Eventid 27 错误！
客户从AD2003 升级到2008，当前状态下出现了很多EVENTID 为27的错误。
事件來源: KDC
事件類別目錄: 無
事件識別碼: 27
日期: 2010/6/24
時間: 下午 08:42:23
使用者: N/A
電腦: XXXX
描述:
當處理目標伺服器 krbtgt/microsoft.COM 的 TGS 要求時，帳戶 [email protected] 沒有合適的金鑰可以產生 Kerberos 票證 (遺失金鑰的識別碼為 8)。要求的 etype 為 18。帳戶可 用的 etype 為 23 -133 -128 3 1
我看了些相关的资料，提到这个问题是KERBROS 在2008上增强为256位加密的原因，基于这样的方式。能否有解决方法？
分析：
====
这个问题是当客户端使用Etype18（AES）加密方式发送TGS请求时发生的。windows 2003 不支持这种windows 2008所使用的Etype。 域控会通知客户端它支持什么样的Etype，然后返回一个支持的类型。默认情况下，在windows server 2008 或 windows 7下 DES加密是禁用的，而且他们使用的是AES或RC4和etype的加密类型。
由于使用不同的数据结构来保存2003或2008域中用户账户的加密类型信息，当windows server 2008R2 DC验证一个用户账户时，这个DC会从数据结构中读取这个加密类型信息。正常情况下，这个加密类型信息应该会被复制到一个不同的数据结构中。然而，这些信息并没有像我们所预期的那样被复制了。因此验证也就失败了。
解决办法：
======
一般我们可以通过检查用户账户和计算机账户是否配置了只使用DES来加密来解决这个问题。
1、打开“活动目录用户和计算机“控制台
2、打开用户账户属性，然后检查是否设置了在“账户“标签下的”为这个账户使用Kerberos DES加密类型“选项。
参考：
====
关于更多的详细信息，我们建议您参考下面这两篇文档:
安全主体和 DES 加密仅用于 Kerberos 身份验证服务是与计算机上正在运行 Windows 7 或 Windows Server 2008 R2 的默认设置不兼容
http://support.microsoft.com/kb/977321/zh-cn
FIX： 对 Kerberos 身份验证类型使用 DES 加密的用户帐户不能进行身份验证 Windows Server 2003 域中后 Windows Server 2008 R2 的域控制器加入到域
http://support.microsoft.com/kb/978055/zh-cn