Na palestra de sábado, focamos o System Center de forma diferente. Ao invés de abordar todos os produtos e o cada um deles faz, o foco foi centralizado nas capacidades que são utilizadas em gerenciamento de Private Clouds, por exemplo, no SCCM cobrimos as funcionalidades de DCM e Software Update, já que as outras não são utilizadas em escala significativa para Private Cloud.
Private Cloud com System Center 2012 no MVP ITShowCast
Hoje foi disponibilizado mais um curso no MVA da Microsoft com a visão geral do Windows 2012 separado em 7 módulos.
Neste novo MVA tive o prazer de trabalhar novamente com o Leandro Carvalho e o Prof.Andre Luiz
Clique aqui e complete mais um curso! http://www.microsoftvirtualacademy.com/tracks/visao-geral-do-windows-server-2012
Em uma reunião com os Microsoft PFEs Gilson Banin e Marcelo Ferratti foi comentado sobre uma alteração no método como o Windows 2012 gera um Ticket de autenticação pelo Kerberos, chamado de “KDC Resource SID Compression”.
Situação Atual
Como já é sabido, um Ticket de autenticação leva o SID do usuário e dos grupos do qual ele faz parte, além do SID History em casos de migração anterior. Em alguns casos, principalmente dominios muito grandes, o Ticket podia estourar o limite padrão de 12 Kb e gerar problemas na autenticação. Vale lembrar que pelo mesmo motivo um usuário não pode fazer parte de mais do que 1024 grupos.
Atuamente o Ticket (PAC) é composto por SIDs completos: Os valores padrão de identificação (S-1-5), o SID do dominio e o RID individual do objeto no ultimo bloco:
- S-1-5-21-3419695430-3854377854-1234
- S-1-5-21-3419695430-3854377854-1466
- S-1-5-21-3419695430-3854377854-1675
- S-1-5-21-4533280865-6432248977-6523
- S-1-5-21-4533280865-6432248977-6578
Alteração no Windows 2012
A mudança no KDC consiste em não mais incluir no Ticket dados repetidos, com isso o Ticket gerado por um Domain Controller com Windows 2012 fica com menor tamanho e resolve o problema de ser necessário a alteração do tamanho do Ticket.
Assim, o mesmo exemplo anterior de Ticket ficaria:
- S-1-5-21-3419695430-3854377854-1234
- -1466
- -1675
- S-1-5-21-4533280865-6432248977-6523
- -6578
O problema é que servidores anteriores ao Windows 2012 não “entendem” o novo Ticket e só permitirá acesso as ACEs que sejam completas, portanto o usuário conseguiria acessar locais onde a permissão foi concedida nos casos 1 e 4 do exemplo, mas não acessaria caso a permissão seja de um dos outros SIDs.
Conclusão
Em um dominio onde ainda existam servidores anteriores ao Windows 2012, o que inclui o Windows 2008 R2, o acesso ao servidor de arquivos, Exchange e qualquer outro que seja baseado no Kerberos terá problemas de acesso negado.
Remediação
Crie a chave de Registry Dword DisableResourceGroupsFields em HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\System\Kdc\Parameters para desabilitar este recurso.
Mais Informações: http://support.microsoft.com/kb/2774190