Симптомы и описание ошибки Event ID 128 (LSA)

В журнале событий System (Система) на контроллерах домена или рядовых серверах под управлением Windows Server регистрируется предупреждение или информационное событие от источника LSA (LsaSrv) с кодом Event ID 128:

The Kerberos SSPI package generated an output token of size X bytes, which is larger than the configured maximum size of Y bytes.

Как проявляется проблема у пользователей:

• Пользователи с большим количеством доменных групп не могут авторизоваться на веб-ресурсах с Integrated Windows Authentication (IIS, SharePoint).
• Случайные сбои аутентификации при подключении по RDP к серверам приложений.
• Ошибка HTTP 400 (Bad Request — Request Header Too Long) при попытке доступа к корпоративным сайтам.
• Задержки при обработке запросов службой безопасности LSASS.

Пошаговое решение проблемы с размером токена Kerberos

1. Увеличение параметра MaxTokenSize через реестр

   На проблемном сервере откройте PowerShell от имени Администратора и выполните команду, увеличивающую лимит размера билета Kerberos до максимальных 48 КБ (65535 байт):

   New-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\Lsa\Kerberos\Parameters" -Name "MaxTokenSize" -Value 65535 -PropertyType DWord -Force

2. Настройка групповой политики (GPO) для всех компьютеров домена

   Чтобы не править реестр на каждом компьютере вручную, настройте политику домена:

   • Откройте консоль gpmc.msc (Управление групповыми политиками).
   • Перейдите по пути: Конфигурация компьютера → Административные шаблоны → Система → KDC (для контроллеров домена) и Система → Kerberos (для клиентов).
   • Включите параметр Установить максимальный размер контекстного буфера токена SSPI Kerberos (Set maximum Kerberos SSPI context token buffer size) и задайте значение 65535.

   # Принудительное обновление групповой политики на сервере:
   gpupdate /force

3. Очистка устаревших групп и истории SID (SID History)

   Удалите пользователей из неиспользуемых доменных групп и выполните аудит атрибута sIDHistory с помощью PowerShell:

   Import-Module ActiveDirectory
   Get-ADUser -Identity "username" -Properties MemberOf, SIDHistory | Select-Object Name, @{N="GroupsCount";E={$_.MemberOf.Count}}, @{N="SIDHistoryCount";E={$_.SIDHistory.Count}}

4. Корректировка лимитов веб-сервера IIS (если ошибка возникает на веб-узлах)

   Если веб-сервер выдает ошибку HTTP 400 из-за большого заголовка авторизации, увеличьте параметры HTTP.sys:

   New-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\HTTP\Parameters" -Name "MaxFieldLength" -Value 65534 -PropertyType DWord -Force
   New-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\HTTP\Parameters" -Name "MaxRequestBytes" -Value 16777216 -PropertyType DWord -Force
   net stop http /y
   net start w3svc