Aushandeln ms-DS-Supported-Encryption-Types Verschlüsselung

[Dutch_OnE 39]

Moin,

 

wir wollten auf einem Server 2022, wo das ms-DS-Supported-Encryption-Types Attribut auf 24 also ohne RC4 eingestellt ist, ein gMSA Account mit Typ28 in eine Aufgabe einbinden.

Das ist fehlgeschlagen. Erst ein gMSA Account mit 24 konnte erfolgreich eine Aufgabe erstellen.

 

Warum können 24 und 28 sich nicht austauschen, beiden haben doch AES128 und AES256?

 

GRuß DO

 

Mit 2016 und 2019 funktioniert es dagegen.

[cj_berlin 1.408]

Moin,

 

das müsstest Du in den Kerberos-Logs sehen. War es ein frisches gMSA oder wurde sein Passwort schon mal durch jemanden gesetzt?

[Dutch_OnE 39]

Mit einem frischen gMSA ging es, wenn wir den Account und den Server auf 28 gelassen haben.

[daabm 1.391]

28 ist das neue 42