Kerberos 認証と委任に関する問題のトラブルシューティング

サーバー名を決定する

サーバーの実際の NetBIOS 名を使用するか、DNS 名 (たとえば、www.microsoft.com) などのエイリアス名を使用して、Web サイトに接続しているかどうかを判断します。 サーバーの実際の名前以外の名前を使用して Web サーバーにアクセスする場合は、Windows 2000 Server Resource Kit の Setspn ツールを使用して、新しいサービス プリンシパル名 (SPN) が登録されている必要があります。 Active Directory ディレクトリ サービスはこのサービス名を知らないので、チケット付与サービス (TGS) はユーザーを認証するためのチケットを提供しません。 この動作により、クライアントは次に使用可能な認証方法 (NTLM) を使用して再ネゴシエーションを行います。 Web サーバーが www.microsoft.com の DNS 名に応答しているが、サーバーに webserver1.development.microsoft.com という名前が付けられている場合は、IIS を実行しているサーバー上の Active Directory に www.microsoft.com を登録する必要があります。 これを行うには、Setspn ツールをダウンロードし、IIS を実行しているサーバーにインストールする必要があります。


実際の名前を使用して接続しているかどうかを判断するには、DNS 名ではなくサーバーの実際の名前を使用してサーバーに接続してみてください。 サーバーに接続できない場合は、「コンピューターが委任に対して信頼されていることを確認する」セクションを参照してください。

サーバーに接続できる場合は、次の手順に従って、サーバーへの接続に使用する DNS 名の SPN を設定します。

1. Setspn ツールをインストールします。

2. IIS を実行しているサーバーでコマンド プロンプトを開き、C:\Program Files\Resource Kit フォルダーを開きます。

3. 次のコマンドを実行して、この新しい SPN (www.microsoft.com) をサーバーの Active Directory に追加します。

   Setspn -A HTTP/www.microsoft.com webserver1注 このコマンドでは、 webserver1 はサーバーの NetBIOS 名を表します。

次のような出力を受け取ります。
CN=webserver1、OU=Domain Controllers、DC=microsoft、DC=com
の ServicePrincipalNames の登録 HTTP/www.microsoft.com
更新されたオブジェクト
サーバー上の SPN の一覧を表示してこの新しい値を表示するには、IIS を実行しているサーバーで次のコマンドを入力します。

Setspn -L webservername すべてのサービスを登録する必要はありません。 HTTP、W3SVC、WWW、RPC、CIFS (ファイル アクセス)、WINS、無停電電源装置 (UPS) などの多くのサービスの種類は、HOST という名前の既定のサービスの種類にマップされます。 たとえば、クライアント ソフトウェアで HTTP/webserver1.microsoft.com の SPN を使用して、webserver1.microsoft.com サーバー上の Web サーバーへの HTTP 接続を作成しても、この SPN がサーバーに登録されていない場合、Windows 2000 ドメイン コントローラーは接続を HOST/webserver1.microsoft.com に自動的にマップします。 このマッピングは、Web サービスがローカル システム アカウントで実行されている場合にのみ適用されます。

コンピューターが委任に対して信頼されていることを確認する

IIS を実行しているこのサーバーがドメインのメンバーであり、ドメイン コントローラーではない場合、Kerberos が正常に動作するためには、委任のためにコンピューターを信頼する必要があります。 この場合、次の手順を実行します。

1. ドメイン コントローラーで、[スタート] をクリックし、[設定] をポイントし、[コントロール パネル] をクリックします。

2. コントロール パネルで、[管理ツール] を開きます。

3. [Active Directory ユーザーとコンピューター] をダブルクリックします。

4. ドメインの [ コンピューター] をクリックします。

5. 一覧で、IIS を実行しているサーバーを探し、サーバー名を右クリックし、[ プロパティ] をクリックします。

6. [全般] タブをクリックし、[信頼された委任]
   チェック ボックスを選択し、[OK] をクリック
   します。

同じ URL で複数の Web サイトにアクセスしても、ポートが異なる場合、委任は機能しないことに注意してください。 この作業を行うには、異なるホスト名と異なる SPN を使用する必要があります。 インターネット エクスプローラーが http://www を要求する場合。mywebsite.com または http://www。mywebsite.com:81、インターネット エクスプローラーは SPN HTTP/www.mywebsite.com のチケットを要求します。 インターネット エクスプローラーでは、ポートまたは vdir が SPN 要求に追加されません。 この動作は、http://www でも同じです。mywebsite.com/app1 または http://www。mywebsite.com/app2. このシナリオでは、インターネット エクスプローラーは SPN http://www のチケットを要求します。キー配布センター (KDC) の mywebsite.com。 各 SPN は、1 つの ID に対してのみ宣言できます。 そのため、ID ごとにこの SPN を宣言しようとすると、KRB_DUPLICATE_SPNエラー メッセージも表示されます。