Alteração no Kerberos do Windows 2012 pode causar Acesso Negado 28 outubro 2012 msincic Active Directory, Windows, Windows 2003, Windows 2008, Windows 2012 Em uma reunião com os Microsoft PFEs Gilson Banin e Marcelo Ferratti foi comentado sobre uma alteração no método como o Windows 2012 gera um Ticket de autenticação pelo Kerberos, chamado de “KDC Resource SID Compression”. Situação Atual Como já é sabido, um Ticket de autenticação leva o SID do usuário e dos grupos do qual ele faz parte, além do SID History em casos de migração anterior. Em alguns casos, principalmente dominios muito grandes, o Ticket podia estourar o limite padrão de 12 Kb e gerar problemas na autenticação. Vale lembrar que pelo mesmo motivo um usuário não pode fazer parte de mais do que 1024 grupos. Atuamente o Ticket (PAC) é composto por SIDs completos: Os valores padrão de identificação (S-1-5), o SID do dominio e o RID individual do objeto no ultimo bloco: S-1-5-21-3419695430-3854377854-1234 S-1-5-21-3419695430-3854377854-1466 S-1-5-21-3419695430-3854377854-1675 S-1-5-21-4533280865-6432248977-6523 S-1-5-21-4533280865-6432248977-6578 Alteração no Windows 2012 A mudança no KDC consiste em não mais incluir no Ticket dados repetidos, com isso o Ticket gerado por um Domain Controller com Windows 2012 fica com menor tamanho e resolve o problema de ser necessário a alteração do tamanho do Ticket. Assim, o mesmo exemplo anterior de Ticket ficaria: S-1-5-21-3419695430-3854377854-1234 -1466 -1675 S-1-5-21-4533280865-6432248977-6523 -6578 O problema é que servidores anteriores ao Windows 2012 não “entendem” o novo Ticket e só permitirá acesso as ACEs que sejam completas, portanto o usuário conseguiria acessar locais onde a permissão foi concedida nos casos 1 e 4 do exemplo, mas não acessaria caso a permissão seja de um dos outros SIDs. Conclusão Em um dominio onde ainda existam servidores anteriores ao Windows 2012, o que inclui o Windows 2008 R2, o acesso ao servidor de arquivos, Exchange e qualquer outro que seja baseado no Kerberos terá problemas de acesso negado. Remediação Crie a chave de Registry Dword DisableResourceGroupsFields em HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\System\Kdc\Parameters para desabilitar este recurso. Mais Informações: http://support.microsoft.com/kb/2774190