Cara menggunakan otentikasi Kerberos dalam SQL Server

• Cara: mengaktifkan otentikasi Kerberos termasuk SQL Server Virtual Server pada Server cluster
• Pendaftaran nama layanan utama

Kembali ke atas

Kembali ke atas

Menyambung ke server yang menjalankan Microsoft Layanan Informasi Internet dan membuat Kerberos koneksi ke SQL Server 2000

Langkah 1: Mengkonfigurasi domain controller

1. Klik kanan komputer yang Anda ingin mengatur untuk delegasi (IIS layanan server), dan kemudian klik untuk memilih Percaya ini komputer untuk delegasi. Jika komputer yang menjalankan SQL Server apa yang tampaknya menjadi komputer terakhir menghubungi tapi komputer telah terhubung server, juga harus diberikan izin delegasi. Jika tidak terakhir komputer dalam rantai, semua komputer yang perantara harus dipercaya untuk delegasi.
2. Memberikan izin delegasi untuk layanan SQL Server account pengguna account domain. Anda harus memiliki account pengguna domain untuk berkumpul Instalasi SQL Server (langkah ini tidak diperlukan untuk komputer yang menjalankan SQL Server yang menggunakan account sistem lokal):
   1. Dalam Pengguna folder, klik kanan account pengguna, dan kemudian klik Properti.
   2. Di pengguna account kotak dialog properti, klik Rekening tab.
   3. Di bawah Opsi akun, klik untuk memilih The Rekening dipercaya untuk delegasi kotak centang. Pastikan yang Account sensitif dan tidak didelegasikan Periksa kotak dibersihkan untuk akun ini.
      
      Catatan 'Account terpercaya untuk delegasi' hak diperlukan untuk account layanan SQL Server hanya ketika Anda mendelegasikan mandat dari target SQL server untuk SQL server jauh seperti dalam skenario hop ganda seperti didistribusikan permintaan (query terkait server) yang menggunakan Windows otentikasi.
   Catatan Langkah ini hanya berlaku untuk Windows 2000 Server. Jika Anda menggunakan Windows Server 2003, kunjungi Web site Microsoft Developer Network (MSDN) berikut:
   http://technet2.Microsoft.com/windowsserver/en/Library/bef202b0-c8e9-4999-9af7-f56b991a4fd41033.mspx (http://technet2.microsoft.com/windowsserver/en/library/bef202b0-c8e9-4999-9af7-f56b991a4fd41033.mspx)
3. Menggunakan utilitas Kerbtray.exe untuk memverifikasi bahwa Kerberos tiket diterima dari kontroler domain dan host:
   1. Klik kanan ikon Kerbtray dalam pemberitahuan daerah, dan kemudian klik membersihkan tiket.
   2. Menunggu untuk ikon Kerbtray hijau yang berubah dari hijau ke kuning. Segera setelah ini terjadi, Buka jendela prompt perintah dan jalankan ini perintah:
      bersih sesi * bumi
      Ini akan drop sesi yang ada, dan memaksa sesi baru untuk didirikan dan tiket Kerberos yang diterima.

Langkah 2: Mengkonfigurasi server layanan IIS

1. Ganti default situs Web Wwwroot file dengan sampel berkas .asp. Untuk membuat berkas .asp sampel, menggunakan kode yang disediakan dalam bagian "ASP menguji script untuk pengambilan data SQL Server".
2. Menambahkan file ke Wwwroot folder. Untuk melakukannya, gunakan contoh kode di bagian "ASP tes Script untuk SQL Server pengambilan Data". Simpan sebagai file Default.asp.
3. Mengkonfigurasi server Web untuk menggunakan Windows terpadu Otentikasi hanya:
   1. Klik kanan default Web server, dan kemudian klik Keamanan folder.
   2. Dalam folder keamanan, membuat perubahan yang benar, dan kemudian klik untuk mengosongkan akses anonim.
   3. Dari prompt perintah, jalankan perintah ini:
      Cscript C:\Inetpub\Adminscripts\adsutil.vbs mendapatkan w3svc/NTAuthenticationProviders
      Jika Bernegosiasi adalah diaktifkan, berikut adalah kembali:

       NTAuthenticationProviders : (STRING) Negotiate,NTLM

      Untuk informasi selengkapnya, klik nomor artikel berikut untuk melihat artikel di Pangkalan Pengetahuan Microsoft:
      215383  (http://support.microsoft.com/kb/215383/ ) Cara mengkonfigurasi IIS untuk mendukung protokol Kerberos dan NTLM protokol jaringan otentikasi
   Catatan
   • Anda harus menginstal Microsoft Data Access (MDAC) 2.6, atau nanti, di IIS layanan server. Untuk melakukannya (dan untuk membuat alat-alat yang tersedia untuk pengujian), menginstal alat klien SQL Server 2000 server Web. Pada menginstal hanya MDAC 2.6, atau kemudian (tanpa menginstal alat klien), kunjungi Web site Microsoft berikut:
     http://msdn2.Microsoft.com/en-US/data/aa937730.aspx (http://msdn2.microsoft.com/en-us/data/aa937730.aspx)
   • IIS adalah sistem tingkat menengah umum. Namun, IIS ini tidak hanya tengah tingkat sistem. Jika IIS tidak sistem tingkat menengah di lingkungan Anda, ikuti langkah-langkah yang tepat untuk sistem tingkat menengah.
4. Memverifikasi bahwa
   HKLM\SW\MS\MSSQLSERVER\Client\DSQUERY
   nilai hadir dalam registri. Jika nilai tidak ditampilkan, menambahkannya sebagai
   DSQUERY:Reg_SZ:DBNETLIB
   .
5. Menggunakan utilitas Kerbtray.exe untuk memverifikasi bahwa Kerberos tiket diterima dari kontroler domain dan host:
   1. Klik kanan ikon Kerbtray di daerah pemberitahuan, kemudian klik membersihkan tiket.
   2. Menunggu untuk ikon Kerbtray hijau yang berubah dari hijau ke kuning. Segera setelah ini terjadi, Buka jendela prompt perintah dan jalankan ini perintah:
      bersih sesi * bumi
      Ini akan drop sesi yang ada, dan memaksa sesi baru untuk didirikan dan tiket Kerberos yang diterima.

Langkah 3: Mengkonfigurasi SQL Server layanan untuk membuat SPNs secara dinamis

• Baca servicePrincipalName
• Menulis servicePrincipalName

• Jika Anda menggunakan snap-in Edit antarmuka layanan direktori aktif (ADSI), utilitas LDP, atau klien LDAP 3 dan Anda keliru mengubah atribut objek Active Directory, masalah serius terjadi. Untuk mengatasi masalah ini, Anda mungkin harus menginstal ulang Microsoft Exchange 2000 Server atau Microsoft Exchange Server 2003. Dalam beberapa kasus, Anda mungkin harus menginstal ulang Microsoft Windows 2000 Server atau Microsoft Windows Server 2003 dan kemudian instal ulang Exchange 2000 Server atau Exchange Server 2003. Kami tidak dapat menjamin bahwa masalah ini dapat diselesaikan. Memodifikasi atribut ini risiko Anda sendiri.
• Anda harus logon sebagai domain administrator. Atau, Anda harus meminta administrator domain Anda untuk memberikan izin yang sesuai dan hak-hak pengguna yang sesuai ke SQL Server startup account.

1. Klik Mulai, klik Menjalankan, jenis Adsiedit.MSC, lalu klik Oke.
   
   Catatan Alat ADSIEdit termasuk dalam alat dukungan Windows. Untuk mendapatkan alat dukungan Windows, kunjungi Website Microsoft berikut:
   http://www.Microsoft.com/downloads/details.aspx?FamilyID=6EC50B78-8BE1-4E81-B3BE-4E7AC4F0912D&DisplayLang=en (http://www.microsoft.com/downloads/details.aspx?familyid=6EC50B78-8BE1-4E81-B3BE-4E7AC4F0912D&displaylang=en)
2. Dalam ADSI Edit snap-in, memperluas Domain [DomainName], memperluas DC = RootDomainName, memperluas CN = pengguna, klik kanan CN = AccountName , lalu klik Properti.
   
   Catatan
   • DomainName adalah sebuah tempat untuk nama domain.
   • RootDomainName adalah sebuah tempat untuk nama domain akar.
   • AccountName merupakan tempat bagi account yang Anda tetapkan untuk memulai layanan SQL Server.
   • Jika Anda menetapkan account sistem lokal untuk memulai layanan SQL Server, AccountName merupakan tempat bagi account yang Anda gunakan untuk masuk ke Microsoft Windows.
   • Jika Anda menetapkan account pengguna domain untuk memulai layanan SQL Server, AccountName merupakan tempat bagi account pengguna domain.
3. Dalam CN = AccountName Properti kotak dialog, klik Keamanan tab.
4. Pada Keamanan tab, klik Lanjutan.
5. Dalam Pengaturan keamanan lanjutan kotak dialog, pastikan DIRI terdaftar di bawah Entri izin.
   
   Jika DIRI adalah tidak tercantum, klik Tambahkan, dan kemudian tambahkan DIRI.
6. Di bawah Entri izin, klik DIRI, lalu klik Mengedit.
7. Dalam Izin masuk kotak dialog, klik Properti tab.
8. Pada Properti tab, klik Objek ini hanya dalam Menerapkan ke Daftar, dan kemudian klik untuk memilih kotak centang untuk izin berikut di bawah Izin:
   • Baca servicePrincipalName
   • Menulis servicePrincipalName
9. Klik Oke dua kali.
   
   Catatan Untuk bantuan dengan proses ini, hubungi dukungan produk Active Directory, dan menyebutkan artikel Basis Pengetahuan Microsoft.
   
   Catatan Menggunakan alat dsacls untuk menentukan jika diri account memiliki izin menulis ServicePrincipalName, menggunakan dsacls perintah. Berikut ini adalah sintaks:

   dsacls <distinguished_Name_of_service_account>

   Jika diri account memiliki izin menulis ServicePrincipalName, Anda melihat output berikut:

   Allow NT Authority\SELF SPECIAL ACCESS for Validated Write to Service principal name
   WRITE PROPERTY

   Alat dsacls adalah bagian dari alat dukungan.
10. Dalam CN = AccountName Properti kotak dialog, klik Editor atribut.
11. Di bawah Atribut, klik servicePrincipalName dalam Atribut kolom, dan kemudian klik Mengedit.
12. Dalam Object multi-nilai String Editor kotak dialog, menghapus nama prinsip layanan (SPNs) untuk contoh-contoh SQL Server yang menggunakan account layanan SQL Server ini.
    
    Warning Anda hanya harus menghapus SPNs untuk contoh-contoh SQL Server yang Anda sedang bekerja pada. Hal lain dari SQL Server yang menggunakan account layanan ini akan dapat menghapus SPNs yang terkait dengan kasus ini waktu berikutnya Anda mulai kasus ini.
13. Keluar ADSI Edit snap-in.

Langkah 4: Mengkonfigurasi komputer klien

1. Untuk setiap klien yang akan menghubungkan, memverifikasi bahwa Microsoft Internet Explorer telah dikonfigurasi untuk menggunakan Windows otentikasi:
   1. Di Internet Explorer, di Alatmenu, klik Opsi Internet.
   2. Klik Lanjutan tab.
   3. Di bawah Keamanan, klik untuk memilih Mengaktifkan Windows otentikasi Terpadu (memerlukan restart), kemudian klik Oke.

Langkah 5: Menguji konfigurasi

1. Logon ke komputer, dan kemudian menggunakan Kerbtray.exe untuk memverifikasi komputer dapat memperoleh tiket Kerberos berlaku dari domain controller.
2. Gunakan Kerbtray.exe untuk menghapus semua tiket pada komputer.
3. Membuat dan menghubungkan ke halaman Web yang mengembalikan SQL Server data.
   
   Catatan Ganti SQLSERVERNAME dengan nama komputer yang menjalankan SQL Server:
   • Jika data dikembalikan, Halaman ini menampilkan Jenis otentikasi Bernegosiasi, dan SQL Server data untuk hasil sp_helpdb disimpan prosedur yang harus mengembalikan sebuah daftar database pada server yang sedang terhubung ke melalui.Halaman ASP.
   • Jika Anda memiliki audit diaktifkan pada SQL Server, dalam Log aplikasi Anda akan melihat bahwa sambungan "dipercaya".

Kembali ke atas

ASP menguji script untuk pengambilan data SQL Server

<%@ Language=VBScript %>
<HTML>
<HEAD>
<META NAME="GENERATOR" Content="Microsoft Visual Studio 6.0">
</HEAD>
<BODY>
<%="'auth_user' is" & request.servervariables("auth_user")%>
<P>
<%="'auth_type' is" & request.servervariables("auth_type")%>
<P>
Connections string is <B>" Provider=SQLOLEDB.1;Integrated Security=SSPI;Persist Security Info=False;Initial Catalog=pubs;Data Source=SQLSERVERNAME </B>
<P>
<%
	set rs = Server.CreateObject("ADODB.Recordset")
	set cn = Server.CreateObject("ADODB.Connection")
	cn.Open "Provider=SQLOLEDB.1;Integrated Security=SSPI;Persist Security Info=False;Initial Catalog=pubs;Data Source=SQLSERVERNAME"
	rs.open "MASTER..sp_helpdb",cn
	Response.Write cstr(rs.Fields.Count) +"<BR>"
	while not rs.EOF
		Response.Write cstr(rs(0))+"<BR>"
		rs.MoveNext
	wend
	rs.Close
	cn.Close
	set rs = nothing ' Frees memory reserved by the recordset.
	set cn = nothing ' Frees memory reserved by the connection.
%>
</BODY>
</HTML>
					

Kembali ke atas

Bagaimana untuk mengumpulkan daftar prinsip server Active Directory nama informasi

• Entri untuk server yang tidak lagi ada, tetapi yang tidak benar-benar dihapus dari Active Directory.
• Pengguna"Nama pengguna"telah berlaku SPN informasi tentang sepuluh server yang berbeda.

Kembali ke atas

Domain tingkat output dari NewouputUsers.txt

	dn: CN=User Name,CN=Users,DC=betaland
	changetype: add
	servicePrincipalName: MSSQLSvc/CLUSTERDEFAULT.betaland:1257
	servicePrincipalName: MSSQLSvc/INST3.betaland:3616
	servicePrincipalName: MSSQLSvc/INST2.betaland:3490
	servicePrincipalName: MSSQLSvc/SQLMAN.betaland:1433
	servicePrincipalName: MSSQLSvc/VSS1.betaland:1433
	servicePrincipalName: MSSQLSvc/INST1.betaland:2536
	servicePrincipalName: MSSQLSvc/INST4.betaland:3967
	servicePrincipalName: MSSQLSvc/SQLVIRTUAL1.betaland:1434
	servicePrincipalName: MSSQLSvc/SQLVIRTUAL.betaland:1433
	servicePrincipalName: MSSQLSvc/SQLBUSTER.betaland:1315

Kembali ke atas