预身份验证失败的四大原因及排查：1.账户禁用“使用kerberos预身份验证”选项；2.客户端与kdc时间偏差超5分钟；3.账户过期、禁用、密码策略不符或缓存凭据失效；4.客户端请求的加密类型（如des）已被域禁用，需启用aes128/aes256。
预身份验证失败（pre-authentication failed）是 kerberos 认证中最常见的初始阶段错误之一，通常发生在客户端向 kdc 请求 tgt（ticket granting ticket）时被拒绝。根本原因不是密码错误本身，而是 kdc 拒绝了认证请求的前置校验——这一步本意是防止暴力破解，但配置或环境异常时会误判。
检查账户预身份验证设置
Active Directory 中，用户账户可能禁用了“使用 Kerberos 预身份验证”选项。该设置默认启用，若被手动关闭，KDC 将直接拒绝 TGT 请求，日志中常出现 KDC_ERR_PREAUTH_REQUIRED 或事件 ID 4（错误 KERB_ERR_PREAUTH_FAILED）。
- 在域控制器上打开“Active Directory 用户和计算机”，右键目标用户 → “属性” → “帐户”选项卡
- 确认勾选了“使用 Kerberos 预身份验证”
- 若已禁用，请勾选并点击“确定”；修改后无需重启服务，但建议等待 5 分钟让复制生效
验证时间同步是否达标
Kerberos 预认证要求客户端与 KDC 的系统时间偏差严格控制在默认 5 分钟内。哪怕只差 30 秒，也可能触发 KDC_ERR_CLOCK_SKEW（对应 Windows 事件 ID 4，错误 KERB_AP_ERR_SKEW）。
- 在客户端执行
w32tm /query /status查看当前时间源和偏差值 - 运行
w32tm /resync /force强制同步域时间服务器 - 若客户端非域成员，需手动配置 NTP 指向同一 KDC 或其上级时间源
排查密码策略与凭据状态
预认证失败表面看像密码错，实则可能由更隐蔽的状态导致：
一款AI工具，主要用于在主代理响应前，并行运行Kimi K2.5和GPT 5.3 Codex，注入双方观点以增强认知多样性，适合需要提升相关任务效率的用户。
- 账户已过期、被禁用、密码过期或强制重置未完成
- 密码不符合域策略（如长度、复杂度、历史记录限制），尤其常见于脚本批量创建账户后未重置密码
- 用户尝试使用缓存凭据登录，而 AD 中该账户密码已被管理员重置（旧 TGT 无法刷新）
建议用 dsquery user -samid username + dsget user -pwdlastset -acctexpires -disabled 快速核对关键状态。
确认加密类型兼容性
现代 Windows 域默认禁用弱加密类型（如 DES-CBC-CRC），若客户端仍尝试用已禁用的 etype 请求预认证，KDC 会直接拒绝，日志中可能出现 KDC_ERR_ETYPE_NOTSUPP（Windows 事件 ID 14）。
- 检查客户端 krb5.conf 或 Windows 注册表
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\Kerberos\Parameters下的SupportedEncryptionTypes - 确保至少启用 AES128-CTS-HMAC-SHA1-96 或 AES256-CTS-HMAC-SHA1-96
- Linux 客户端可临时添加
default_tgs_enctypes = aes256-cts-hmac-sha1-96 aes128-cts-hmac-sha1-96到 krb5.conf 的 [libdefaults] 段
