klist

  • Articolo

Visualizza un elenco dei ticket Kerberos attualmente memorizzati nella cache.

Importante

Per eseguire tutti i parametri di questo comando, è necessario essere almeno un Amministrazione di dominio o equivalente.

Sintassi

klist [-lh <logonID.highpart>] [-li <logonID.lowpart>] tickets | tgt | purge | sessions | kcd_cache | get | add_bind | query_bind | purge_bind

Parametri

Parametro Descrizione
-lh Indica la parte alta dell'identificatore univoco locale (LUID) dell'utente, espressa in formato esadecimale. Se non sono presenti né –lh né –li , il comando usa per impostazione predefinita il LUID dell'utente che ha eseguito l'accesso.
-li Indica la parte bassa dell'identificatore univoco locale (LUID) dell'utente, espressa in formato esadecimale. Se non sono presenti né –lh né –li , il comando usa per impostazione predefinita il LUID dell'utente che ha eseguito l'accesso.
ticket Elenca gli attualmente memorizzati nella cache ticket di concessione-ticket (TGT) e ticket di servizio della sessione di accesso specificato. Si tratta dell'opzione predefinita.
TGT Visualizza il TGT. Kerberos iniziale
eliminazione Consente di eliminare tutti i ticket di sessione di accesso specificato.
sessioni Visualizza un elenco di sessioni di accesso del computer.
kcd_cache Visualizza il Kerberos vincolata informazioni sulla cache di delega.
get Consente di richiedere un ticket al computer di destinazione specificato dal nome dell'entità servizio (SPN).
add_bind Consente di specificare un controller di dominio preferito per l'autenticazione Kerberos.
query_bind Visualizza un elenco di controller di dominio preferiti memorizzati nella cache per ogni dominio che abbia contattato Kerberos.
purge_bind Rimuove la cache preferita controller di dominio per i domini specificati.
kdcoptions Visualizza le opzioni di Centro distribuzione chiavi (KDC) specificate nella RFC 4120.
/? Visualizza la Guida per questo comando.

Osservazioni:

  • Se non vengono forniti parametri, klist recupera tutti i ticket per l'utente attualmente connesso.

  • I parametri di visualizzare le informazioni seguenti:

    • tickets : elenca i ticket attualmente memorizzati nella cache dei servizi a cui è stata eseguita l'autenticazione dopo l'accesso. Visualizza i seguenti attributi di tutti i ticket memorizzato nella cache:

      • LogonID: LUID.

      • Client: concatenazione del nome client e del nome di dominio del client.

      • Server: concatenazione del nome del servizio e del nome di dominio del servizio.

      • Tipo di crittografia KerbTicket: tipo di crittografia usato per crittografare il ticket Kerberos.

      • Flag ticket: flag di ticket Kerberos.

      • Ora di inizio: ora da cui il ticket è valido.

      • Ora di fine: l'ora in cui il ticket non diventa più valido. Quando un ticket è passato questa volta, non può più essere usato per eseguire l'autenticazione a un servizio o essere usato per il rinnovo.

      • Ora rinnovo: ora in cui è necessaria una nuova autenticazione iniziale.

      • Tipo di chiave sessione: algoritmo di crittografia usato per la chiave di sessione.

    • tgt : elenca il TGT Kerberos iniziale e gli attributi seguenti del ticket attualmente memorizzato nella cache:

      • LogonID: identificato in formato esadecimale.

      • ServiceName: krbtgt

      • TargetName <SPN>: krbtgt

      • DomainName: nome del dominio che rilascia il TGT.

      • TargetDomainName: dominio a cui viene emesso il TGT.

      • AltTargetDomainName: dominio a cui viene emesso il TGT.

      • Flag di ticket: azioni e tipo di indirizzo e destinazione.

      • Chiave di sessione: lunghezza della chiave e algoritmo di crittografia.

      • StartTime: ora del computer locale richiesta dal ticket.

      • EndTime: ora in cui il ticket non è più valido. Quando un ticket viene superato questo periodo, non può più utilizzato per autenticare un servizio.

      • RenewUntil: scadenza per il rinnovo del ticket.

      • TimeSkew: differenza di tempo con il Centro distribuzione chiavi (KDC).

      • EncodedTicket: ticket codificato.

    • ripulitura : consente di eliminare un ticket specifico. Eliminazione dei ticket Elimina tutti i ticket che è memorizzato nella cache, utilizzare questo attributo con cautela. Si potrebbe arrestare in grado di eseguire l'autenticazione in risorse. In questo caso, sarà necessario disconnettersi e accedere di nuovo.

      • LogonID: identificato in formato esadecimale.

    • sessioni : consente di elencare e visualizzare le informazioni per tutte le sessioni di accesso in questo computer.

      • LogonID: se specificato, visualizza la sessione di accesso solo in base al valore specificato. Se non specificato, Visualizza tutte le sessioni di accesso del computer.

    • kcd_cache: consente di visualizzare le informazioni sulla cache della delega vincolata Kerberos.

      • LogonID: se specificato, visualizza le informazioni della cache per la sessione di accesso in base al valore specificato. Se non specificato, visualizza le informazioni della cache per la sessione di accesso dell'utente corrente.

    • get : consente di richiedere un ticket alla destinazione specificata dal nome SPN.

      • LogonID: se specificato, richiede un ticket usando la sessione di accesso in base al valore specificato. Se non specificato, richiede un ticket usando la sessione di accesso dell'utente corrente.

      • kdcoptions: richiede un ticket con le opzioni KDC specificate

    • add_bind: consente di specificare un controller di dominio preferito per l'autenticazione Kerberos.

    • query_bind: consente di visualizzare i controller di dominio preferiti memorizzati nella cache per i domini.

    • purge_bind: consente di rimuovere i controller di dominio preferiti memorizzati nella cache per i domini.

    • kdcoptions : per l'elenco corrente di opzioni e le relative spiegazioni, vedere RFC 4120.

Esempi

Per eseguire una query nella cache dei ticket Kerberos per determinare se mancano ticket, se il server di destinazione o l'account è in errore o se il tipo di crittografia non è supportato a causa di un errore di ID evento 27, digitare:

klist

klist –li 0x3e7

Per informazioni sulle specifiche di ogni ticket-granting-ticket memorizzato nella cache nel computer per una sessione di accesso, digitare:

klist tgt

Per eliminare la cache dei ticket Kerberos, disconnettersi e quindi eseguire nuovamente l'accesso, digitare:

klist purge

klist purge –li 0x3e7

Per diagnosticare una sessione di accesso e individuare un LOGONID per un utente o un servizio, digitare:

klist sessions

Per diagnosticare l'errore di delega vincolata Kerberos e individuare l'ultimo errore rilevato, digitare:

klist kcd_cache

Per diagnosticare se un utente o un servizio può ottenere un ticket a un server o richiedere un ticket per un nome SPN specifico, digitare:

klist get host/%computername%

Per diagnosticare i problemi di replica tra i controller di dominio, in genere è necessario che il computer client di destinazione sia un controller di dominio specifico. Per impostare come destinazione il computer client al controller di dominio specifico, digitare:

klist add_bind CONTOSO KDC.CONTOSO.COM

klist add_bind CONTOSO.COM KDC.CONTOSO.COM

Per eseguire una query sui controller di dominio contattati di recente dal computer, digitare:

klist query_bind

Per rilevare i controller di dominio o per scaricare la cache prima di creare nuove associazioni di controller di dominio con klist add_bind, digitare:

klist purge_bind