Como usar a autenticação Kerberos no SQL Server

• Como: Ativar autenticação Kerberos incluindo servidores virtuais em clusters de servidor do SQL Server
• Registro de nome principal de serviço

Voltar para o início

Voltar para o início

Se conectar a um servidor que está executando o Microsoft Internet Information Services e fazer uma conexão Kerberos para o SQL Server 2000

Etapa 1: Configurar o controlador de domínio

1. Clique com o botão direito do mouse o computador que você deseja configurar para delegação (servidor de serviços do IIS) e, em seguida, clique para selecionar Confiar no computador para delegação . Se o computador que está executando o SQL Server é o que parece ser o último computador contatado mas que o computador tem um servidor vinculado, ele deve também conceder permissões de delegação. Se não for o último computador na cadeia, todos os computadores que são intermediários devem ser confiáveis para delegação.
2. Conceder permissão de delegação para a conta de usuário do SQL Server serviço conta de domínio. Você deve ter uma conta de usuário de domínio para instalações em cluster do SQL Server (essa etapa não é necessária para computadores que estão executando o SQL Server que estão usando uma conta de sistema local):
   1. Na pasta usuários , clique com o botão direito do mouse na conta de usuário e, em seguida, clique em Propriedades .
   2. Na caixa de diálogo de propriedades do conta de usuário, clique na guia conta .
   3. Em Opções de conta , clique em para selecionar o conta é confiável para delegação caixa de seleção. Verifique se a caixa de seleção conta é sigilosa e não pode ser delegada é desmarcada para esta conta.
      
      Observação O direito 'Conta é confiável para delegação' é necessário para a conta de serviço do SQL Server somente quando você delega as credenciais do servidor SQL destino a um SQL server remoto, como em um cenário de salto duplo como consultas distribuídas (servidor vinculado consultas) usar a autenticação do Windows.
   Observação Estas etapas se aplicam somente ao Windows 2000 Server. Se você estiver usando o Windows Server 2003, visite a seguinte site da Microsoft Developer Network (MSDN):
   http://technet2.microsoft.com/windowsserver/en/library/bef202b0-c8e9-4999-9af7-f56b991a4fd41033.mspx (http://technet2.microsoft.com/windowsserver/en/library/bef202b0-c8e9-4999-9af7-f56b991a4fd41033.mspx)
3. Use o utilitário Kerbtray.exe para verificar que Kerberos tíquetes recebidos do controlador de domínio e do host:
   1. Clique com o botão direito do ícone de Kerbtray na área de notificação e clique em remover permissões .
   2. Aguarde até que o ícone Kerbtray verde alterar de verde para amarelo. Assim que isso ocorrer, abra uma janela de prompt de comando e execute este comando:
      net session * /d
      Isso será soltar as sessões existentes e forçar uma nova sessão seja estabelecida e um tíquete Kerberos recebida.

Etapa 2: Configurar o servidor de serviços do IIS

1. Substitua os arquivos de site Wwwroot padrão com os arquivos ASP de exemplo. Para criar os arquivos ASP de exemplo, use o código que é fornecido na seção "Teste de ASP script para recuperação de dados SQL Server".
2. Adicione o arquivo para a pasta Wwwroot. Para fazer isso, use o código de exemplo na seção "ASP Test scripts para SQL Server recuperação de dados". Salve o arquivo como default.ASP.
3. Reconfigurar o servidor Web para usar integrada do Windows somente autenticação:
   1. Clique com o botão direito do mouse o servidor Web padrão e clique em pasta Security.
   2. Na pasta segurança, faça as alterações corretas e, em seguida, clique para desmarcar acesso anônimo .
   3. Em um prompt de comando, execute este comando:
      cscript C:\Inetpub\Adminscripts\adsutil.vbs obter w3svc/NTAuthenticationProviders
      Se Negotiate for habilitada, será retornado o seguinte:

       NTAuthenticationProviders : (STRING) Negotiate,NTLM

      Para obter mais informações, clique no número abaixo para ler o artigo na Base de dados de Conhecimento da Microsoft:
      215383  (http://support.microsoft.com/kb/215383/ ) Como configurar o IIS para oferecer suporte ao protocolo Kerberos e o protocolo NTLM para autenticação de rede
   anotações
   • Você deve instalar Microsoft Data Access (MDAC) 2.6 ou posterior, no servidor de serviços do IIS. Para fazer isso (e para disponibilizar as ferramentas para teste), instalar as ferramentas de cliente SQL Server 2000 para o servidor Web. Instalar apenas o MDAC 2.6 ou posterior (sem instalar as ferramentas de cliente), visite o seguinte site:
     http://msdn2.microsoft.com/en-us/data/aa937730.aspx (http://msdn2.microsoft.com/en-us/data/aa937730.aspx)
   • O IIS é um sistema de camada intermediária comum. No entanto, o IIS não é o sistema camada intermediária somente. Se o IIS não estiver o sistema de camada intermediária em seu ambiente, execute as etapas apropriadas para seu sistema de camada intermediária.
4. Verifique se o
   HKLM\SW\MS\MSSQLSERVER\Client\DSQUERY
   valor estiver presente no registro. Se o valor não for exibido, adicione-o como
   DSQUERY:Reg_SZ:DBNETLIB
   .
5. Use o utilitário Kerbtray.exe para verificar que Kerberos tíquetes recebidos do controlador de domínio e do host:
   1. Clique com o botão direito do ícone de Kerbtray na área de notificação e clique em remover permissões .
   2. Aguarde até que o ícone Kerbtray verde alterar de verde para amarelo. Assim que isso ocorrer, abra uma janela de prompt de comando e execute este comando:
      net session * /d
      Isso será soltar as sessões existentes e forçar uma nova sessão seja estabelecida e um tíquete Kerberos recebida.

Etapa 3: Configurar o serviço SQL Server para criar dinamicamente SPNs

• Ler servicePrincipalName
• Gravar servicePrincipalName

• Se você usar o snap-in Active Directory Service Interfaces (ADSI) Edit, o utilitário LDP ou os clientes LDAP 3 e modificar incorretamente os atributos de objetos do Active Directory, ocorrer sérios problemas. Para resolver esses problemas, talvez seja necessário reinstalar o Microsoft Exchange 2000 Server ou Microsoft Exchange Server 2003. Em alguns casos, talvez você precise reinstalar o Microsoft Windows 2000 Server ou Microsoft Windows Server 2003 e reinstalar o Exchange 2000 Server ou Exchange Server 2003. Não garantimos que esses problemas possam ser resolvidos. Modificar estes atributos de sua responsabilidade.
• Você deve fazer logon como um administrador de domínio. Como alternativa, você deve peça ao administrador do domínio para conceder as permissões apropriadas e os direitos de usuário apropriado para a conta de inicialização do SQL Server.

1. Clique em Iniciar , clique em Executar , digite ADSIEdit.msc e, em seguida, clique em OK .
   
   Observação O ADSIEdit ferramenta está incluída nas ferramentas de suporte do Windows. Para obter ferramentas de suporte do Windows, visite o seguinte site:
   http://www.microsoft.com/downloads/details.aspx?familyid=6EC50B78-8BE1-4E81-B3BE-4E7AC4F0912D&displaylang=en (http://www.microsoft.com/downloads/details.aspx?familyid=6EC50B78-8BE1-4E81-B3BE-4E7AC4F0912D&displaylang=en)
2. No snap-in ADSI Edit, expanda domínio [DomainName] , expanda DC = RootDomainName, expanda CN = usuários , clique com o botão direito do mouse CN = AccountName e em seguida, clique em Propriedades .
   
   anotações
   • DomainNameé um espaço reservado para o nome do domínio.
   • RootDomainNameé um espaço reservado para o nome do domínio raiz.
   • AccountNameé um espaço reservado para a conta que você especificar para iniciar o serviço do SQL Server.
   • Se você especificar a conta sistema local para iniciar o serviço SQL Server, o AccountName é um espaço reservado para a conta que você usa para fazer logon no Microsoft Windows.
   • Se você especificar uma conta de usuário de domínio para iniciar o serviço do SQL Server, o AccountName é um espaço reservado para a conta de usuário de domínio.
3. No CN = AccountName propriedades diálogo, clique na guia segurança .
4. Na guia segurança , clique em Avançado .
5. Na caixa de diálogo Configurações de segurança avançadas , verifique se que SELF está listado em entradas de permissão .
   
   Se própria não estiver listado, clique em Adicionar e, em seguida, adicione própria .
6. Em entradas de permissão , clique em própria e, em seguida, clique em Editar .
7. Na caixa de diálogo Entrada de permissão , clique na guia Propriedades .
8. Na guia Propriedades , clique em somente este objeto na lista Aplicar em e clique para selecionar as caixas de seleção para as seguintes permissões em permissões :
   • leitura servicePrincipalName
   • gravar servicePrincipalName
9. Clique duas vezes em OK .
   
   Observação Para obter ajuda com esse processo, contate o suporte de produto do Active Directory e mencione neste artigo.
   
   Observação Para usar a ferramenta dsacls para determinar se a conta auto tem a permissão de gravação ServicePrincipalName, use o comando dsacls . A seguir está a sintaxe: dsacls

   dsacls <distinguished_Name_of_service_account>

   se a conta self tiver a permissão de gravação ServicePrincipalName, você verá a seguinte saída: nome

   Allow NT Authority\SELF SPECIAL ACCESS for Validated Write to Service principal name
   WRITE PROPERTY

   a ferramenta dsacls faz parte das ferramentas de suporte.
10. No CN = AccountName propriedades diálogo, clique em Editor de atributos .
11. Em atributos , clique em servicePrincipalName na coluna atributos e, em seguida, clique em Editar .
12. Na caixa de diálogo Editor de seqüência Multi-valued , remova os nomes de princípio de serviço (SPNs) para as instâncias do SQL Server que usam essa conta de serviço do SQL Server.
    
    Aviso Você só deve excluir os SPNs para as instâncias do SQL Server você está trabalhando atualmente. Outras instâncias do SQL Server que usam essa conta de serviço poderão remover os SPNs estão relacionados a essas instâncias na próxima vez que você inicia essas instâncias.
13. Feche o snap-in ADSI Edit.

Etapa 4: Configurar os computadores cliente

1. Para cada cliente que irão se conectar, verifique se Microsoft Internet Explorer está configurado para usar a autenticação do Windows:
   1. No Internet Explorer, nas Ferramentas do menu, clique em Opções da Internet .
   2. Clique na guia Avançado .
   3. Em segurança , clique para selecionar Ativar autenticação integrada do Windows (requer reinicialização) e, em seguida, clique em OK .

Etapa 5: Testar a configuração

1. Faça logon computador e use KERBTRAY.exe para verificar que o computador pode obter um tíquete Kerberos válido do controlador de domínio.
2. Use KERBTRAY.exe para remover todas as permissões no computador.
3. Criar e conectar a página da Web que retorna o SQL Server dados.
   
   Observação Substitua SQLSERVERNAME pelo nome do computador que está executando o SQL Server:
   • Se os dados são retornados, esta página exibe o tipo de autenticação de negociação e os dados do SQL Server para o resultado de sp_helpdb procedimento armazenado que deve retornar uma lista dos bancos de dados no servidor que está sendo conectem através da página .ASP.
   • Se você tiver auditoria ativada no SQL Server, no log do aplicativo você verá que a conexão é "confiável".

Voltar para o início

Script de teste do ASP para recuperação de dados SQL Server

<%@ Language=VBScript %>
<HTML>
<HEAD>
<META NAME="GENERATOR" Content="Microsoft Visual Studio 6.0">
</HEAD>
<BODY>
<%="'auth_user' is" & request.servervariables("auth_user")%>
<P>
<%="'auth_type' is" & request.servervariables("auth_type")%>
<P>
Connections string is <B>" Provider=SQLOLEDB.1;Integrated Security=SSPI;Persist Security Info=False;Initial Catalog=pubs;Data Source=SQLSERVERNAME </B>
<P>
<%
	set rs = Server.CreateObject("ADODB.Recordset")
	set cn = Server.CreateObject("ADODB.Connection")
	cn.Open "Provider=SQLOLEDB.1;Integrated Security=SSPI;Persist Security Info=False;Initial Catalog=pubs;Data Source=SQLSERVERNAME"
	rs.open "MASTER..sp_helpdb",cn
	Response.Write cstr(rs.Fields.Count) +"<BR>"
	while not rs.EOF
		Response.Write cstr(rs(0))+"<BR>"
		rs.MoveNext
	wend
	rs.Close
	cn.Close
	set rs = nothing ' Frees memory reserved by the recordset.
	set cn = nothing ' Frees memory reserved by the connection.
%>
</BODY>
</HTML>
					

Voltar para o início

Como obter uma lista de informações de nome de princípio de servidor do Active Directory

• Entradas para servidores que não existem, mas que não foram completamente removidos do Active Directory.
• O usuário "User Name" possui informações de SPN válidas sobre dez servidores diferentes.

Voltar para o início

Saída de nível de domínio de NewouputUsers.txt

	dn: CN=User Name,CN=Users,DC=betaland
	changetype: add
	servicePrincipalName: MSSQLSvc/CLUSTERDEFAULT.betaland:1257
	servicePrincipalName: MSSQLSvc/INST3.betaland:3616
	servicePrincipalName: MSSQLSvc/INST2.betaland:3490
	servicePrincipalName: MSSQLSvc/SQLMAN.betaland:1433
	servicePrincipalName: MSSQLSvc/VSS1.betaland:1433
	servicePrincipalName: MSSQLSvc/INST1.betaland:2536
	servicePrincipalName: MSSQLSvc/INST4.betaland:3967
	servicePrincipalName: MSSQLSvc/SQLVIRTUAL1.betaland:1434
	servicePrincipalName: MSSQLSvc/SQLVIRTUAL.betaland:1433
	servicePrincipalName: MSSQLSvc/SQLBUSTER.betaland:1315

Voltar para o início