Kerberos策略“强制用户登录限制”的作用及失效原因咨询

1. 对策略的理解是否正确？ #

你的理解完全正确。"强制用户登录限制"策略的核心作用就是让Kerberos V5的KDC在处理每一次服务票据（TS）请求时，都去验证用户账户的当前登录权限策略，而不是仅依赖TGT本身的有效性。

2. 预期是否合理？ #

这个预期非常合理。启用该策略后，即使用户持有未过期的有效TGT，只要账户处于禁用、密码过期等不符合登录限制的状态，KDC就应当拒绝发放新的服务票据。

3. 可能的失效原因 #

• 策略未在KDC上生效：组策略可能未正确同步到域控制器（KDC所在服务器），可以执行gpupdate /force强制刷新组策略，或者检查注册表项HKLM\SYSTEM\CurrentControlSet\Services\Kdc\Parameters\EnableKdcEnforceUserLogonRestrictions是否被设置为1（启用状态）。
• AD域控制器同步延迟：如果账户状态变更（禁用/密码过期）是在其他域控制器上操作的，KDC所在的DC可能还没同步到最新的账户状态，导致验证时读取到旧的有效状态。
• 非Windows客户端的Kerberos实现差异：部分非Windows系统的Kerberos客户端可能存在协议实现偏差，比如请求票据时未触发KDC的完整验证流程，或者缓存了旧的服务票据重复使用（而非向KDC请求新票据）。
• KDC权限不足：运行KDC服务的账户如果没有足够权限读取AD中用户账户的状态信息，会导致无法完成登录限制验证，从而默认允许发放票据。
• 策略作用范围未覆盖目标用户/计算机：组策略可能未应用到目标用户账户所在的OU，或者KDC服务器不在策略的作用范围内，导致策略未被KDC执行。

内容的提问来源于stack exchange，提问作者Vasya