ad ds中kerberos票据加密类型与生存期由域控制器组策略统一控制：需禁用rc4、启用aes-128/aes-256，并设tgt有效期8–10小时、服务票证续订期1–3天，同时确保ntp时间同步。
active directory 域服务（ad ds）中 kerberos 票据的加密类型和生存期，由域控制器上的组策略统一控制，不是单个用户或服务单独设置的。配置目标是禁用不安全的 rc4，强制使用 aes-256 或 aes-128，并合理设定票据有效期以兼顾安全与可用性。
设置 Kerberos 加密类型（禁用 RC4，启用 AES）
AD 默认仍兼容 RC4，但自 2022 年起已逐步淘汰；2026 年 Windows Server 更新后，未显式配置的帐户将默认跳过 RC4。必须主动配置策略确保所有帐户使用强加密：
- 打开「组策略管理编辑器」，定位到：
计算机配置 → 策略 → Windows 设置 → 安全设置 → 账户策略 → Kerberos 策略 - 修改以下两项（需在域控制器级别应用）：
- “支持的 Kerberos 加密类型”：勾选 AES128_HMAC_SHA1 和 AES256_HMAC_SHA1，取消勾选 RC4_HMAC_MD5
- “账户密码必须使用强加密”：启用此项（强制新设/重置密码时生成 AES 密钥）
注意：已存在的旧帐户（如服务帐户、计算机帐户）不会自动更新密钥。需运行
ktpass或Set-ADAccountControl -UseDESKeyOnly $false配合密码重置，使其生成 AES 密钥。密钥表（keytab）文件也需用ktpass -crypto AES256-SHA1重新导出。
配置 Kerberos 票据生存期（TGT 与服务票证）
票据生命周期由 Kerberos 策略中的四个参数共同决定，影响登录会话时长和跨服务访问窗口：
-
“Kerberos 身份验证票证最长生存期”（默认 10 小时）
控制 TGT 有效时间。建议设为 8–10 小时；超过需重新输入密码获取新 TGT。 -
“服务票证最长生存期”（默认 600 分钟 / 10 小时）
控制从 TGT 换取的服务票据（如访问 SQL Server、SharePoint）有效期。通常保持默认或略短于 TGT。 -
“最大服务票证续订期限”（默认 7 天）
允许用户在不重新登录前提下，用旧 TGT 续订新服务票证的总窗口。建议设为 1–3 天，防长期凭证滥用。 -
“时钟偏差容差”（默认 5 分钟）
必须确保所有域成员（含 Linux 客户端）与域控制器 NTP 同步，否则票据被拒。Linux 上执行sudo ntpdate -s <dc_fqdn></dc_fqdn>或配置 chronyd 指向 DC。
验证配置是否生效
Windows-Android_SSH_Remote_Control
下载
通过 SSH 隧道从 Android 设备在互联网上对 Windows PC 实现完整远程控制的设置与使用指南，适用于远程桌面访问、安全 RDP 等。
- 在客户端运行
klist get krbtgt/<domain></domain>，查看返回票据的Encryption Type是否为AES-256-CTS-HMAC-SHA1-96 - 查看域控制器事件日志 ID 4769（服务票证请求），确认
Encryption Type字段无 RC4 - 使用
dsquery user -limit 0 | dsget user -pwdlastset -samid检查旧帐户是否已更新密码并生成 AES 密钥
不复杂但容易忽略。
