Freigeben über

Active Directory-Gesamtstrukturwiederherstellung: Zurücksetzen des krbtgt-Kennworts

Gehen Sie wie folgt vor, um das krbtgt-Kennwort für die Domäne zurückzusetzen. Das folgende Verfahren gilt für schreibbare Domänencontroller (DCs), jedoch nicht für schreibgeschützte Domänencontroller (RODC).

Important

Wenn Sie beabsichtigen, RODC während der Gesamtstrukturwiederherstellung wiederherzustellen, löschen Sie nicht die krbtgt-Konten für die RODC. The krbtgt account for an RODC is listed in the format krbtgt_number.

Wenn Sie einen benutzerdefinierten Kennwortfilter (z. B. passfilt.dll) für einen Domänencontroller verwenden, wird Ihnen möglicherweise eine Fehlermeldung angezeigt, wenn Sie versuchen, das krbtgt-Kennwort zurückzusetzen. For more information, including a workaround, see Microsoft Knowledge Base article 2549833.

Zurücksetzen des krbtgt-Kennworts

  1. Select Start, point to Control Panel, point to Administrative Tools, and then select Active Directory Users and Computers.
  2. Select View, and then select Advanced Features.
  3. In the console tree, double-click the domain container, and then select Users.
  4. In the details pane, right-click the krbtgt user account, and then select Reset Password. Reset password
  5. In New password, type a new password, retype the password in Confirm password, and then select OK. Das von Ihnen angegebene Kennwort ist nicht wichtig, da das System automatisch ein sicheres Kennwort generiert, das unabhängig vom von Ihnen angegebenen Kennwort ist.

Important

Sie sollten diesen Vorgang zweimal ausführen. Es müssen 10 Stunden zwischen den Änderungen des Kennworts gewartet werden. 10 Stunden sind die standardmäßige maximale Lebensdauer für das Benutzerticket und die maximale Lebensdauer für Richtlinieneinstellungen für Servicetickets . In einem Fall, in dem sich der Zeitraum für die maximale Lebensdauer ändert, sollte die mindeste Wartezeit zwischen Zurücksetzungen größer als der konfigurierte Wert sein.

Note

Der Kennwortverlaufswert für das krbtgt-Konto ist 2, d. h. er enthält die beiden neuesten Kennwörter. Durch das zweimalige Zurücksetzen des Kennworts werden alle alten Kennwörter effektiv aus dem Verlauf gelöscht, sodass es ausgeschlossen ist, dass ein anderer DC mit diesem DC unter Verwendung eines alten Kennworts repliziert.

Next steps