票证生命周期是什么
Kerberos 认证靠票证承载身份：登录后获得 TGT，用它换取访问各服务的服务票证，票证在有效期内可以被重复使用。因此票据窃取是域内横向移动的常见手段。域级 Kerberos 策略限制票证存活时长与允许的时钟偏差，能缩短被盗票据的可用窗口，属于纵深防御的一环，但不能替代凭据保护本身。
基本信息
| 加固项 | 票证生命周期与时钟偏差 |
|---|---|
| 适用平台 | Windows 域环境（默认域策略下发） |
| 风险等级 | 低 |
| 基线 | 用户与服务票证上限不高于 10 小时、时钟偏差不超过 5 分钟 |
| 生效范围 | 域内全部账号，需等待 AD 复制 |
典型使用场景
- 域安全基线核查：确认三个关键取值未被放宽
- 事件后加固：缩短票证窗口以压缩被盗票据的可用时间
- 新建或迁移域：初始化时确定策略并写入文档
- 审计举证：证明认证策略有明确的生命周期约束
- 与时间同步配套：先保证 w32time 正常再收紧偏差
查看当前取值
查看当前取值
# GPO 位置：计算机配置-策略-Windows 设置-安全设置-账户策略-Kerberos 策略
# 也可直接查询域对象属性（MaxTicketAge 单位为小时）
Get-ADDomain | Select-Object MaxTicketAge, MaxServiceTicketAge, MaxClockSkew, MaxRenewAge
# 修改后等待 AD 复制，再在成员机上 gpupdate 并核对 klist 中的票证有效期三个关键取值
| 设置项 | 默认值 | 收紧后的效果 |
|---|---|---|
| 最大用户票证使用期限 | 10 小时 | 缩短 TGT 被窃取后的可用时间 |
| 最大服务票证使用期限 | 10 小时 | 限制服务票证的复用窗口 |
| 最大时钟偏差 | 5 分钟 | 收紧过头会让时间漂移主机认证失败 |
| 最大票证续订期限 | 7 天 | 决定会话整体可维持的最长时间 |
改的是域级策略，属性会写进 AD（如 msDS-MaximumTicketLifetime）：变更前评估长会话应用对票证时长的依赖。
在成员机上改本地策略对域账号无效，域账号认证的判定依据在域控的域策略上。