windows - 事件目录自定义身份验证

Question

我为 Windows-7 登录创建了一个子身份验证包。它成功地用于本地帐户登录。然后我尝试在 Windows Server 2008 r2 中为事件目录实现相同的子身份验证包。我将我的 DLL 放在 Windows\System32\ 文件夹中，并将 Kerberos 的注册表值修改为 this Microsoft 文档解释了子身份验证 dll。

我设置的值是在 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\Kerberos Value: Auth0 set to C:\Windows\System32\SubAuth .dll(我就在这里吗？)。

但是在进行身份验证时，我注意到我的子身份验证包没有被调用，因为在针对 AD 对客户端计算机上的用户进行身份验证时，我没有被要求提供第二个因素。

我是不是在设置中遗漏了一些东西，或者我必须在我的子身份验证包中更改一些东西。

如果我在这里遗漏了任何信息，请告诉我。

PS: Sub-authentication package 是根据 Microsoft 的 Credential Provider 文档开发的(在 Msv1_0SubAuthenticationFilter 例程中)。

Answer 1

看起来这是设计使然 - 来自 kerberos\ssv1_0 subauth 包的 Msv1_0SubAuthenticationFilter 例程不会被调用用于缓存域交互式登录。

对于交互式登录，所有链将类似于:

LsaApLogonUserEx2->MsvSamValidate->MsvpSamValidate->MsvpPasswordValidate
LsaApLogonUserEx2->MsvSamValidate->MsvpSamValidate->Msv1_0SubAuthenticationRoutine

但是对于缓存交互式登录，所有链看起来像:

LsaApLogonUserEx2->MsvpPasswordValidate 
<and there is no call to Msv1_0SubAuthenticationRoutine here>