Come utilizzare l'autenticazione Kerberos in SQL Server

• Procedura: attivare l'autenticazione Kerberos tra cui il server virtuale di SQL Server nei cluster di Server
• Registrazione del nome principale servizio

Torna all'inizio | Invia suggerimenti

Connettersi a un server che esegue Microsoft Internet Information Services e crea una connessione di Kerberos in SQL Server 2000

Passaggio 1: Configurare il controller di dominio

1. Pulsante destro del mouse del computer che si desidera impostare per delega (server di servizi di IIS), quindi fare clic per selezionare Questo trust computer per la delega. Se il computer che esegue SQL Server è quello che sembra essere l'ultimo computer contattato ma il computer è collegato Server, è necessario altresì delega delle autorizzazioni. Se non è l'ultimo computer nella catena, tutti i computer sono gli intermediari devono essere trusted per delega.
2. Concedere l'autorizzazione di delega per il servizio SQL Server account account utente di dominio. È necessario un account utente di dominio per il cluster (Questo passaggio non è obbligatorio per i computer che sono le installazioni di SQL Server esecuzione di SQL Server che utilizza un account di sistema locale):
   1. Nel Utenti cartella, fare doppio clic su di account utente e quindi fare clic su Proprietà.
   2. Nella finestra di dialogo Proprietà account utente, scegliere il Account scheda.
   3. Nella casella di gruppo Opzioni account, fare clic per selezionare Verrà visualizzata la finestra di dialogo Account è Trusted per delega . Assicurarsi che che il Account è sensibile e non può essere delegato controllo casella è deselezionata per questo account.
      
      Nota. Il diritto "Account è trusted per delega" è obbligatorio per l'account del servizio SQL Server solo quando si desidera delegare le credenziali dal server SQL di destinazione a un server SQL remoto, ad esempio in uno scenario di doppio hop come query distribuite, le query al server collegato, che utilizzano l'autenticazione di Windows.
   Nota. Questa procedura si applica solo a Windows 2000 Server. Se si utilizza Windows Server 2003, visitare il seguente sito Web Microsoft Developer Network (MSDN):
   http://technet2.microsoft.com/WindowsServer/en/library/bef202b0-c8e9-4999-9AF7-f56b991a4fd41033.mspx

   (http://technet2.microsoft.com/windowsserver/en/library/bef202b0-c8e9-4999-9af7-f56b991a4fd41033.mspx)
3. Utilizzare l'utilità Kerbtray.exe exe per verificare che Kerberos i ticket ricevuti dal controller di dominio e dell'host:
   1. Pulsante destro del mouse sull'icona Kerbtray nella notifica area, quindi fare clic su eliminare i ticket.
   2. Attendere che l'icona di Kerbtray verde passare da verde giallo. Come in questo caso, aprire una finestra del prompt dei comandi ed eseguire questo file comando:
      NET session * /d
      Questo rilascio sessioni esistenti e forzare una nuova sessione stabilire e un ticket Kerberos ricevuto.

Passaggio 2: Configurare il server di servizi IIS

1. Sostituire i file di Wwwroot del sito Web predefinito con l'esempio file ASP. Per creare i file ASP di esempio, utilizzare il codice fornito in la sezione "ASP test script per il recupero di dati di SQL Server".
2. Aggiungere il file nella cartella Wwwroot. A tale scopo, utilizzare il codice di esempio nella sezione "ASP Test Script per SQL Server recupero dei dati". Salvare il file come default. ASP.
3. Riconfigurare il server Web per l'utilizzo di Windows integrata Autenticazione:
   1. Il pulsante destro del server Web predefinito e quindi scegliere il Cartella protezione.
   2. Nella cartella protezione, apportare le modifiche corrette, e Fare clic per deselezionare Accesso anonimo.
   3. Dal prompt dei comandi, eseguire questo comando:
      cscript C:\Inetpub\Adminscripts\adsutil.vbs get w3svc/NTAuthenticationProviders
      Se Negotiate è attivata, viene restituito il seguente:

       NTAuthenticationProviders : (STRING) Negotiate,NTLM

      Per ulteriori informazioni, fare clic sul numero dell'articolo riportato di seguito per visualizzare l'articolo della Microsoft Knowledge Base:
      215383

      (http://support.microsoft.com/kb/215383/ )

      Come configurare IIS per supportare il protocollo Kerberos e il protocollo NTLM per l'autenticazione di rete
   Note
   • È necessario installare Microsoft Data Access (MDAC) 2.6 o versione successiva, in il server di servizi di IIS. Per eseguire questa operazione (e rendere disponibili per gli strumenti testing), installare gli strumenti client di SQL Server 2000 per il server Web. Per installare solo MDAC 2.6 o versione successiva (senza installare gli strumenti client), visitare il seguente sito Web Microsoft:
     http://msdn2.microsoft.com/en-us/data/aa937730.aspx

     (http://msdn2.microsoft.com/en-us/data/aa937730.aspx)
   • IIS è un sistema comune di livello intermedio. Tuttavia, IIS non è il sistema di livello intermedio solo. Se IIS non è il sistema di livello intermedio nell'ambiente in uso, attenersi alla procedura appropriata per il sistema di livello intermedio.
4. Verificare che il
   HKLM\SW\MS\MSSQLSERVER\Client\DSQUERY
   valore è presente nel Registro di sistema. Se il valore non è visualizzato, aggiungerla come
   DSQUERY:Reg_SZ:DBNETLIB
   .
5. Utilizzare l'utilità Kerbtray.exe exe per verificare che Kerberos i ticket ricevuti dal controller di dominio e dell'host:
   1. Pulsante destro del mouse sull'icona di Kerbtray nell'area di notifica e quindi fare clic su Elimina i ticket.
   2. Attendere che l'icona di Kerbtray verde passare da verde giallo. Come in questo caso, aprire una finestra del prompt dei comandi ed eseguire questo file comando:
      NET session * /d
      Questo rilascio sessioni esistenti e forzare una nuova sessione stabilire e un ticket Kerberos ricevuto.

Passaggio 3: Configurare il servizio SQL Server per creare nomi SPN in modo dinamico

• Lettura servicePrincipalName
• Scrittura servicePrincipalName

• Se si utilizza lo snap-in modifica di Active Directory Service Interfaces (ADSI), l'utilità LDP o i client LDAP 3 e si modificano erroneamente gli attributi degli oggetti di Active Directory, si verificano problemi gravi. Per risolvere questi problemi, è necessario reinstallare Microsoft Exchange 2000 Server o Microsoft Exchange Server 2003. In alcuni casi, potrebbe essere necessario reinstallare Microsoft Windows 2000 Server o Microsoft Windows Server 2003, quindi reinstallare Exchange 2000 Server o Exchange Server 2003. È possibile garantire che questi problemi possano essere risolti. Modificare questi attributi a proprio rischio.
• È necessario essere connessi come amministratore di dominio. In alternativa, è necessario chiedere all'amministratore di dominio di concedere le autorizzazioni appropriate e i diritti utente appropriati per l'account di avvio di SQL Server.

1. Fare clic Inizio, fare clic su Eseguire, tipo Adsiedit. msc, quindi fare clic su OK.
   
   Nota. Lo strumento ADSIEdit è incluso negli strumenti di supporto di Windows. Per ottenere gli strumenti di supporto di Windows, visitare il seguente sito Web Microsoft:
   http://www.microsoft.com/downloads/details.aspx?FamilyId=6EC50B78-8BE1-4E81-B3BE-4E7AC4F0912D&displaylang=en

   (http://www.microsoft.com/downloads/details.aspx?familyid=6EC50B78-8BE1-4E81-B3BE-4E7AC4F0912D&displaylang=en)
2. Nel snap-in ADSI Edit, espandere [DominioNomeDominio], espandere DC = RootDomainName, espandere CN = Users, fare doppio clic su CN = AccountName , quindi fare clic su Proprietà.
   
   Note
   • NomeDominio è un segnaposto per il nome del dominio.
   • RootDomainName è un segnaposto per il nome del dominio principale.
   • AccountName è un segnaposto per l'account specificato per avviare il servizio SQL Server.
   • Se si specifica l'account di sistema locale per avviare il servizio SQL Server, AccountName è un segnaposto per l'account utilizzato per accedere a Microsoft Windows.
   • Se si specifica un account utente di dominio per avviare il servizio SQL Server, AccountName è un segnaposto per l'account utente di dominio.
3. Nel CN = AccountName Proprietà Nella finestra di dialogo, scegliere il Protezione scheda.
4. Nel Protezione Fare clic su Avanzate.
5. Nel Impostazioni di protezione avanzate finestra di dialogo verificare che SELF è elencato in Voci di autorizzazione.
   
   Se SELF non è elencato, fare clic su Aggiungere, quindi aggiungere SELF.
6. Nella casella di gruppo Voci di autorizzazione, fare clic su SELF, quindi fare clic su Modifica.
7. Nel Voce di autorizzazione Nella finestra di dialogo, scegliere il Proprietà scheda.
8. Nel Proprietà Fare clic su Solo l'oggetto nel Applica a elenco, quindi fare clic per selezionare le caselle di controllo per le autorizzazioni seguenti in Autorizzazioni:
   • Lettura servicePrincipalName
   • Scrittura servicePrincipalName
9. Fare clic OK due volte.
   
   Nota. Per informazioni su questo processo, contattare il supporto tecnico di Active Directory e citare in questo articolo della Microsoft Knowledge Base.
   
   Nota. Per utilizzare lo strumento dsacls per determinare se l'account utente disponga dell'autorizzazione di scrittura ServicePrincipalName, utilizzare il comando dsacls . La sintassi è la seguente:

   dsacls <distinguished_Name_of_service_account>

   Se l'account utente disponga dell'autorizzazione di scrittura ServicePrincipalName, verrà visualizzato il seguente output:

   Allow NT Authority\SELF SPECIAL ACCESS for Validated Write to Service principal name
   WRITE PROPERTY

   Lo strumento dsacls fa parte degli strumenti di supporto.
10. Nel CN = AccountName Proprietà Nella finestra di dialogo, fare clic su Editor attributi.
11. Nella casella di gruppo Attributi, fare clic su servicePrincipalName nel Attributo colonna, quindi fare clic su Modifica.
12. Nel Editor stringa multivalore finestra di dialogo casella, rimuovere i nomi principali di servizio (SPN) per le istanze di SQL Server che utilizzano l'account del servizio SQL Server.
    
    Avviso. È necessario eliminare gli SPN solo per le istanze di SQL Server attualmente in uso. Le altre istanze di SQL Server che utilizzano l'account del servizio sarà in grado di rimuovere gli SPN relativi a queste istanze al successivo avvio di queste istanze.
13. Chiudere lo snap-in ADSI Edit.

• Esistono più controller di dominio.
• Cluster di SQL Server.

• Un'istanza virtuale di SQL denominata cluster con due nodi: nodo A e nodo B.
• Il nodo A è autenticato dal controller di dominio A e nodo B viene autenticato dal controller di dominio B.

1. L'istanza del cluster è attivo nel nodo A e registrato il SPN SQL in un controller di dominio durante l'avvio del backup...
2. L'istanza di cluster failover al nodo B quando il nodo A viene arrestato normalmente.
3. L'istanza cluster registrazione annullata proprio nome SPN da un controller di dominio durante il processo di arresto del nodo A.
4. il SPN viene rimosso da un controller di dominio, ma la modifica non è ancora stata replicata al controller di dominio B.
5. All'avvio del nodo B, l'istanza cluster tenta di registrare il SPN di SQL con controller di dominio B. Da allora, il SPN esiste ancora il nodo B non viene registrato il SPN.
6. Dopo alcuni minuti, il controller di dominio A replica l'eliminazione di SPN (dal passaggio 3) a controller di dominio B come parte della replica di Active Directory. Il risultato finale è che non esiste alcun SPN valido per l'istanza SQL nel dominio e si vedano quindi i problemi di connessione all'istanza del cluster.

Passaggio 4: Configurare i computer client

1. Per ogni client che si connetterà, verificare che Microsoft Internet Explorer è configurato per utilizzare l'autenticazione di Windows:
   1. In Internet Explorer, nel Strumentimenu, fare clic su Opzioni Internet.
   2. Scegliere il Avanzate scheda.
   3. Nella casella di gruppo Protezione, fare clic per selezionare Attivare l'autenticazione Windows integrata (richiede riavvio), e quindi fare clic su OK.

Passaggio 5: Verificare la configurazione

1. Accedere al computer e quindi utilizzare Kerbtray.exe per verificare che il computer può ottenere un ticket Kerberos valido dal dominio controller.
2. Utilizzare Kerbtray.exe per rimuovere tutti i ticket sul computer.
3. Creare e connettersi alla pagina Web che restituisce il SQL Dati del server.
   
   Nota. Sostituire SQLSERVERNAME con il nome del il computer che esegue SQL Server:
   • Se vengono restituiti dati, questa pagina viene visualizzato il tipo di autenticazione Negotiatee i dati di SQL Server per il risultato di sp_helpdb la stored procedure che dovrebbe restituire un elenco dei database su il server è in corso la connessione a tramite la.Pagina ASP.
   • Se si dispone di controllo attivato in SQL Server, nel Registro dell'applicazione si noterà che la connessione è "attendibile".

Script di prova ASP per il recupero di dati di SQL Server

<%@ Language=VBScript %>
<HTML>
<HEAD>
<META NAME="GENERATOR" Content="Microsoft Visual Studio 6.0">
</HEAD>
<BODY>
<%="'auth_user' is" & request.servervariables("auth_user")%>
<P>
<%="'auth_type' is" & request.servervariables("auth_type")%>
<P>
Connections string is " Provider=SQLOLEDB.1;Integrated Security=SSPI;Persist Security Info=False;Initial Catalog=pubs;Data Source=SQLSERVERNAME 
<P>
<%
	set rs = Server.CreateObject("ADODB.Recordset")
	set cn = Server.CreateObject("ADODB.Connection")
	cn.Open "Provider=SQLOLEDB.1;Integrated Security=SSPI;Persist Security Info=False;Initial Catalog=pubs;Data Source=SQLSERVERNAME"
	rs.open "MASTER..sp_helpdb",cn
	Response.Write cstr(rs.Fields.Count) +"<BR>"
	while not rs.EOF
		Response.Write cstr(rs(0))+"<BR>"
		rs.MoveNext
	wend
	rs.Close
	cn.Close
	set rs = nothing ' Frees memory reserved by the recordset.
	set cn = nothing ' Frees memory reserved by the connection.
%>
</BODY>
</HTML>
					

Come raccogliere un elenco di principio server Active Directory informazioni sul nome

• Voci per i server che non esiste, ma che non erano completamente rimosso da Active Directory.
• L'utente"Nome utente"è valido Informazioni relative a SPN su dieci server diversi.

Output di livello di dominio di NewouputUsers.txt

	dn: CN=User Name,CN=Users,DC=betaland
	changetype: add
	servicePrincipalName: MSSQLSvc/CLUSTERDEFAULT.betaland:1257
	servicePrincipalName: MSSQLSvc/INST3.betaland:3616
	servicePrincipalName: MSSQLSvc/INST2.betaland:3490
	servicePrincipalName: MSSQLSvc/SQLMAN.betaland:1433
	servicePrincipalName: MSSQLSvc/VSS1.betaland:1433
	servicePrincipalName: MSSQLSvc/INST1.betaland:2536
	servicePrincipalName: MSSQLSvc/INST4.betaland:3967
	servicePrincipalName: MSSQLSvc/SQLVIRTUAL1.betaland:1434
	servicePrincipalName: MSSQLSvc/SQLVIRTUAL.betaland:1433
	servicePrincipalName: MSSQLSvc/SQLBUSTER.betaland:1315

Torna all'inizio | Invia suggerimenti