Kerberos Token Bloat führt zu Authentifizierungsfehler (0x80090304) bei Windows Event Forwarding

Question

Kerberos Token Bloat führt zu Authentifizierungsfehler (0x80090304) bei Windows Event Forwarding

Leon Schmidt 20

Hallo ,

wir haben aktuell ein Problem mit unserer Windows Event Forwarding (WEF)-Infrastruktur. Einige WEF-Clients können ihre Sicherheits-Logs nicht mehr an den zentralen Collector übermitteln und brechen mit dem Fehlercode 0x80090304 (The Local Security Authority cannot be contacted) ab.

Unsere bisherige Diagnose hat ergeben, dass die Kerberos-Tokens der betroffenen Benutzer/Computer aufgrund sehr vieler Gruppenmitgliedschaften (Token Bloat) die maximale Paketgröße überschreiten.

Wie lässt sich der Wert MaxTokenSize speziell für WinRM / WEF korrekt anpassen bzw. erhöhen, um dieses Problem zu beheben?

Vielen Dank im Voraus für eure Unterstützung!

0 Kommentare

1 Antwort

Ihre Antwort

Answer 1

Hallo Leon,

wenn bei den betroffenen Konten/Computern ein Kerberos-Token-Bloat auftritt, kann eine Erhöhung von MaxTokenSize helfen. Es gibt jedoch keine separate WinRM-/WEF-spezifische Einstellung für MaxTokenSize. Der Wert ist eine Windows-Kerberos-/LSA-Konfiguration und wirkt sich daher allgemeiner auf die Kerberos-Authentifizierung aus.

Auf den betroffenen Systemen solltest du folgenden Registrierungspfad überprüfen:

HKLM\SYSTEM\CurrentControlSet\Control\Lsa\Kerberos\Parameters

Erstelle bzw. ändere dort den folgenden DWORD-Wert (32-Bit):

MaxTokenSize

Ein häufig verwendeter Wert ist beispielsweise:

0xFFFF (65535 Bytes)

Nach der Änderung sollte der Computer neu gestartet werden, damit die Kerberos-/LSA-Komponenten die neue Konfiguration übernehmen.

Ich würde die Erhöhung von MaxTokenSize jedoch nicht als primäre Lösung betrachten. Eine große Anzahl von Gruppenmitgliedschaften sollte nach Möglichkeit besser durch das Entfernen unnötiger oder verschachtelter Gruppenmitgliedschaften reduziert werden. Ein zu großes Kerberos-Token kann nicht nur WEF/WinRM, sondern auch andere Dienste beeinträchtigen, die Kerberos zur Authentifizierung verwenden.