Odpověď na názor

Ehm ... Get-ADReplAccount (pustis to as admin na DC) ... vrati ti to vsechny varianty hashu ktery tam jsou. Samo vcetne tech kratkych.

Tuhle je to vcetne samplu.

https://github.com/MichaelGrafnetter/DSInternals/blob/master/Documentation/PowerShell/Get-ADReplAccount.md

A neni to zdaleka jen o ntml, kerb ve widlich taky bydefault pouziva rc4, a zbavit se toho je pomerne silena operace s nejistym vysledkem a nutnosti primet uzivatele aby si opakovane menili hesla. (prej ... ale jen prej, to tak v 2k25 bydefault uz nebude, nevim, netestoval sem, to jeste neni ani k testovani pouzitelny ...)