| 加固项 | 票证生命周期 |
|---|---|
| 适用平台 | Windows（域级 GPO） |
| 风险等级 | 低 |
| 基线 | MaxTicketAge≤10h、时钟偏差≤5min |
核查
核查
# GPO：计算机配置 → 策略 → Windows 设置 → 安全设置 → 账户策略 → Kerberos 策略
# 最大用户票证使用期限 / 最大服务票证使用期限 / 最大时钟偏差
Get-ADDomain | Select-Object MaxTicketAge, MaxServiceTicketAge, MaxClockSkew修改领域级策略会写进 AD（msDS-MaximumTicketLifetime 等属性），变更前评估应用对长时间会话的依赖。