docs-xml/smbdotconf/security/kdcdefaultdomainsupportedenctypes.xml

   1 <samba:parameter name="kdc default domain supported enctypes"
   2                  type="integer"
   3                  context="G"
   4                  handler="handle_kdc_default_domain_supported_enctypes"
   5                  xmlns:samba="http://www.samba.org/samba/DTD/samba-doc">
   6 <description>
   7   <para>
   8     Set the default value of <constant>msDS-SupportedEncryptionTypes</constant> for service accounts in Active Directory that are missing this value or where <constant>msDS-SupportedEncryptionTypes</constant> is set to 0.
   9   </para>
  10
  11   <para>
  12     This allows Samba administrators to match the configuration flexibility provided by the
  13     <constant>HKEY_LOCAL_MACHINE\System\CurrentControlSet\services\KDC\DefaultDomainSupportedEncTypes</constant> Registry Value on Windows.
  14   </para>
  15   <para>
  16     Unlike the Windows registry key (which only takes an base-10 number), in Samba this may also be expressed in hexadecimal or as a list of Kerberos encryption type names.
  17   </para>
  18   <para>
  19     Specified values are ORed together bitwise, and those currently supported consist of:
  20     </para><itemizedlist>
  21    <listitem>
  22        <para><constant>arcfour-hmac-md5</constant>, <constant>rc4-hmac</constant>, <constant>0x4</constant>, or <constant>4</constant></para>
  23        <para>Known on Windows as Kerberos RC4 encryption</para>
  24    </listitem>
  25    <listitem>
  26        <para><constant>aes128-cts-hmac-sha1-96</constant>, <constant>aes128-cts</constant>, <constant>0x8</constant>, or <constant>8</constant></para>
  27        <para>Known on Windows as Kerberos AES 128 bit encryption</para>
  28    </listitem>
  29    <listitem>
  30        <para><constant>aes256-cts-hmac-sha1-96</constant>, <constant>aes256-cts</constant>, <constant>0x10</constant>, or <constant>16</constant></para>
  31        <para>Known on Windows as Kerberos AES 256 bit encryption</para>
  32    </listitem>
  33    <listitem>
  34        <para><constant>aes256-cts-hmac-sha1-96-sk</constant>, <constant>aes256-cts-sk</constant>, <constant>0x20</constant>, or <constant>32</constant></para>
  35        <para>Allow AES session keys. When this is set, it indicates to the KDC that AES session keys can be used, even when <constant>aes256-cts</constant> and <constant>aes128-cts</constant> are not set.  This allows use of AES keys against hosts otherwise only configured with RC4 for ticket keys (which is the default).</para>
  36    </listitem>
  37 </itemizedlist>
  38
  39 </description>
  40
  41 <value type="default">0<comment>maps to what the software supports currently: arcfour-hmac-md5 aes256-cts-hmac-sha1-96-sk</comment></value>
  42 </samba:parameter>