Windows 终端服务的 Kerberos 化验证

核心提示： 由于 Windows Kerberos 实现目前仅支持 DES-CBC-MD5 和 DEC-CBC-CRC 加密类型，您需要更改 IBM NAS Kerberos 服务器的默认加密设置，Windows 终端服务的 Kerberos 化验证(4)，以便 Windows 工作站能够向 IBM

由于 Windows Kerberos 实现目前仅支持 DES-CBC-MD5 和 DEC-CBC-CRC 加密类型，您需要更改 IBM NAS Kerberos 服务器的默认加密设置，以便 Windows 工作站能够向 IBM NAS 服务器验证其身份。必须在承载 IBM NAS KDC 的 AIX 计算机（在此例中为 fsaix11.in.ibm.com）上做出以下更改：

编辑 /var/krb5/krb5kdc/kdc.conf 文件，更改 supported_enctypes 的值，使 des-cbc-md5:normal 和 des-cbc-crc:normal 位于加密类型列表的开头。

编辑之后，/var/krb5/krb5kdc/kdc.conf 文件的 supported_enctypes 部分应该与以下内容类似：supported_enctypes = des-cbc-md5:normal des-cbc-crc:normal des3-cbc-sha1:normal
arcfour-hmac:normal aes256-cts:normal

重新启动 AIX NAS 服务器守护进程（例如，krb5kdc 和 kadmind），以使上面的加密类型更改生效。要重新启动 AIX NAS 服务器守护进程，请使用以下命令，如清单 2 所示。

清单 2. 重新启动 AIX NAS 服务器守护进程

[root@fsaix11 / ]# stop.krb5
Stopping /usr/krb5/sbin/krb5kdc...
/usr/krb5/sbin/krb5kdc was stopped successfully.
Stopping /usr/krb5/sbin/kadmind...
/usr/krb5/sbin/kadmind was stopped successfully.
The command completed successfully.
　　　　　　　　　　　
[root@fsaix11 / ]# start.krb5
Starting krb5kdc...
krb5kdc was started successfully.
Starting kadmind...
kadmind was started successfully.
The command completed successfully.

Windows Terminal Service 用户所需的 Kerberos 主体