Этот параметр политики управляет поведением клиента Kerberos при проверке подлинности сертификата KDC. Если включить данный ...

Этот параметр политики управляет поведением клиента Kerberos при проверке подлинности сертификата KDC.  
      
Если включить данный параметр политики, клиент Kerberos будет требовать, чтобы в сертификате KDC X.509 в расширениях Extended Key Usage (EKU) содержался идентификатор объекта для ключа KDC, а также чтобы в сертификате KDC X.509 содержалось расширение dNSName subjectAltName (SAN), соответствующее DNS имени домена. Если компьютер присоединен к домену, клиент Kerberos потребует, чтобы сертификат X.509 KDC был подписан центром сертификации (ЦС) в хранилище NTAUTH. Если компьютер не присоединен к домену, клиент Kerberos будет позволять использовать корневой сертификат центра сертификации на смарт-карте для подтверждения пути сертификата KDC.

Если этот параметр отключен или не задан, клиент Kerberos будет требовать только, чтобы сертификат KDC содержал идентификатор объекта для проверки подлинности сервера в расширениях EKU.