Protected Users 群組有咩已知嘅兼容性限制？

您好 Chun Kit Wong,

当服务帐户被添加到“受保护的用户”（Protected Users）组时，出现身份验证失败属于预期行为。这是因为该组会对旧版身份验证机制（如 Kerberos 票证缓存、NTLM 身份验证、CredSSP 和 WDigest）实施限制，导致服务帐户无法通过其常规方式正常运行。通常情况下，Microsoft 建议不要将服务帐户添加到“受保护的用户”组中。

如果您的目标是进行系统加固，最安全的方法是迁移到组托管服务帐户 (gMSA) 或虚拟帐户。然而，如果特定应用程序严格要求使用 TLS 1.0 或 NTLM 等旧版协议，最佳策略是将该应用程序服务器进行隔离——即仅在该有限范围内允许使用旧版协议——同时在环境的其他部分维持现代身份验证策略。

总之，“受保护用户”功能应该只应用于人类用户帐户，而将服务帐户迁移到诸如 gMSA 之类的现代帐户类型是微软官方的最佳实践。

如果我的回答对您有帮助，请点击“接受答案”以示支持。

谢谢！

HL。