klist

查看和清理本机 Kerberos 票据缓存，排查认证与 SPN 问题。

补充说明

klist 显示当前登录会话缓存的 Kerberos 票据，包括 TGT、服务票据、加密类型和有效期。排查“刚改完组权限却不生效”“访问共享一直提示认证失败”时，先看票据再决定是否清理。

它内置于 Windows，普通用户可以查看自己的票据；清理其他登录会话或 SYSTEM 会话的票据需要管理员权限。purge 只是删除本地缓存，不会修改 AD，也不会删除账户或密码，应用会在下次访问时重新申请票据。

Windows Server 2016+ 与 Windows 10/11 行为一致。PowerShell 没有等价的纯 cmdlet，通常仍用 klist 配合事件日志分析。

常用示例

# 查看当前会话的全部票据
C:\> klist

# 只看 TGT，确认是否已获得域票据
C:\> klist tgt

# 查看票据详情，包括加密类型和到期时间
C:\> klist -v

# 列出本机所有登录会话及其 LogonId
C:\> klist sessions

# 影响范围：清空当前用户的票据缓存，已建立的 Kerberos 会话会重新认证，个别应用可能短暂提示登录
# 备份/回滚：无需备份；重新访问资源或注销/登录即可重新获取票据
C:\> klist purge

# 影响范围：清理 SYSTEM 登录会话的票据，可能影响以系统身份运行的服务认证
# 备份/回滚：仅在明确排查服务票据时使用；重启相关服务或重启主机可恢复
C:\> klist -li 0x3e7 purge

易错点与排错

• 改了组成员关系但客户端权限没变 → 旧票据仍包含旧组 SID → 注销/登录或 klist purge 后重新访问，不要只刷新页面。
• 报错 KRB_AP_ERR_SKEW → 客户端与 DC 时间差超过 5 分钟 → 用 w32tm /query /status 与 w32tm /resync 修复。
• klist 能看到票据但访问仍失败 → SPN 指向了错误账户或服务未注册 SPN → 用 setspn -X、setspn -Q 复核。
• 清理后问题立刻复现 → 不是缓存问题，根因在 DNS/SPN/时间或服务配置 → 不要反复 purge，转向 nltest 和事件日志。
• 服务账户的票据看不到 → klist 默认只显示当前会话 → 用 klist sessions 找 LogonId，再以管理员执行 klist -li <LogonId>。
• 票据到期时间异常短 → 域策略或 KDC 时间设置问题 → 对比多台客户端，并检查 DC 的 Kerberos 策略事件。

相关命令

• setspn — 检查/修复服务主体名称
• nltest — 验证安全通道与 DC 定位
• w32tm — 修复时间偏差导致的票据失败
• netdom — 修复机器账户密码失配
• whoami — 查看当前账户与组 SID

参考链接

• Microsoft Learn: klist
• Microsoft Learn: Kerberos authentication overview

读完自测

1. klist purge 会删除 AD 中的账户或重置密码吗？
2. 修改组成员后权限不生效，为什么清理票据可能有效？
3. 只想查看某个服务账户的票据，应该怎么做？