添加 MaxTokenSize 注册表项 - Windows Server

本文介绍如何使用组策略将 MaxTokenSize 注册表项添加到多台计算机。

原始 KB 数： 938118

简介

在运行 Windows Server 2003、Windows Server 2008、Windows Server 2008 R2 或 Windows Server 2012 的域控制器上，可以使用组策略将以下注册表项添加到多台计算机：

键：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\Kerberos\Parameters 条目：MaxTokenSize 数据类型：REG_DWORD 值：48000

本文介绍如何执行此操作，以便可以轻松地将此设置推送到域的所有成员。 此过程不同，具体取决于域控制器正在运行的 Windows Server 版本。

注意

MaxTokenSize 的最大允许值为 65535 字节。 但是，由于 HTTP 的 base64 身份验证上下文令牌编码，不建议将 maxTokenSize 注册表项设置为大于 48000 字节的值。 从 Windows Server 2012 开始，MaxTokenSize 注册表项的默认值为 48000 字节。

详细信息

如何在 Windows Server 2003 中使用组策略对象（GPO）配置 MaxTokenSize

若要将注册表项添加到没有基于 Windows Server 2012 的域控制器的域中的多台计算机，请执行以下步骤：

1. 为 MaxTokenSize 注册表项创建管理模板 （ADM） 文件。 要执行此操作，请执行以下步骤：

   1. 启动记事本。
   2. 复制以下文本，然后将文本粘贴到记事本中：

CLASS MACHINE

类别！！路缘

KEYNAME “SYSTEM\CurrentControlSet\Control\Lsa\Kerberos\Parameters” 政策！！MaxToken VALUENAME “MaxTokenSize” VALUEON NUMERIC 48000 VALUEOFF NUMERIC 0 结束策略

END CATEGORY

[strings] KERB=“Kerberos 最大令牌大小” MaxToken=“Kerberos MaxTokenSize”

    注意

    MaxTokenSize 注册表项的值设置为 48000。 这是建议的值。
3. 将记事本文档保存为 %windir%\Inf\ 文件夹中的 MaxTokenSize.adm，用于配置 GPO 以部署设置。
4. 退出记事本。

1. 将 ADM 导入 GPO，并将 MaxTokenSize 注册表项设置为所需的值。 要执行此操作，请执行以下步骤：

   1. 创建在域级别链接或链接到包含计算机帐户的组织单位（OU）的新组策略对象（GPO）。 或者，选择已部署的 GPO。

   2. 打开组策略对象编辑器。 若要执行此操作，请单击“开始”，单击“运行”，键入 gpedit.msc，然后单击“确定”。

   3. 在控制台树中，展开“计算机配置”，展开“管理模板”，然后单击“管理模板”。

   4. 在“操作”菜单上，指向“所有任务”，然后单击“添加/删除模板”。

   5. 单击“添加” 。

   6. 单击以选择在步骤 1 中创建的 MaxTokenSize.adm 文件，然后单击“打开”。

   7. 单击“关闭” 。

   8. 在“视图”菜单上，单击“筛选”。

   9. 单击可清除“仅显示可以完全托管的策略设置”复选框，然后单击“确定”。

   10. 展开管理模板，然后单击“Kerberos 最大令牌大小”。

   11. 右键单击右侧窗格中的 Kerberos MaxTokenSize，然后单击“属性”以打开“属性”对话框。

   12. 单击“启用”，然后单击“确定”。

       注意

       对于 GPO 生效，GPO 更改必须复制到域中的所有域控制器，并且受影响的计算机必须在将策略应用到这些域控制器后重新启动。

如何在 Windows Server 2008 和 Windows Server 2008 R2 中使用 GPO 配置 MaxTokenSize 注册表项

在 Windows Server 2008 域和 Windows Server 2008 R2 域中，可以使用注册表客户端扩展将 MaxTokenSize 注册表值部署到域中的多台计算机。 若要在 GPO 中创建 MaxTokenSize 值设置，请执行以下步骤：

1. 单击“开始”，单击“运行”，键入 gpmc.msc，然后单击“确定”打开组策略管理控制台。
2. 在组策略管理控制台中，创建一个新的 GPO，该 GPO 链接到域级别或链接到包含计算机帐户的 OU。 你也可以选择已部署的 GPO。
3. 右键单击 GPO，然后单击“编辑”以打开“组策略管理编辑器”窗口。
4. 依次展开“计算机配置”、“首选项”和“Windows 设置”。
5. 右键单击 “注册表”，指向 “新建”，然后单击 “注册表项”。 此时将出现“新建注册表属性”对话框。
6. 在“操作”列表中，单击“创建”。
7. 在“配置单元” 列表中，单击 HKEY_LOCAL_MACHINE。
8. 在“密钥路径”列表中，单击 SYSTEM\CurrentControlSet\Control\Lsa\Kerberos\Parameters。
9. 在“值名称”框中，键入 MaxTokenSize。
10. 在“值类型”框中，单击以选中“REG_DWORD”复选框。
11. 在“值”数据框中，键入 48000。
12. 在 Base 旁边，单击以选中“小数”复选框。
13. 单击 “确定” 。

注意

对于 GPO 生效，GPO 更改必须复制到域中的所有域控制器，并且受影响的计算机应用策略后必须重新启动。

如何在 Windows Server 2012 中使用 GPO 配置 MaxTokenSize 注册表项

若要在具有基于 Windows Server 2012 域控制器的域中部署 MaxTokenSize 注册表项的值，请执行以下步骤：

1. 打开服务器管理器，单击“工具”，然后单击“组策略管理”以打开组策略管理控制台。
2. 在组策略管理控制台中，创建一个新的 GPO，该 GPO 链接到域级别或链接到包含计算机帐户的 OU。 或者，选择已部署的 GPO。
3. 右键单击 GPO，然后单击“编辑”以打开“组策略管理编辑器”窗口。
4. 展开计算机配置，展开“策略”，然后展开“管理模板”。
5. 展开“系统”，然后单击“Kerberos”。
6. 右键单击右侧窗格中设置最大 Kerberos SSPI 上下文令牌缓冲区大小，然后单击“编辑”。
7. 单击“已启用”，然后在“最大大小”框中键入 48000。
8. 单击 “确定” 。

注意

• 对于 GPO 生效，GPO 更改必须复制到域中的所有域控制器，并且受影响的计算机应用策略后必须重新启动。
• Windows Server 2012 和 Windows 8 中添加了“设置最大 Kerberos SSPI 上下文令牌缓冲区大小”策略设置。 Windows XP、Windows Server 2003、Windows Vista、Windows Server 2008、Windows 7 和 Windows Server 2008 R2 支持策略设置。 若要使用此组策略设置，必须在安装了 RSAT 工具的 Windows Server 2012 或 Windows 8 版本中编辑 GPO。

参考

有关 MaxTokenSize 注册表项的详细信息，请单击以下文章编号以查看Microsoft知识库中的文章：当用户属于多个组时，327825 Kerberos 身份验证问题的新解决方法