ilkesi Düzenleyici uzun dizeler girme sorununu önlemek için, konak adı listesini içeren ayrı bir metin dosyası oluşturabilirsiniz. Konak listesini güncelleştirirken, bu metin dosyasını uygun şekilde değiştirmeniz gerekir. Daha sonra, ilkeyi açabilir ve güncelleştirilmiş dizeyi ilgili bölge eşlemesi için düzenleme denetimine yapıştırabilirsiniz.
  
  Bir betik dosyasından Set-GPRegistryValue PowerShell cmdlet'ini de kullanabilirsiniz. Ayrıca, grup ilkesi eklemek için parametre olarak uzun bir dizenin geçirilmesine izin verir.

• Kayıt Defteri Girdisi ana bilgisayar adı uzunluk sınırı: Şubat 2025 itibarıyla, ADMX grup ilkesi veya InTune CSP ayarını kullandığınızda konak adları için 2.048 karakterlik karakter sınırı engellenemez.

  grup ilkesi gerektirmeyen bir geçici çözüm vardır. ksetup addhosttorealmmap kılavuzunda belgelendiği gibi ksetup /addhosttorealmmap komutunu kullanabilirsiniz. Bu yaklaşım yalnızca SYSTEM kovanı ve yığın sınırları için genel kayıt defteri kovanı boyutuyla sınırlıdır.

  Aşağıdaki kayıt defteri alt anahtarındaki ksetup /addhosttorealmmap komutu tarafından depolanan verileri kullanarak konak eşlemelerini dağıtmak için Kayıt Defteri grup ilkesi Tercihleri'ni de kullanabilirsiniz:

  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\Kerberos\HostToRealm

  Bu ayarı Kayıt defteri grup ilkesi Tercihler'de oluşturmak için lütfen Set-GPPrefRegistryValue PowerShell cmdlet'ini kullanın.

Başvurular

​​​​​​​​​​​​​​Üçüncü taraf bilgileri hakkında bildirim

Bu makalede açıklanan üçüncü taraf ürünleri, Microsoft'tan bağımsız şirketler tarafından üretilmektedir. Bu ürünlerin performansı veya güvenilirliğiyle ilgili zımni veya başka türlü hiçbir garanti vermiyoruz.

Teknik destek bulmanıza yardımcı olmak için üçüncü tarafların iletişim bilgilerini sağlıyoruz. Bu kişi bilgileri bildirilmeksizin değiştirilebilir. Bu üçüncü taraf iletişim bilgilerinin doğruluğunu garanti etmiyoruz.