SQL Server MaxTokenSize 配置指南：解決大型 AD 環境下 Kerberos 認證失敗問題

問題現象

• 大型企業（AD 用戶/組 > 70,000），用戶屬於 > 100 個組（含巢狀）。
• Windows 整合認證連接 SQL Server 失敗，報錯：

MSSQL: "Login failed for user ''. The user is not associated with a trusted SQL Server connection."
Kerberos: "The Kerberos packet size exceeds the maximum allowed size."

根因分析

• Kerberos Token 包含用戶所有 SID（組成員資格）。
• 默認 MaxTokenSize = 12,000 字節，大型 AD 環境 Token 超限 → 截斷/拒絕 → 認證失敗。

解決方案：調整註冊表 MaxTokenSize

1. 計算所需大小

使用 Microsoft TokenSZ 工具：

tokensz /compute_tokensize /user:Administrator /domain:CORP.COM /password:xxx

輸出 Required MaxTokenSize = 45000（示例）。

2. 修改註冊表（SQL Server 服務賬號上下文）

路徑：HKLM\SYSTEM\CurrentControlSet\Control\Lsa\Kerberos\Parameters
值：MaxTokenSize (DWORD)
數據：計算值 + 20% 冗餘（如 54000 → 十六進制 0xD2F8）

必須在所有域控制器、SQL Server 服務器、客戶端機器上設置，重啟生效。

3. 驗證生效

• 重新連接 SQL Server，錯誤消失。
• 事件日誌無 Kerberos/MSSQL 錯誤。

最佳實踐與避坑

結語

MaxTokenSize 是大型 AD 環境連接 SQL Server 的「隱形門檻」。通過 TokenSZ 量化需求、GPO 統一分發、持續監控，可徹底消除 Kerberos 認證失敗風險，保障 Windows 整合認證的穩定可用。

1. 上一篇文章： OLTP 系統設計精要：高併發、原子性、備份與歸檔的五大核心原則
2. 下一篇文章： SQL Server 2005 升級指南：就地升級前的預檢查、備份與驗證標準流程

關於SqlServer

SQL Server 遠端連線圖文教學：用戶端網路工具與企業管理器設定全攻略

適用版本與前置條件 SQL Server 2000 /

SQL Server 五大交易隔離等級實戰演示：髒讀、不可重複讀、幻讀完整複現

交易隔離等級控制「一個交易如何影響其他交易、以及如何被其他交

SQL Server 2008 R2 英文版安裝圖文完整教學

SQL Server 2008 R2 英文版安裝全程截圖指引

如何監測 SQL Server 查詢對 TempDB 的實際空間消耗

TempDB 是 SQL Server 共享資源，過度消耗會