我的 Windows“以域为中心”的公司突然决定从 Windows 7 切换到 Windows 10，我的工作就是让他们准备好的图像通过我们的基于智能卡/令牌的身份验证系统加入我们的域。这是 Windows 7 的一个问题，但是，通过构建证书信任链很容易解决。我不负责在 Windows 7 上完全设置它，所以我不确定整个 Kerberos 进程的内部工作原理。
然而，对于 Windows 10，这一直是一场噩梦。我已经将我的整个过程从 7 镜像到 10，包括所有丢失的证书（我们使用 netdom 通过命令行添加，使用 /securepasswordprompt），但是无论我做什么，我的计算机都不会通过智能卡加入域。他们使用用户名/密码（没有 2FA）添加没有问题，但是使用智能卡，我收到以下错误：
The KDC certificate for the domain controller does not contain the KDC Extended Key Usage (EKU): 1.3.6.1.5.2.3.5: Error Code 0xc0000320. The domain administrator will need to obtain a certificate with the KDC EKU for the domain controller to resolve this error. When using Windows Server Certificate Services create a certificated based on the Kerberos Authentication …