Requerir validación KDC estricta

Esta configuración de directiva controla el comportamiento del cliente Kerberos al validar el certificado Centro de distribución de claves para el inicio de sesión de tarjetas inteligentes y certificados de sistema.

Si habilita esta configuración de directiva, el cliente Kerberos requerirá que el certificado X.509 de Centro de distribución de claves contenga el identificador del objeto de propósito de la clave del Centro de distribución de claves en las extensiones de uso mejorado de clave (EKU) y que el certificado X.509 de Centro de distribución de claves contenga una extensión dNSName subjectAltName (SAN) que coincida con el nombre DNS del dominio. Si el equipo está unido a un dominio, el cliente Kerberos requerirá que el certificado X.509 del Centro de distribución de claves esté firmado por una entidad de certificación (CA) en el almacén NTAuth. Si el equipo no está unido a un dominio, el cliente Kerberos permitirá usar el certificado de CA raíz de la tarjeta inteligente en la validación de ruta del certificado X.509 del Centro de distribución de claves.

Si deshabilita o no establece esta configuración de directiva, el cliente Kerberos solo requerirá que el certificado del Centro de distribución de claves contenga el identificador del objeto de propósito de autenticación de servidor en las extensiones EKU, el cual puede emitirse para cualquier servidor.