原始 KB 数： 4043463适用于： 支持的 Windows Server 和 Windows 客户端版本
用户主体名称（UPN）映射是 Active Directory 中使用的一对一映射的特殊情况。 本文介绍如何通过 注册表编辑器禁用使用者可选名称（SAN）来使用显式映射而不是 UPN 映射。 执行以下步骤将允许通过忽略已部署客户端证书的 SAN 扩展来使用显式映射。
服务器端
- 打开“注册表编辑器”。
- 转到
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Kdc\UseSubjectAltName。 - 右键单击 UseSubjectAltName，选择“修改二进制数据”，然后将值数据**设置为 **0。
注意
域的所有密钥分发中心（KDC）上，UseSubjectAltName** 注册表项的值**必须设置为 0。
客户端
注意
如果满足以下条件，还必须在客户端执行步骤：
- 使用客户端证书映射（AltSecID）。
- UPN 用于客户端证书的 SAN 扩展。
- 不使用域提示。
下面介绍如何在客户端上禁用 UPN 映射的 SAN：
- 打开“注册表编辑器”。
- 转到
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\Kerberos\Parameters。 - 按住（右键单击）参数，选择“新建>DWORD”（32 位）值，然后将其命名为 UseSubjectAltName。 双击它，将 值数据 设置为 0，然后按 Enter。
参考
有关 SAN 或 UPN 映射的详细信息，请参阅证书枚举中的智能卡登录流。