Pourquoi les comptes d'utilisateurs Active Directory ne prennent-ils pas automatiquement en charge l'authentification Kerberos AES ?

Le fait de cocher les cases Kerberos AES pour les utilisateurs entraînerait des échecs d'authentification sur les clients pré-Vista. C'est probablement la raison pour laquelle cette option n'est pas activée par défaut.

Les cases à cocher relatives à la prise en charge de Kerberos AES correspondent à la valeur définie dans un attribut appelé msDS-SupportedEncryptionTypes

Pour modifier cela pour plusieurs utilisateurs, vous pouvez utiliser PowerShell et le module ActiveDirectory :

# The numerical values for Kerberos AES encryption types to support
$AES128 = 0x8
$AES256 = 0x10

# Fetch all users from an OU with their current support encryption types attribute
$Users = Get-ADUser -Filter * -SearchBase "OU=SecureUsers,OU=Users,DC=domain,DC=tld" -Properties "msDS-SupportedEncryptionTypes"
foreach($User in $Users)
{
    # If none are currently supported, enable AES256
    $encTypes = $User."msDS-SupportedEncryptionType"
    if(($encTypes -band $AES128) -ne $AES128 -and ($encTypes -band $AES256) -ne $AES256)
    {
        Set-ADUser $User -Replace @{"msDS-SupportedEncryptionTypes"=($encTypes -bor $AES256)}
    }
}