警报！Windows 11 四月更新将强制启用 Kerberos AES 加密，部分用户面临登录失败风险

微软即将在 2026 年 4 月 的安全更新中推出一项关键的 Kerberos 协议强化策略。这是提升域环境安全性的变更，若未提前规划，可能导致部分依赖旧版加密算法（特别是 FSLogix 配置文件存储）的企业电脑出现身份验证失败甚至无法登录的情况。

核心变更：告别不安全的 RC4，强制 AES-SHA1

现状：目前，若 Active Directory (AD) 中的账户对象未明确指定加密类型（设置为空），Kerberos 会默认回退到老旧且不安全的 RC4 算法。
新规：从 2026 年 4 月 起，Windows 域控制器将不再允许回退到 RC4。对于未明确设置加密类型的账户，系统将强制使用更安全的 AES-SHA1 算法进行身份验证。
目的：消除 RC4 算法已知的安全漏洞，防止中间人攻击和凭据窃取，进一步淘汰 NTLM，全面转向更安全的 Kerberos 生态。

虽然普通单点登录可能不受影响，但以下场景风险极高：

FSLogix 配置文件容器：这是重灾区。FSLogix 通过 SMB 文件共享存储用户配置文件（VHD/VHDX）。如果存储这些配置文件的SMB 服务器或AD 计算机对象仍依赖 RC4 或未明确支持 AES，用户在登录时将无法挂载配置文件，导致登录失败或进入临时配置文件。
旧版网络设备/NAS：连接至 AD 域但仅支持 RC4 加密的老旧 NAS 或文件服务器。
未更新的遗留系统：运行旧版 Windows Server 或未打补丁的 Linux Samba 服务器。

简单判断：如果你不知道什么是 FSLogix 或 SMB 共享配置文件，那么你的个人电脑或非企业环境大概率不受影响。这主要是一个企业级 IT 管理问题。

微软给出了明确的过渡窗口，IT 管理员需抓紧时间行动：

时间节点	阶段	状态描述	应对措施
2026 年 4 月	强制执行（含回退选项）	默认启用 AES-SHA1 强制模式。若发现问题，管理员可手动切换回“审计模式”暂时兼容 RC4。	立即排查：扫描 AD 中依赖 RC4 的对象，更新不支持 AES 的设备。若出问题，利用“审计模式”应急。
2026 年 7 月	完全强制	审计模式被移除。强制执行成为唯一选项，RC4 将被彻底阻断。	最后期限：此前必须完成所有兼容性修复，否则相关服务将永久不可用。

为避免 4 月更新后的大规模登录故障，建议立即执行以下步骤：

审计现有环境：
- 使用 PowerShell 脚本或第三方工具扫描 Active Directory，找出所有 msDS-SupportedEncryptionTypes 属性为空或仅包含 RC4 的计算机/用户对象。
- 重点检查承载 FSLogix 配置文件 的文件服务器。
更新与配置：
- 确保所有文件服务器、NAS 设备和域控制器已安装最新安全补丁，并明确启用 AES-128 和 AES-256 支持。
- 对于无法升级的老旧设备，考虑将其隔离或替换。
测试验证：
- 在测试环境中模拟 4 月更新后的行为，验证 FSLogix 配置文件能否正常挂载。
- 确认关键业务应用的 Kerberos 身份验证流程无误。
制定应急预案：
- 熟悉如何通过组策略（GPO）暂时将域控制器回退到“审计模式”，以便在出现大规模故障时快速恢复业务。