要求嚴格的 KDC 驗證
- 原則 ID
- ValidateKDC
- 適用範圍
- 電腦設定
- 支援的作業系統
- 至少需要 Windows Vista
- 來源
- Administrative Templates (.admx) for Windows 11 2026 Update (26H2) (版本 1.0)
- 類別
- 系統 › Kerberos
說明
這個原則設定會控制 Kerberos 用戶端在驗證智慧卡和系統憑證登入的 KDC 憑證時的行為。
如果您啟用這個原則設定，Kerberos 用戶端會要求 KDC 的 X.509 憑證在擴充金鑰使用方法 (EKU) 延伸中必須包含 KDC 金鑰目的物件識別碼，而且 KDC 的 X.509 憑證必須包含符合網域 DNS 名稱的 dNSName subjectAltName (SAN) 延伸。如果電腦已加入網域，Kerberos 用戶端會要求 KDC 的 X.509 憑證必須由 NTAuth 存放區中的憑證授權單位 (CA) 簽署。如果電腦未加入網域，則 Kerberos 用戶端會允許在 KDC 之 X.509 憑證的路徑驗證中，使用智慧卡上的根 CA 憑證。
如果停用或未設定個原則設定，則 Kerberos 用戶端只會要求 KDC 憑證在可發行給任何伺服器的 EKU 延伸中必須包含「伺服器驗證」目的物件識別碼。
登錄
電腦HKEY_LOCAL_MACHINE
- KdcValidationREG_DWORD