KDC-ondersteuning voor claims, samengestelde authenticatie en Kerberos-beveiliging

Met deze beleidsinstelling kunt u een domeincontroller zo configureren dat claims en samengestelde verificatie voor dynamisch toegangsbeheer en Kerberos-beveiliging met behulp van Kerberos-authenticatie worden ondersteund.

Als u deze beleidsinstelling inschakelt, maken de clientcomputers die claims en samengestelde verificatie voor dynamisch toegangsbeheer ondersteunen en geschikt zijn voor Kerberos-beveiliging, gebruik van de Kerberos-verificatieberichten. Dit beleid dient te worden toegepast op alle domeincontrollers om te zorgen voor consistente toepassing van dit beleid in het domein.

Als u deze beleidsinstelling uitschakelt of niet configureert, zal de domeincontroller geen claims, samengestelde verificatie of beveiliging ondersteunen.

Als u de optie 'Niet ondersteund' configureert, ondersteunt de domeincontroller geen claims, samengestelde verificatie of beveiliging, hetgeen de standaard werking is voor domeincontrollers die worden uitgevoerd op Windows Server 2008 R2 of eerdere besturingssystemen.

Opmerking: de volgende opties van dit KDC-beleid zijn pas van kracht nadat het Kerberos-groepsbeleid 'Kerberos-klantondersteuning voor claims, samengestelde verificatie en Kerberos-beveiliging' is ingeschakeld op ondersteunde systemen. Als de Kerberos-beleidsinstelling niet is ingeschakeld, worden deze functies niet gebruikt in Kerberos-verificatieberichten.

Als u de optie 'Ondersteund' configureert, worden claims, samengestelde verificatie en Kerberos-beveiliging ondersteund op de domeincontroller. Vanaf de domeincontroller wordt aan de Kerberos-clientcomputers gemeld dat in het domein claims en samengestelde verificatie voor dynamisch toegangsbeheer en Kerberos-beveiliging kunnen worden verwerkt.

Functionele niveauvereisten voor domein
Als het functionele domeinniveau is ingesteld op Windows Server 2008 R2 of eerder, werken de domeincontrollers voor de opties 'Altijd claims aanleveren' en 'Onbeveiligd verificatieverzoek mislukt' alsof de optie 'Ondersteund' is ingeschakeld.

Als het functionele domeinniveau is ingesteld op Windows Server 2012, meldt de domeincontroller aan de Kerberos-clientcomputers dat het domein in staat is om claims en samengestelde verificatie voor dynamisch toegangsbeheer en Kerberos-beveiliging te verwerken en:
- indien u de optie 'Altijd claims aanleveren' instelt, worden altijd claims voor account teruggestuurd en wordt de RFC-werking voor het melden van de flexibele verificatie secure tunneling (FAST) ondersteund.
- indien u de optie 'Onbeveiligd verificatieverzoek mislukt' instelt, worden onbeveiligde Kerberos-berichten geweigerd.

Waarschuwing: als de optie 'Onbeveiligd verificatieverzoek mislukt' is ingesteld, zal de verificatie van de clientcomputers, die de Kerberos-beveiliging niet ondersteunen, bij de domeincontrollers mislukken.

Om de effectiviteit van deze functie te kunnen garanderen, moeten voldoende domeincontrollers worden geïmplementeerd, die claims en samengestelde verificatie voor dynamisch toegangsbeheer ondersteunen en geschikt zijn voor Kerberos-beveiliging om de verificatieverzoeken te kunnen verwerken. Een onvoldoende aantal domeincontrollers die dit beleid ondersteunen, zal resulteren in mislukte verificaties wanneer dynamisch toegangsbeheer of Kerberos-beveiliging is vereist (hetgeen van toepassing is wanneer de optie 'Ondersteund' is ingeschakeld)

De prestaties van de domeincontroller worden beïnvloed als deze beleidsinstelling is ingeschakeld:
- beveiligde Kerberos-domeinopsporing is vereist en heeft dit een extra berichtenuitwisseling tot gevolg.
- claims en samengestelde verificatie voor dynamisch toegangsbeheer vergroot de hoeveelheid en complexiteit van de data in een bericht, hetgeen resulteert in meer verwerkingstijd en grotere Kerberos-serviceticketafmeting.
- Kerberos-beveiliging voorziet in het volledig versleutelen van Kerberos-berichten en ondertekent Kerberos-fouten, hetgeen resulteert in een langere verwerkingstijd, maar verandert niet de grootte van het serviceticket.