需在域控制器组策略中启用“Kerberos身份验证（成功和失败）”及“其他帐户登录事件”，并运行auditpol命令开启KDC子类别审核，日志记录于Security日志，事件ID包括4768、4769、4771等。

要开启详细的 kerberos 身份验证审计日志，核心是启用 windows 内置的 kerberos 事件日志记录功能，这依赖于组策略中的“高级审核策略配置”和“系统审核策略”，而非 kerberos 协议本身的开关。

启用 Kerberos 相关的审核策略

Kerberos 身份验证事件（如 TGT 请求、服务票证发放、PAC 验证失败等）由密钥分发中心（KDC）在域控制器上生成，记录在“Security”日志中。需在域控制器的组策略中配置以下两项：

• 计算机配置 → 策略 → Windows 设置 → 安全设置 → 高级审核策略配置 → 系统审核策略 → 帐户登录：启用“Kerberos 身份验证（成功和失败）”和“其他帐户登录事件（成功和失败）”
• 计算机配置 → 策略 → Windows 设置 → 安全设置 → 本地策略 → 审核策略：确保“审核帐户登录事件”设为“成功和失败”（此为旧版策略，与上方高级策略共存时以高级策略为准，但建议保持一致）

确保 KDC 事件日志已启用

KDC 日志默认不启用，需手动打开。在域控制器上运行以下命令（以管理员身份）：

auditpol /set /subcategory:"Kerberos Authentication Service" /success:enable /failure:enable

auditpol /set /subcategory:"Kerberos Service Ticket Operations" /success:enable /failure:enable

该操作会自动更新组策略对象（GPO）中的对应设置。若通过 GPO 部署，请将上述 auditpol 命令封装为启动脚本或使用“组策略首选项 → 控制面板设置 → 本地用户和组”配合 PowerShell 脚本实现批量下发。

验证与排查常见问题

配置后需确认日志是否实际产生：

• 在域控制器上打开“事件查看器 → Windows 日志 → 安全”，筛选事件 ID：4768（TGT 请求）、4769（服务票证发放）、4771（Kerberos 预身份验证失败）、4776（凭据验证）
• 若无记录，检查“组策略结果（gpresult /h）”确认策略已应用到域控制器；确认域控制器时间同步正常（Kerberos 对时钟偏差极敏感，通常要求 ≤5 分钟）
• 避免混淆：NTLM 审计（如事件 ID 4624 带“Logon Type 3”）不属于 Kerberos 日志范畴，需单独配置“审核登录事件”并区分登录类型