Windows händelse-ID 4768 – En Kerberos-autentiseringsbiljett begärdes

• TGT är på väg att löpa ut.
• Klienten försöker delegera autentiseringsuppgifter till ett SPN som inte finns med i listan Tillåtet-att-delegera-till.

• Inloggningsförsök med smartkort görs och rätt certifikat kan inte hittas. Detta kan bero på att fel certifikatutfärdare (CA) används eller att rätt certifikatutfärdare inte kan kontaktas.
• DC har inte ett certifikat installerat för smartkort (domänkontrollant eller autentiseringsmallar för domänkontrollanter).

Denna felkod kan inte förekomma i händelse 4768, men den kan förekomma i 4771.

Eftersom fjärr-KDC:n kan ändra sin PKCROSS-nyckel medan det fortfarande finns aktiva PKCROSS-biljetter bör den cacha de gamla PKCROSS-nycklarna tills den senast utfärdade PKCROSS-biljetten löper ut. Annars kommer fjärr-KDC:n att returnera denna felkod till klienten.

Se RFC1510 för mer information.

Användarens lösenord har löpt ut.

Denna felkod kan inte förekomma i händelse 4768, men den förekommer i händelse 4771.

Fel lösenord angavs.

Denna felkod kan inte förekomma i händelse 4768, men den förekommer i händelse 4771.

Förekommer ofta i UNIX-samverkansscenarier. MIT-Kerberos-klienter begär inte förautentisering när de skickar ett KRB_AS_REQ-meddelande. Om förautentisering krävs (standardinställningen) skickar Windows-systemet det här felet.

De flesta MIT-Kerberos-klienter svarar på det här felet genom att skicka förautentisering, i vilket fall felet kan ignoreras.

Ju mindre värdet är för Kerberos-principinställningen Maximal livslängd desto större är sannolikheten att detta fel uppstår.

Eftersom förnyelse av biljetter sker automatiskt behöver du vanligtvis inte göra något om du får detta meddelande.

Klockorna på KDC och klienten är inte synkroniserade.

Om Kerberos-autentisering över flera sfärer försöker utföras ska du verifiera tidssynkroniseringen mellan KDC i målsfären och KDC i klientsfären.

• Adressen till den dator som skickar biljetten skiljer sig från den giltiga adressen i biljetten. En möjlig orsak till detta kan vara en ändring av IP-adressen
• Biljetten skickades via en proxyserver eller NAT. Klienten känner inte till adresschemat som används av proxyservern, så om inte programmet fick klienten att begära en proxyserverbiljett med proxyserverns källadress kan biljetten vara ogiltig.

• Målservern upptäcker att meddelandeformatet är fel. Detta gäller KRB_AP_REQ-, KRB_SAFE-, KRB_PRIV- och KRB_CRED-meddelanden.
• UDP-protokollet försöks användas med användar-till-användar-autentisering.

• Autentiseringsuppgifterna krypterades med fel nyckel för den avsedda servern.
• Autentiseringsuppgifterna ändrades under överföringen på grund av ett fel i maskinvaran eller programvaran eller av en angripare.
• Felaktiga DNS-data fick klienten att skicka begäran till fel server.

Denna händelse genereras av KRB\_SAFE- och KRB\_PRIV-meddelanden om ett felaktigt sekvensnummer ingår, eller om ett sekvensnummer förväntas men saknas.

Se RFC4120 för mer information.

Detta fel kan genereras på serversidan vid mottagande av ett ogiltigt KRB_AP_REQ-meddelande. Servern har inte rätt nyckel för att dechiffrera biljetten.

Eftersom det är möjligt att servern är registrerad i flera sfärer med olika nycklar i varje sfär, används fältet för sfär i den okrypterade delen av biljetten i KRB_AP_REQ för att ange vilken hemlig nyckel som servern ska använda för att dekryptera biljetten.

Storleken på en biljett är för stor för att kunna överföras på ett tillförlitligt sätt via UDP.

I en Windows-miljö är detta meddelande enbart informativt. En Windows-dator försöker automatiskt med TCP om UDP misslyckas.

• Gruppmedlemskap har överbelastat Privilege Account Certificate (PAC).
• Flera nyligen gjorda lösenordsändringar har inte spridits.
• Fel i kryptoundersystemet orsakat av det inte finns något ledigt minne.
• SPN är för lång
• SPN har för många delar.

Om en KDC som inte förstår hur man tolkar en inställd hög bit i längdkodningen tar emot en begäran med inställd hög bit i längden, måste den returnera ett KRB-ERROR-meddelande med felet KRB_ERR_FIELD_TOOLONG och stänga TCP-strömmen.

Varje begäran (KRB_KDC_REQ) och svar (KRB_KDC_REP eller KRB_ERROR) som skickas över TCP-strömmen föregås av längden på begäran i 4 oktetter i ”network byte order”. Högsta bit av längden är reserverad för framtida expansion och måste för närvarande sättas till noll.

Fältet trustedCertifiers innehåller en lista över CA:er som klienten litar på, ifall klienten inte har KDC:ns publika nyckelcertifikat. Om KDC inte har något certifikat som är signerat av någon av de betrodda certifikatutfärdarna, returneras denna felkod.

Se RFC1510 för mer information.

Klienten presenterar en sfäröverskridande TGT till en annan sfär än den som anges i TGT:n.

Detta fel inträffar sällan, men det orsakas vanligtvis av en felaktigt konfigurerad DNS.

Ytterligare förautentisering krävs (åtföljs av KRB-ERROR från KDC). Används vanligen för att meddela en klient vilken nyckel som ska användas för kryptering när ett PA-ENC-TIMESTAMP-värde för förautentisering skickas.

Förekommer aldrig i Microsoft Active Directory-miljöer.

Används för autentisering av smartkort.

Förekommer aldrig i vissa Active Directory-miljöer.

Ytterligare förautentisering krävs (åtföljs av KRB-ERROR från KDC). Används vanligen för att meddela en klient vilken nyckel som ska användas för kryptering när ett PA-ENC-TIMESTAMP-värde för förautentisering skickas.

Förekommer aldrig i Microsoft Active Directory-miljöer.