无法创buildKDS根密钥 – “请求不受支持”

我有一个Windows Server 2012域控制器（唯一的DC和域中的第一台计算机）都是新build的，都是最新的。 我正在尝试创build一个需要首先使用KDS根密钥的组托pipe服务帐户（gmsa）。 我使用以pipe理员身份运行启动Windows Powershell的Active Directory模块，并发出以下命令：

Add-KDSRootKey -EffectiveTime ((get-date).addhours(-11)) 

我收到一个错误“请求不支持”。

如果我立即将其更改为“有效”，则会得到相同的错误。

• 将新的SPN添加到现有的服务ID
• “后代用户对象”和“用户对象”之间的区别
• 权限问题将域联网打印机指向LPT1
• EFS的当前状态
• 是否有可能没有信任authenticationMS AD用户针对另一个MS AD？

KDS cmdlet已安装

我可以使用它们列出键（空）和查看configuration – 我似乎无法添加KDS根密钥。 我已经挣扎了两天了 – 有什么build议吗？