SQL Server'da Kerberos kimlik doðrulamasý nasýl kullanýlýr

• Nasýl: SQL Server sunucu kümeleri sanal sunucularda da dahil, Kerberos kimlik doðrulamasýný etkinleþtir
• Hizmet asýl adý'nýn kayýt

Üste

Üste

Microsoft ýnternet ýnformation Services çalýþtýran bir sunucuya baðlanýn ve SQL Server 2000'e bir Kerberos baðlantýsý

1. Adým: etki alaný denetleyicisinde yapýlandýrma

1. Bilgisayara temsilcilik (IIS Hizmetleri sunucusu) için ayarlamak istediðiniz ve sonra Bu bilgisayara temsilci seçmek için güven seçmek için týklatýn</a1> sað týklatýn. SQL Server çalýþtýran bilgisayarýn en son bilgisayar baðlantý gibi görünen olup olmadýðýný, ancak baðlantýlý bir sunucu bilgisayar varsa, bunu gerekir, ayrýca temsilci izinlerine sahip. Zincirdeki son bilgisayar deðilse, aracýlar tüm bilgisayarlarýn temsilci seçme için güvenilir olmalýdýr.
2. SQL Server hizmet hesabýnýn etki alaný kullanýcý hesabý için temsilci seçme izni verin. (Bu adým yerel sistem hesabý kullanan SQL Server çalýþtýran bilgisayarlar için gerekli deðildir) bir etki alaný kullanýcý hesabý için Kümelendirilmiþ SQL Server kurulumlarýnýn olmalýdýr:
   1. Kullanýcýlar klasörü, kullanýcý hesabýný sað týklatýn ve sonra da Properties ' i týklatýn.
   2. Kullanýcý hesabýnýn Özellikler iletiþim kutusunda, Hesap sekmesini týklatýn.
   3. Hesap seçenekleri altýnda týklatarak seçin hesabý için güvenilen temsilcisi onay kutusu. Bu hesap için Hesap duyarlý ve temsilci seçilemez onay kutusu temizlenmiþ olduðundan emin olun.
      
      Not Yalnýzca, kimlik bilgileri hedef SQL sunucusundan Windows kimlik doðrulamasý kullanan daðýtýlmýþ sorgular (sunucunun sorgularý) gibi çift sýçrama senaryosunda gibi uzak bir SQL sunucusuna yetkilendirirken 'Hesap, temsilci seçme için güvenilir' için SQL Server hizmet hesabýnýn gerekli hakkýdýr.
   Not Bu adýmlar yalnýzca Windows 2000 Server için geçerlidir. Windows Server 2003 kullanýyorsanýz, aþaðýdaki Microsoft Developer Network (MSDN) Web sitesini ziyaret edin:
   http://technet2.microsoft.com/windowsserver/en/library/bef202b0-c8e9-4999-9af7-f56b991a4fd41033.mspx (http://technet2.microsoft.com/windowsserver/en/library/bef202b0-c8e9-4999-9af7-f56b991a4fd41033.mspx)
3. Doðrulamak için Kerbtray.exe yardýmcý programýný kullanýn, bir Kerberos biletleri alýnan etki alaný denetleyicisini ve ana bilgisayar:
   1. Bildirim alanýnda Kerbtray simgesini sað týklatýn ve sonra da <a2>biletleri Temizle</a2>'ý týklatýn.
   2. Yeþil Kerbtray simge yeþilden için sarý deðiþtirmek bekleyin. Böyle hemen sonra bir komut istemi penceresi açýn ve bu komutu çalýþtýrýn:
      net session * /d
      Bu varolan oturumlarý býrakýn ve kurulabilmesi için yeni bir oturum ve Kerberos bileti aldý.

2. Adým: IIS Hizmetleri yapýlandýrýn

1. Varsayýlan Web sitesi Wwwroot dosyalarý örnek .asp dosyalarý ile deðiþtirin. Örnek .asp dosyalarýný oluþturmak için <a0></a0>, "ASP komut dosyasý SQL Server veri alma için sýnama" bölümünde saðlanan kodu kullanýn.
2. Dosyayý Wwwroot klasörüne ekleyin. Bunu yapmak için <a0></a0>, "ASP sýnama komut dosyasý için SQL Server veri alma" bölümündeki örnek kodu kullanma. Dosyayý default.asp kaydedin.
3. Tümleþik Windows kullanmak için Web sunucusu yeniden yapýlandýrýn yalnýzca kimlik doðrulamasý:
   1. Varsayýlan Web sunucusu'ý sað týklatýn ve sonra güvenlik klasörü týklatýn.
   2. Güvenlik klasöründe doðru deðiþiklikleri yapýn ve Anonim eriþim temizlemek için týklatýn.
   3. Bir komut isteminden, bu komutu çalýþtýrýn:
      <a1>cscript</a1> C:\Inetpub\Adminscripts\adsutil.vbs w3svc/NTAuthenticationProviders alýn
      Anlaþma etkinse, aþaðýdaki döndürülür:

       NTAuthenticationProviders : (STRING) Negotiate,NTLM

      Daha fazla bilgi için, Microsoft Bilgi Bankasý'ndaki makaleyi görüntülemek üzere aþaðýdaki makale numarasýný týklatýn:
      215383  (http://support.microsoft.com/kb/215383/ ) IIS, Kerberos iletiþim kuralý hem de NTLM iletiþim kuralý için að kimlik doðrulamasýný destekleyecek þekilde yapýlandýrma hakkýnda
   Notlarý
   • IIS Hizmetleri sunucu üzerinde Microsoft Data Access (MDAC) 2.6 veya sonraki sürümünü yüklemeniz gerekir. Bunu yapmak için (ve sýnama araçlarý kullanabilmek için), Web sunucusuna istemci araçlarý SQL Server 2000'i yükleyin. MDAC 2.6 yüklemek veya daha yenisi (istemci araçlarýný yüklemeden), aþaðýdaki Microsoft Web sitesini ziyaret edin için:
     http://msdn2.microsoft.com/en-us/data/aa937730.aspx (http://msdn2.microsoft.com/en-us/data/aa937730.aspx)
   • IIS, bir ortak orta baðlayýcýda sistemidir. Ancak, IIS yalnýzca orta baðlayýcýda sistemi deðildir. IIS, orta baðlayýcýda Sistem ortamýndaki deðilse, orta baðlayýcýda sisteminiz için uygun adýmlarý izleyin.
4. Doðrulayýn
   HKLM\SW\MS\MSSQLSERVER\Client\DSQUERY
   deðeri kayýt defterinde yok. Deðer görüntülenmemiþse, onu
   DSQUERY:Reg_SZ:DBNETLIB
   ekleyin.
5. Doðrulamak için Kerbtray.exe yardýmcý programýný kullanýn, bir Kerberos biletleri alýnan etki alaný denetleyicisini ve ana bilgisayar:
   1. Bildirim alanýnda Kerbtray simgesini sað týklatýn ve sonra da <a2>biletleri Temizle</a2>'ý týklatýn.
   2. Yeþil Kerbtray simge yeþilden için sarý deðiþtirmek bekleyin. Böyle hemen sonra bir komut istemi penceresi açýn ve bu komutu çalýþtýrýn:
      net session * /d
      Bu varolan oturumlarý býrakýn ve kurulabilmesi için yeni bir oturum ve Kerberos bileti aldý.

3. Adým: SPN dinamik olarak oluþturmak için SQL Sunucu hizmetini yapýlandýrma

• ServicePrincipalName okunamýyor.
• ServicePrincipalName yazma

• Active Directory Hizmet Arabirimleri (ADSI) Düzenleme ek bileþenini, LDP yardýmcý programýný veya LDAP 3 istemcilerinin kullandýðýnýz ve Active Directory nesnelerinin özniteliklerini hatalý olarak deðiþtirirseniz, ciddi sorunlar oluþur. Bu sorunlarý gidermek için <a0></a0>, Microsoft Exchange 2000 Server veya Microsoft Exchange Server 2003'ný yeniden yüklemeniz gerekebilir. Bazý durumlarda, Microsoft Windows 2000 Server veya Microsoft Windows Server 2003 yeniden yükleyin ve Exchange 2000 Server veya Exchange Server 2003 yeniden baþlatmanýz gerekebilir. Biz bu sorunlarýn çözülebileceðini garanti etmemektedir. Bu öznitelikleri deðiþtirmek kendi sorumluluðunuzdadýr.
• Etki alaný yöneticisi olarak oturum açmýþ olmalýsýnýz. Alternatif olarak, uygun izinlere ve SQL Server baþlangýç hesap için uygun kullanýcý haklarýný vermek için etki alaný yöneticiniz istemeniz gerekir.

1. Baþlat ' ý týklatýn, Çalýþtýr ' ý týklatýn, Adsiedit.msc yazýn ve Tamam ' ý týklatýn.
   
   Not Adsýedit aracýný Windows Destek Araçlarý'nda bulunur. Windows Destek Araçlarý'ný edinmek için aþaðýdaki Microsoft Web sitesini ziyaret edin:
   http://www.microsoft.com/downloads/details.aspx?familyid=6EC50B78-8BE1-4E81-B3BE-4E7AC4F0912D&displaylang=en (http://www.microsoft.com/downloads/details.aspx?familyid=6EC50B78-8BE1-4E81-B3BE-4E7AC4F0912D&displaylang=en)
2. <a1>Domain</a1> [DomainName] farklý ADSI Düzenleyicisi ek bileþeninde, sýrasýyla, DC RootDomainName =, geniþletin CN = Kullanýcýlar =, sað CN AccountName = ve sonra da Özellikler ' i týklatýn.
   
   Notlarý
   • DomainNameetki alaný adýný yertutucusudur.
   • RootDomainNamekök etki alaný adýný yertutucusudur.
   • AccountNameSQL Server hizmetini baþlatmak için belirttiðiniz hesaba yertutucusudur.
   • SQL Sunucu hizmetini baþlatmak için yerel sistem hesabýnýn belirtirseniz, AccountName Microsoft Windows'a oturum açmak için kullandýðýnýz hesabýn bir yertutucudur.
   • SQL Sunucu hizmetini baþlatmak için bir etki alaný kullanýcý hesabý belirtmeniz durumunda, AccountName etki alaný kullanýcý hesabý için bir yertutucudur.
3. Içinde CN AccountName özellikleri = iletiþim kutusunda, Güvenlik sekmesini týklatýn.
4. Güvenlik sekmesinde, Geliþmiþ ' i týklatýn.
5. Geliþmiþ güvenlik ayarlarý iletiþim kutusunda, SELFizin girdileri listelendiðinden emin olun.
   
   SELF listeleniyorsa, Ekle ' yi týklatýn ve sonra da SELF ekleyin.
6. Izin girdileri altýnda SELF ' ý týklatýn ve sonra da <a2>Düzenle</a2>'yi týklatýn.
7. Izin girdisi iletiþim kutusunda, Özellikler sekmesini týklatýn.
8. Özellikler sekmesindeki Uygula</a0> listesinde yalnýzca bu nesne ' ý týklatýn ve sonra izinleri aþaðýdaki izinleri için onay kutularýný seçmek için týklatýn:
   • Okuma servicePrincipalName
   • ServicePrincipalName yazma
9. Iki kez Tamam ' ý týklatýn.
   
   Not Bu iþlem hakkýnda Yardým, Active Directory ürün desteðine baþvurun ve bu Microsoft Bilgi Bankasý makalesi belirtmeyin.
   
   Not Self hesabýnýn Write ServicePrincipalName izni olup olmadýðýný belirlemek için dsacls aracýný kullanmak için dsacls komutunun Ek Yardým düðmesini kullanýn. Sözdizimi aþaðýdaki gibidir:

   dsacls <distinguished_Name_of_service_account>

   Self hesabýnýn Write ServicePrincipalName izni varsa, þu çýktýyý görürsünüz:

   Allow NT Authority\SELF SPECIAL ACCESS for Validated Write to Service principal name
   WRITE PROPERTY

   aracý dsacls destek araçlarýnýn bir parçasýdýr.
10. Içinde CN AccountName özellikleri = iletiþim kutusunda, Öznitelik Düzenleyicisi ' ni týklatýn.
11. Öznitelikleri altýnda <a0>öznitelik</a0> sütunundaki servicePrincipalName ' ý týklatýn ve sonra da <a2>Düzenle</a2>'yi týklatýn.
12. Multi-valued Dize Düzenleyicisi iletiþim kutusunda, bu SQL Server hizmet hesabýný kullanan örneklerini SQL Server için hizmet ilkesi adý (SPN) kaldýrýn.
    
    Uyarý Yalnýzca, üzerinde çalýþmakta olduðunuz SQL Server örnekleri için SPN silmelisiniz. Bu hizmet hesabýný kullanan diðer örneklerini SQL Server bu örnekleri için bu örnekleri bir sonraki yeniden baþlatýþýnýzda iliþkili SPN kaldýrmak olacaktýr.
13. ADSI düzenleme ek bileþenini kapatýn.

Adým 4: istemci bilgisayarlarý yapýlandýrma

1. Baðlantý kuracak her istemci için Microsoft ýnternet Explorer, Windows kimlik doðrulamasýný kullanacak biçimde yapýlandýrýlmýþ olduðunu doðrulayýn:
   1. ýnternet Explorer'da, Araçlar menüsünden Internet seçenekleri ' ni týklatýn.
   2. Geliþmiþ sekmesini týklatýn.
   3. Güvenlik, Tümleþik Windows kimlik doðrulamasýný etkinleþtir (yeniden baþlatma gerektirir) týklatýp seçin ve Tamam ' ý týklatýn.

Adým 5: yapýlandýrmasýný sýnama

1. Bilgisayara oturum açýn ve sonra bilgisayar, etki alaný denetleyicisinden geçerli Kerberos bileti elde edebilirsiniz doðrulamak için Kerbtray.exe kullanýn.
2. Kerbtray.exe, bilgisayardaki tüm biletleri kaldýrmak için kullanýn.
3. Ve SQL döndüren Web sayfasýna baðlantý oluþturmak sunucu verisi.
   
   NotSQLSERVERNAME, SQL Server çalýþtýran bir bilgisayar adý ile Deðiþtir:
   • Veri döndürdü, bu sayfa, kimlik doðrulama türü üzerinde anlaþ görüntüler ve veritabanlarýnýn bir listesini, yüklenmekte olan sunucuda döndürmelidir yordamý sp_helpdb sonucu için SQL Server veri depolanan .ASP sayfasýndan baðlanýlýyor.
   • Denetim SQL Server'da açýk varsa, uygulama günlüðüne baðlantýnýn "güvenilen" olduðunu görürsünüz.

Üste

ASP sýnama komut için SQL Server veri alma

<%@ Language=VBScript %>
<HTML>
<HEAD>
<META NAME="GENERATOR" Content="Microsoft Visual Studio 6.0">
</HEAD>
<BODY>
<%="'auth_user' is" & request.servervariables("auth_user")%>
<P>
<%="'auth_type' is" & request.servervariables("auth_type")%>
<P>
Connections string is <B>" Provider=SQLOLEDB.1;Integrated Security=SSPI;Persist Security Info=False;Initial Catalog=pubs;Data Source=SQLSERVERNAME </B>
<P>
<%
	set rs = Server.CreateObject("ADODB.Recordset")
	set cn = Server.CreateObject("ADODB.Connection")
	cn.Open "Provider=SQLOLEDB.1;Integrated Security=SSPI;Persist Security Info=False;Initial Catalog=pubs;Data Source=SQLSERVERNAME"
	rs.open "MASTER..sp_helpdb",cn
	Response.Write cstr(rs.Fields.Count) +"<BR>"
	while not rs.EOF
		Response.Write cstr(rs(0))+"<BR>"
		rs.MoveNext
	wend
	rs.Close
	cn.Close
	set rs = nothing ' Frees memory reserved by the recordset.
	set cn = nothing ' Frees memory reserved by the connection.
%>
</BODY>
</HTML>
					

Üste

Active Directory sunucusu ilkesi adý bilgilerinin bir listesini toplamak için

• Giriþler, artýk bulunmayan, ancak Active Directory'den tamamen kaldýrýlmadý sunucularý.
• "User Name" kullanýcý on farklý sunucular için geçerli SPN bilgi vardýr.

Üste

Etki alaný düzeyi NewouputUsers.txt çýkýþýný

	dn: CN=User Name,CN=Users,DC=betaland
	changetype: add
	servicePrincipalName: MSSQLSvc/CLUSTERDEFAULT.betaland:1257
	servicePrincipalName: MSSQLSvc/INST3.betaland:3616
	servicePrincipalName: MSSQLSvc/INST2.betaland:3490
	servicePrincipalName: MSSQLSvc/SQLMAN.betaland:1433
	servicePrincipalName: MSSQLSvc/VSS1.betaland:1433
	servicePrincipalName: MSSQLSvc/INST1.betaland:2536
	servicePrincipalName: MSSQLSvc/INST4.betaland:3967
	servicePrincipalName: MSSQLSvc/SQLVIRTUAL1.betaland:1434
	servicePrincipalName: MSSQLSvc/SQLVIRTUAL.betaland:1433
	servicePrincipalName: MSSQLSvc/SQLBUSTER.betaland:1315

Üste