Microsoft Entra 域服务中的 RC4 弃用预先依赖关系测试

Microsoft在 Microsoft Entra 域服务 中弃用 Kerberos 的 RC4 加密，这是与 CVE-2026-20833 相关的安全强化的一部分。 若要在永久禁用 RC4 之前评估客户就绪情况，域服务团队在托管域控制器上运行 高级依赖项测试：受控制、有限的 RC4 加密禁用。 该测试会暴露出当前正在使用的 RC4 依赖项，以便你在强制执行成为永久措施之前对其进行整改。

本文介绍高级依赖项测试是什么、何时运行，以及如何准备和恢复它。

高级依赖项测试的工作原理

在测试期间，团队会暂时在您所在区域的域控制器上将 RC4 切换为强制执行模式（仅使用 AES 加密）。 如果工作负载依赖 RC4 进行 Kerberos 身份验证或 LDAP 绑定，则在测试开始后，可能会出现身份验证失败。 从 2026 年 7 月 13 日开始，RC4 在所有区域永久禁用。

计划

测试于各地区当地时间10:00开始，分三波进行，覆盖美洲、欧洲以及亚太和中国地区。 如果工作负荷受到影响，请使用本文后面的恢复步骤进行自我修正。

第 1 波 — 美洲（2026 年 7 月 6 日，周一）

第 2 波 — 欧洲 （2026 年 7 月 7 日星期二）

第 3 波 — 亚太地区和中国（2026 年 7 月 8 日，星期三）

准备测试

在区域测试窗口之前，请执行以下步骤：

1. 按照启用 Microsoft Entra 域服务 的安全和DNS审核中的说明，为托管域启用安全审核。
2. 使用 示例查询 7 识别您的环境中 Kerberos RC4 票证的签发情况。
3. 将受影响的工作负荷迁移到 AES 加密。

如果您受到影响，请进行恢复

如果工作负载在测试期间出现身份验证失败，AAD DC Administrators 组的成员可按照 自助 RC4 配置 步骤立即恢复 RC4。 将 rc4DefaultDisablementPhase 设置为 1（审核模式），并将 defaultDomainSupportedEncTypes 设置为 60。 更改将在大约 10 分钟内应用。

仅当自助服务步骤不还原工作负荷时，才提交Azure 支持请求。

相关内容

• AADDS123：检测到在签发服务票证时使用了 Kerberos RC4
• 加固 Microsoft Entra 域服务 托管域
• 为Microsoft Entra 域服务启用安全和 DNS 审核