> For the complete documentation index, see [llms.txt](https://docs.devolutions.net/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.devolutions.net/gateway/da/knowledge-base/how-to-articles/use-the-devolutions-gateway-kdc-proxy.md).

# Brug KDC-proxyen til Devolutions Gateway

Konfigurer Devolutions Gateway som en Kerberos KDC-proxy ved hjælp af kortvarige eller langvarige tokens for at aktivere NLA til RDP-forbindelser.

Fjernforbindelse til systemer ved hjælp af Kerberos-tokens er en udfordring uden direkte sigtelinje. En [Kerberos KDC-proxy (Key Distribution Controller)](https://learn.microsoft.com/en-us/openspecs/windows_protocols/ms-kkdcp/d688ea3a-04b0-45ea-8226-82a74cb6289e) giver en klient en metode til at kommunikere med en mellemliggende server, i dette eksempel Devolutions Gateway, som viderefører tokenanmodningen til en anden KDC, der findes på domænecontrolleren.

Da Devolutions Gateway er en sikker, let just-in-time-erstatning for VPN, er den et godt valg som KDC-proxy til eksterne RDP-forbindelser. Devolutions Gateway har to muligheder: [kortvarige](#configure-kdc-proxy-with-short-lived-tokens) og [langvarige tokens](#configure-kdc-proxy-with-long-lived-tokens).

### Aktivér API-hooking til RDP

[API-hooking til Microsoft RDP bør være aktiveret](https://docs.devolutions.net/rdm/knowledge-base/knowledge-base-articles/microsoft-rdp-api-hooking) i Remote Desktop Manager (aktiveret som standard) for forbindelser med Devolutions Gateway. Det gør det muligt at fortsætte brugen, når der sker en NTLM-nedgradering.

### Konfigurer KDC-proxy med kortvarige tokens

Når De bruger en KDC-proxy, er den anbefalede standard kortvarige tokens, der indsættes dynamisk af Devolutions Gateway. Disse tokens bruges i RDP via NLA (Network Layer Authentication) og af de webbaserede Devolutions-sessioner, f.eks. WinRM, LDAP og LAPS. Typiske Kerberos-tokens er som standard begrænset til 10 timer.

1. I Devolutions Server skal De gå til ***Administration*** – ***Moduler*** – ***Devolutions Gateway***. Klik derefter på knappen ***Rediger*** (penformet ikon) på den ønskede instans af Devolutions Gateway.
2. I sektionen ***KDC-proxy*** skal De klikke på knappen ***Tilføj*** (krydsformet ikon). Der kan tilføjes flere KDC-servere.

   <div data-gb-custom-block data-tag="hint" data-style="info" class="hint hint-info"><p>Forbindelsen matches ud fra suffikset, f.eks. med to serverrealms, der hedder henholdsvis <code>ad.it-help.ninja</code> og <code>ad.contoso.com</code>. <code>machine.ad.it-help.ninja</code> bruger automatisk det første suffiks, mens <code>machine.ad.contoso.com</code> bruger det sidste.</p></div>
3. Udfyld felterne ***URL til KDC-server*** og ***Kerberos-realm***. Markér ***Angiv som standard*** for at få alle forbindelser til at bruge URL'en til KDC-serveren. Ellers bruges kun de realms, der matcher. Klik på ***Gem***.
4. Tilbage i redigeringsvinduet for Devolutions Gateway skal De gå til sektionen ***Avanceret*** og sikre, at indstillingen ***Gennemtving brug af IP-adresse til RDP-forbindelser*** ikke er markeret. Klik på ***Gem*** for at fuldføre konfigurationen.

### Konfigurer KDC-proxy med langvarige tokens

Der kan oprettes bestemte tokens, der lever i 1, 3 og 6 måneder eller et helt år. Typisk oprettes disse langvarige tokens kun for derefter at blive installeret på hele systemet og brugt i særlige tilfælde, hvor Devolutions Gateway ikke dynamisk kan indsætte et kortvarigt token.

1. I Devolutions Server skal De gå til ***Administration*** – ***Moduler*** – ***Devolutions Gateway*** og klikke på knappen ***Mere*** (ikon med lodret ellipse). Vælg ***KDC-proxy***.
2. Klik på knappen ***Tilføj*** (krydsformet ikon).
3. Udfyld felterne ***URL til KDC-server*** og ***Kerberos-realm***, og bestem, hvor længe tokenet skal leve. Klik på ***Tilføj***.
4. Når det er tilføjet, skal De downloade enten et PowerShell-script eller en registreringsdatabasefil for at føje tokenet til målmaskinens registreringsdatabase. Både registreringsdatabasefilen og PowerShell-filen gør det samme, men PowerShell-filen gør det også muligt at køre med parameteren `-Uninstall` for at afinstallere, hvis det er nødvendigt.

#### Registreringsdatabaseposter til KDC-proxy

Begge scripts konfigurerer flere registreringsdatabasenøgler og værdier:

* `HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\Kerberos`
* `HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\Kerberos\Parameters`
* `HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\Kerberos\KdcProxy\ProxyServers`

Her placeres det token, der blev genereret, med nøglerne:

* `HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\Kerberos\KdcProxyServer_Enabled` = `1`
* `HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\Kerberos\KdcProxy\ProxyServers\{realm name}` = Tokenværdi

For at fjerne KDC-konfigurationen fra registreringsdatabasen skal De omhyggeligt ændre ***Registreringseditor*** i Windows eller starte det tidligere brugte PowerShell-script med parameteren `-Uninstall`.

### Gruppen Beskyttede brugere i Active Directory

Når brugere føjes til [gruppen Beskyttede brugere i Active Directory](https://learn.microsoft.com/en-us/windows-server/security/credentials-protection-and-management/protected-users-security-group), deaktiveres NTLM, hvilket ofte ødelægger RDP for fjernsessioner. Devolutions Gateway løser dette ved at fungere som en KDC-proxy, så Kerberos-godkendelse er mulig, selv uden direkte adgang til domænecontrolleren. I Remote Desktop Manager på Windows [skal RDP API-hooking være aktiveret](#enable-api-hooking-for-rdp) for at understøtte kortvarige Kerberos-tokens og gendanne RDP-funktionaliteten sikkert.

### Se også

* [API-hooking til Microsoft RDP](https://docs.devolutions.net/rdm/knowledge-base/knowledge-base-articles/microsoft-rdp-api-hooking)


---

# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.

## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation by asking a question.

Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters:

```
GET https://docs.devolutions.net/gateway/da/knowledge-base/how-to-articles/use-the-devolutions-gateway-kdc-proxy.md?ask=<question>&goal=<user_goal>
```

`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case.

The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.

Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.