Essa configuração de diretiva controla o comportamento do cliente Kerberos ao validar o certificado KDC. Se você habilitar ...

Essa configuração de diretiva controla o comportamento do cliente Kerberos ao validar o certificado KDC.  
      
Se você habilitar essa configuração de diretiva, o cliente Kerberos exigirá que o certificado X.509 do KDC contenha o identificador de objeto de finalidade de chave KDC nas extensões EKU (Uso Estendido de Chave) e que o certificado X.509 do KDC contenha uma extensão dNSName subjectAltName (SAN) que corresponda ao nome DNS do domínio. Se o computador fizer parte de um domínio, o cliente Kerberos exigirá que o certificado X.509 do KDC seja assinado por uma CA (Autoridade de Certificação) no repositório NTAUTH. Se o computador não fizer parte de um domínio, o cliente Kerberos permitirá que o certificado CA raiz no cartão inteligente seja usado na validação de caminho do certificado X.509 do KDC.

Se você desabilitar ou não configurar essa diretiva, o cliente Kerberos vai exigir apenas que o certificado KDC contenha o identificador do objeto de finalidade de Autenticação de Servidor nas extensões EKU.