kerberos - 什么会导致 Windows 上的 Kerberos TGT 会话密钥全为零

Question

我最近问了一个问题，关于我让 MIT Kerberos 与 Microsoft 的 LSA 凭据缓存很好地配合使用时遇到的一些问题。

有人告诉我设置注册表项AllowTGTSessionKey应该可以解决问题。

但是，我仍然遇到问题，现在我挖得更深了。

运行klist tgt（使用 Microsoft 在 中提供的 klist \windows\system32），它在所有其他输出中显示：

Session Key        : KeyType 0x17 - RSADSI RC4-HMAC(NT)
                   : KeyLength 16 - 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00

因此，会话密钥仍然是空白的，即使这是上面提到的注册表项应该解决的问题。

那么还有哪些其他条件可能导致会话密钥被清空？

我现在尝试了各种用户帐户（域管理员、域用户、启用和不启用 UAC），但似乎没有任何区别。

那么，有谁知道问题可能是什么？或者知道解决方案（和/或丑陋的解决方法）

Answer 1

好的，看起来我有（相当尴尬的愚蠢）答案。

有问题的注册表项 ( AllowTGTSessionKey) 仅在 Windows 启动时读取。

所以设置后......你必须重新启动！

然后你会得到一个有效的会话密钥。