Eventid 27 错误！

客户从AD2003 升级到2008，当前状态下出现了很多EVENTID 为27的错误。

事件來源:     KDC
事件類別目錄:     無
事件識別碼:     27
日期:          2010/6/24
時間:          下午 08:42:23
使用者:          N/A
電腦:     XXXX
描述:
當處理目標伺服器 krbtgt/microsoft.COM 的 TGS 要求時，帳戶 [e-mail] 沒有合適的金鑰可以產生  Kerberos 票證 (遺失金鑰的識別碼為 8)。要求的 etype 為 18。帳戶可 用的 etype 為 23  -133  -128  3  1

我看了些相关的资料，提到这个问题是KERBROS 在2008上增强为256位加密的原因，基于这样的方式。能否有解决方法？

---

分析：

====

这个问题是当客户端使用Etype18（AES）加密方式发送TGS请求时发生的。windows 2003 不支持这种windows 2008所使用的Etype。 域控会通知客户端它支持什么样的Etype，然后返回一个支持的类型。默认情况下，在windows server 2008 或 windows 7下 DES加密是禁用的，而且他们使用的是AES或RC4和etype的加密类型。

由于使用不同的数据结构来保存2003或2008域中用户账户的加密类型信息，当windows server 2008R2 DC验证一个用户账户时，这个DC会从数据结构中读取这个加密类型信息。正常情况下，这个加密类型信息应该会被复制到一个不同的数据结构中。然而，这些信息并没有像我们所预期的那样被复制了。因此验证也就失败了。

解决办法：

======

一般我们可以通过检查用户账户和计算机账户是否配置了只使用DES来加密来解决这个问题。

1、打开“活动目录用户和计算机“控制台

2、打开用户账户属性，然后检查是否设置了在“账户“标签下的”为这个账户使用Kerberos DES加密类型“选项。

参考：

====

关于更多的详细信息，我们建议您参考下面这两篇文档:

安全主体和 DES 加密仅用于 Kerberos 身份验证服务是与计算机上正在运行 Windows 7 或 Windows Server 2008 R2 的默认设置不兼容

http://support.microsoft.com/kb/977321/zh-cn

FIX： 对 Kerberos 身份验证类型使用 DES 加密的用户帐户不能进行身份验证 Windows Server 2003 域中后 Windows Server 2008 R2 的域控制器加入到域

http://support.microsoft.com/kb/978055/zh-cn