我在连接到 Windows KDC 的 Linux 主机时遇到了 Kerberos 问题。我怀疑版本错误的 Kerberos 密钥是罪魁祸首。
一种方法是删除 SPN 并重新创建它，但这是在生产环境中，如果您愿意，我必须以“只读”方式进行调试。
如何从 Active Directory 中的主体检索当前的 Kerberos KVNO？
我经常使用它openssl s_client来测试和调试 SSL 连接（到 LDAPS 或 HTTPS 服务）。它允许我将问题隔离到 SSL，而不会受到任何阻碍。
我想对 Kerberos 做一些类似的事情。我想使用一个小测试，它会显示：
- 初始机器登录（计算机帐户）
- 来自请求服务的用户的初始 AS 请求
- 获取票证的用户的 kerberos 交换
- （可选）发送到服务的请求
如果我在 KDC 上运行 Wireshark，我可以执行步骤 1、2 和 3，但这通常不是一个选项。如果我监控客户端上的流量，我可以设法捕获步骤 2、3 和 4。
是否有工具可以让我捕获从计算机帐户开始的每个 Kerberos 登录步骤，而无需在 KDC 上运行 Wireshark？
我在同一个子网上有两个 LDS 服务器。他们复制得很好。如果我更改一个属性，它会在 15 秒后被复制。
LDS 配置为遵守密码策略。当用户多次尝试输入错误密码时，他的帐户将被锁定并lockoutTime相应地设置该用户的属性。
但lockoutTime并不被复制为紧急。事实上，它不会被复制，除非目录中的某处发生了另一次更改。将复制 lockoutTime 属性。
这是一个（编辑过的 Wireshark）跟踪。它显示正常的复制流量
No. Time Protocol Length Info
133 16:23:02 DRSUAPI 562 DsGetNCChanges request
134 16:23:02 DRSUAPI 3042 DsGetNCChanges response
152 16:23:17 DRSUAPI 562 DsGetNCChanges request
157 16:23:17 DRSUAPI 242 DsGetNCChanges response
230 16:24:57 DRSUAPI 562 DsGetNCChanges request
231 16:24:57 DRSUAPI 2930 DsGetNCChanges response
246 16:25:12 DRSUAPI 562 DsGetNCChanges request
在那之后，我锁定用户（使用FOR循环和ldifde）。什么都没有发生，直到我放弃并更改description用户的属性，然后大约 15 秒后我看到复制完成。
1984 16:31:05 DRSUAPI 562 DsGetNCChanges request
1985 16:31:05 DRSUAPI 2930 DsGetNCChanges response
锁定时间和描述被复制。如此处所述，如果我设置lockoutTime=0，定期复制会在 15 秒后发生！
我启用了复制诊断。因为没有复制，所以实例的日志中没有显示任何内容。当复制确实触发时，我看到一堆事件 1239 的最新属性，两个 1240 事件。一个用于属性lockoutTime，一个用于 description（我用来触发复制）。
我启用了站点之间的更改通知，重新启动了这两项服务，但没有任何区别。可能是因为两台服务器在同一个子网上。
Active Directory 技术规范明确将lockoutTime列为需要复制的紧急属性之一。
是什么阻止了lockoutTime属性的紧急复制？
在 AD-LDS（Server 2008 R2 64 位）上进行性能测试时，我们在单个 OU 中创建了百万用户。我们还创建了一个单独的组对象，并使这些百万用户成为该组的成员。
当我们尝试列出数百万用户时，ADSIEdit 超时并显示一条错误消息，指出它无法显示那么多用户。美好的。
但是，如果我们打开该组的属性，ADSIEdit 会冻结，耗尽所有可用内存和 CPU垃圾（不到一小时内出现近 60M 页面错误）。
AD-LDS（在另一台计算机上运行）几乎没有达到 1% 的 CPU 标记，为其他 ldap 请求提供服务，就好像什么都没有一样。
我们可以在这个问题上投入更多的记忆，但总有一天需要管理更多的用户，我们将回到原点。
有没有办法在 ADSIEdit 中设置限制，以便在检索非常大的多值对象时不会挂起计算机？
Microsoft为 Active Directory 组中的用户发布了建议的最大限制。它基本上说：
从 Windows Server 2003 开始，将离散更改复制到链接的多值属性的能力作为一种称为链接值复制 (LVR) 的技术引入。
和
这允许在 Windows 2000 的林功能级别上，组成员的数量超过以前针对 Windows 2000 或 Windows Server 2003 的建议限制 5,000。
鉴于下面的复制元数据，谁能告诉我一个 AD-LDS 组可以容纳的最大用户数是多少？
Getting 'CN=Member,CN=Schema,CN=Configuration,CN={67B333FE-ADB4-430D-AAEE-D4CCE4B98A2E}' metadata...
23 entries.
AttID Ver Loc.USN Originating DSA Org.USN Org.Time/Date
===== === ======= =============== ======= =============
0 1 95 8ba30efb-9aa4-4e55-8f7c-268e3dcc536b 95 2012-07-17 14:25:49
3 1 95 8ba30efb-9aa4-4e55-8f7c-268e3dcc536b 95 2012-07-17 14:25:49
20001 1 95 8ba30efb-9aa4-4e55-8f7c-268e3dcc536b 95 2012-07-17 14:25:49
20002 1 95 8ba30efb-9aa4-4e55-8f7c-268e3dcc536b 95 2012-07-17 14:25:49
2001e 1 95 8ba30efb-9aa4-4e55-8f7c-268e3dcc536b 95 2012-07-17 14:25:49
20020 1 95 8ba30efb-9aa4-4e55-8f7c-268e3dcc536b 95 2012-07-17 14:25:49
20021 1 95 8ba30efb-9aa4-4e55-8f7c-268e3dcc536b 95 2012-07-17 14:25:49
20032 1 95 8ba30efb-9aa4-4e55-8f7c-268e3dcc536b 95 2012-07-17 14:25:49
200a9 1 95 8ba30efb-9aa4-4e55-8f7c-268e3dcc536b 95 2012-07-17 14:25:49
200c2 1 95 8ba30efb-9aa4-4e55-8f7c-268e3dcc536b 95 2012-07-17 14:25:49
200da 1 95 8ba30efb-9aa4-4e55-8f7c-268e3dcc536b 95 2012-07-17 14:25:49
200e2 1 95 8ba30efb-9aa4-4e55-8f7c-268e3dcc536b 95 2012-07-17 14:25:49
200e7 1 95 8ba30efb-9aa4-4e55-8f7c-268e3dcc536b 95 2012-07-17 14:25:49
20119 1 95 8ba30efb-9aa4-4e55-8f7c-268e3dcc536b 95 2012-07-17 14:25:49
2014e 1 95 8ba30efb-9aa4-4e55-8f7c-268e3dcc536b 95 2012-07-17 14:25:49
201cc 1 95 8ba30efb-9aa4-4e55-8f7c-268e3dcc536b 95 2012-07-17 14:25:49
90001 1 95 8ba30efb-9aa4-4e55-8f7c-268e3dcc536b 95 2012-07-17 14:25:49
90094 1 95 8ba30efb-9aa4-4e55-8f7c-268e3dcc536b 95 2012-07-17 14:25:49
90095 1 95 8ba30efb-9aa4-4e55-8f7c-268e3dcc536b 95 2012-07-17 14:25:49
900aa 1 95 8ba30efb-9aa4-4e55-8f7c-268e3dcc536b 95 2012-07-17 14:25:49
90177 1 95 8ba30efb-9aa4-4e55-8f7c-268e3dcc536b 95 2012-07-17 14:25:49
9027f 1 95 8ba30efb-9aa4-4e55-8f7c-268e3dcc536b 95 2012-07-17 14:25:49
9030e 1 95 8ba30efb-9aa4-4e55-8f7c-268e3dcc536b 95 2012-07-17 14:25:49