Все что вы хотели узнать о протоколе Керберос, но забыли спросить.

ВАЖНО!

Лектор разочарован в том, что он нарассказывал об учётной записи krbtgt_XXXXX.
На самом деле данные учётные записи — это учётки, создаваемые для RODC (Read-Only Domain Controllers) и ими используемые.
В свою очередь механизм krbtgt при смене пароля использует стандартную историю паролей данной учётной записи. И если пришедший TGT тикет не подтверждается текущим паролём krbtgt (только что сменили), то используется прошлый пароль (хеш конечно), находящийся в истории паролей этой учётки.
Сколько прошлых паролей (1 или больше) используется для подтверждения TGT тикета лектор затрудняется сказать.