Làm th? nào ð? kh?c ph?c các v?n ð? liên quan ð?n Kerberos trong IIS

Bài vi?t này mô t? cách g? r?i Kerberos xác th?c trên các máy ch? Internet Information Services (IIS). Ðây không ph?i là m?t hý?ng d?n hoàn ch?nh, nhýng có nhi?u tài li?u tham kh?o có th? giúp b?n g? r?i các h?u h?t Kerberos v?n ð? mà b?n có th? g?p.

Theo m?c ð?nh, khi b?n cài ð?t IIS trên m?t máy ch? Microsoft Windows 2000, các NTAuthenticationProviders then ch?t trong metabase ðý?c thi?t l?p ð? Thýõng lý?ng, NTLM. Ði?u này có ngh?a là khi m?t Microsoft Internet Explorer 5.0 tr? lên khách hàng k?t n?i ð?n các trang Web, IIS tr? v? các giá tr? hai trong các WWW-xác nh?n tiêu ð?. Khi ði?u này x?y ra, khách hàng s? xác ð?nh mà phýõng th?c xác th?c nó có th? k?t n?i v?i. N?u khách hàng quy?t ð?nh ð? k?t n?i c?a b?ng cách s? d?ng các Ðàm phán phýõng pháp, khách hàng th?a thu?n v?i máy ch? ð? xác ð?nh cho dù s? d?ng Kerberos ho?c NTLM cho xác th?c. N?u khách hàng không h? tr? các Ðàm phán phýõng pháp, các khách hàng s? d?ng NTLM cho xác th?c.

Chuì yì r?ng ðây là m?t mô t? r?t chung chung v? cách th?c ho?t ð?ng c?a quá tr?nh này. Nhi?u ngý?i khác nh?ng ði?u mà b?n có th? không nh?n th?y c?ng có m?t khi Kerberos là có liên quan.

N?u máy s? d?ng Internet Explorer có th? k?t n?i b?ng cách s? d?ng giao th?c Kerberos, m?t s? ki?m tra an ninh b? sung ðý?c th?c hi?n. Ví d?, khách hàng có th? có ðý?c m?t vé t? vé c?p d?ch v? (TGS), và sau ðó s? d?ng mà vé ð? xác th?c.

Ð? bi?t thêm v? cách ðây x? l? các công tr?nh, h?y b?m s? bài vi?t sau ðây ð? xem các bài vi?t trong các Cõ s? ki?n th?c Microsoft: Ð? bi?t thêm chi ti?t, h?y truy c?p Microsoft sau ðây Web site: B?n ph?i là quen thu?c v?i nh?ng tài li?u tham kh?o ð? g? r?i Kerberos.

Chuì yì N?u b?n có g?n ðây ð? nâng c?p lên Internet Explorer 6.0, b?n có th? g?p v?n ð? Kerberos v? các Kích ho?t tính nãng tích h?p Windows Xaìc thýòc ki?m tra h?p không ðý?c ch?n m?c ð?nh. Cho bi?t thêm thông tin v? làm th? nào ð? ð?m b?o r?ng ði?u này tùy ch?n là ð?t ðúng, b?m s? bài vi?t sau ðây ð? xem bài vi?t trong Microsoft Knowledge Base:

Ki?m ch?ng phýõng pháp xác th?c

H?y ch?c ch?n r?ng phýõng pháp chính xác xác th?c ðý?c li?t kê trong metabase cho IIS máy ch? ho?c trang Web c? th?. N?u máy ch? c?a b?n ð? nâng c?p t? Microsoft Windows NT 4.0 sang Windows 2000, các Ðàm phán phýõng th?c xác th?c không ph?i là có s?n, và b?n ph?i thêm nó theo cách th? công. N?u b?n chýa nâng c?p t? Windows NT 4.0 ð? Windows 2000, ð?m b?o r?ng phýõng pháp thích h?p xác th?c là có s?n. Ð? bi?t thêm thông tin v? làm th? nào ð? xác minh r?ng Negotiate phýõng th?c xác th?c là có s?n và thêm các phýõng pháp n?u nó là m?t tích, h?y nh?p vào s? bài vi?t sau ðây ð? xem bài vi?t trong các ki?n th?c Microsoft Cõ s?: Lýu ? r?ng b?n có th? thi?t l?p này phýõng th?c xác th?c lúc các trang Web tr?nh ð? và không cho các máy ch? IIS toàn b?. Ð? th?c hi?n vi?c này, s? d?ng các Adsutil.VBS k?ch b?n ð? thêm s? lý?ng các trang Web. Ví d?, ð? thi?t l?p các phýõng th?c xác th?c cho ch? m?c ð?nh trang Web, s? d?ng sau ðây l?nh:

1 Sau khi "w3svc" là các trang Web ðang ðý?c li?t kê trong các Qu?n l? d?ch v? Internet (ISM).

Xác ð?nh tên máy ch?

Sau ðó, xác ð?nh cho dù b?n ðang k?t n?i ð?n trang Web c?a b?ng cách s? d?ng tên NetBIOS th?c t? c?a các máy ch? ho?c m?t bí danh tên, ví d? nhý m?t DNS tên (ví d?, www.microsoft.com). N?u b?n ðang truy c?p vào máy ch? Web b?ng b?ng cách s? d?ng m?t tên khác v?i tên máy ch?, m?t d?ch v? m?i chính, th?c t? tên (SPN) này ph?i có ðãng k? b?ng cách s? d?ng các công c? Setspn t? các c?a s? 2000 Server Resource Kit. B?i v? thý m?c ho?t ð?ng không bi?t d?ch v? này tên, TGS không cung c?p cho b?n m?t vé ð? xác th?c ngý?i dùng. L?c lý?ng này khách hàng s? d?ng phýõng pháp th?m ð?nh s?n ti?p theo, là NTLM, ð?n renegotiate. N?u các máy ch? Web là ðáp ?ng m?t tên h? th?ng tên mi?n (DNS) www.microsoft.com nhýng các máy ch? ho?c máy ch? ðý?c ð?t tên webserver1.Development.Microsoft.com, b?n ph?i ðãng k? www.microsoft.com trong Thý m?c ho?t ð?ng trên m?i máy ch? IIS. Ð? th?c hi?n vi?c này, b?n ph?i t?i v? Setspn Ti?n ích và cài ð?t nó trên máy ch? IIS.

ÐêÒ biêìt thêm thông tin vêÌ làm th? nào ð? t?i v? các ti?n ích Setspn, ghé thãm Web site sau c?a Microsoft: Setspn.exehttp://www.Microsoft.com/downloads/details.aspx?FamilyID = 5fd831fd-ab77-46a3-9cfe-ff01d29e5c46 & DisplayLang = enÐ? xác ð?nh xem b?n ðang k?t n?i b?ng cách s? d?ng tên th?c t?, c? g?ng k?t n?i t?i h? ph?c v? b?ng cách s? d?ng tên th?c t? c?a nó thay v? c?a tên DNS. N?u b?n không th? k?t n?i ð?n máy ch?, ði ð?n các Ki?m ch?ng máy tính là ðáng tin c?y cho ðoàn ð?i bi?u keá tieáp. N?u b?n có th? k?t n?i ð?n máy ch?, h?y làm theo các bý?c sau ð? thi?t l?p m?t SPN cho tên DNS mà b?n ðang b?ng cách s? d?ng ð? k?t n?i t?i h? ph?c v?:

1. Cài ð?t các ti?n ích Setspn.
2. Trên máy ph?c v? IIS, m? m?t d?u nh?c l?nh, và sau ðó thay ð?i vào thý m?c c: Program Files Files\Resource Kit.
3. Ch?y l?nh sau ð? thêm này SPN m?i (www.microsoft.com) vào thý m?c ho?t ð?ng cho máy ch?, nõi webserver1 Tên NetBIOS c?a máy ch? là:
   
   Setspn - m?t HTTP/www.microsoft.com webserver1
   B?n nh?n ðý?c ð?u ra týõng t? nhý sau ðây:

   Registering ServicePrincipalNames for CN=webserver1,OU=Domain Controllers,DC=microsoft,DC=com
   HTTP/www.microsoft.com
   Updated object
   							

4. Ð? xem m?t danh sách c?a SPNs trên máy ch? ð? xem này m?i giá tr?, lo?i sau ðây trên h? ph?c v? IIS: Setspn -L webservername

Lýu ? r?ng b?n không c?n ph?i ðãng k? d?ch v?. Nhi?u ph?c v? các lo?i, ch?ng h?n nhý HTTP, W3SVC, WWW, RPC, CIFS (truy c?p file), th?ng, và cung c?p nãng lý?ng uninterruptible (UPS), s? ánh x? cho m?t lo?i d?ch v? m?c ð?nh ð?t tên MÁY CH? LÝU TR?. Ví d?, n?u ph?n m?m khách hàng c?a b?n s? d?ng m?t SPN c?a HTTP/webserver1.microsoft.com ð? th?c hi?n m?t k?t n?i HTTP ð?n máy ch? Web ngày webserver1.microsoft.com máy ch?, nhýng SPN này không ðý?c ðãng k? vào các h? ph?c v?, ki?m soát mi?n Windows 2000 s? t? ð?ng ð? nó ð? HOST/webserver1.microsoft.com. L?p b?n ð? này áp d?ng n?u d?ch v? Web ch?y theo trýõng m?c h? th?ng ð?a phýõng.

Quan tr?ng N?u SPN mà b?n mu?n ðãng k? cho trýõng m?c máy tính (trang Web ðang ch?y dý?i tài kho?n LocalSystem ho?c NetworkService), b?n không ph?i thay ð?i SPNs hi?n t?i c?a máy tính. Thay vào ðó, ch? thêm m?i HTTP SPN. N?u tên c?a trang Web phù h?p v?i tên máy ch?, không có thay ð?i ð? các SPNs ðý?c yêu c?u. N?u các tiêu chu?n tên máy ch? lýu tr? /Maìy chuÒvà HOST /ServerFQDN ðang m?t tích, b?n ph?i ði?u tra nh?ng v?n ð? mà các d?ch v? Netlogon trên máy ch? có khi nó ðãng k? yêu c?u SPNs. B?n s? nh?n ðý?c thông báo l?i trong t?p tin ðãng nh?p khi b?n cho phép ghi s? c?a d?ch v?. Ð? bi?t thêm chi ti?t, b?m vào bài vi?t sau ðây s? ð? xem bài vi?t trong cõ s? ki?n th?c Microsoft: B?n c?ng s? nh?n ðý?c các s? ki?n c?a Netlogon trong các H? th?ng các v? ðãng k? l?i.

Ki?m ch?ng r?ng máy tính tin c?y cho ðoàn ð?i bi?u

N?u máy ch? IIS này là thành viên c?a tên mi?n, nhýng không ph?i là m?t tên mi?n b? ði?u khi?n, máy tính ph?i ðý?c tin c?y cho ðoàn ð?i bi?u cho Kerberos ð? làm vi?c ðúng cách. Ð? làm ði?u này, h?y làm theo các bý?c sau:

1. Trên b? ði?u khi?n vùng, b?m B?t ð?u, ði?m ð?n Thiêìt ðãòt, sau ðó b?m B?ng ði?u khi?n.
2. B?m ðúp vào các Công c? qu?n tr? thý m?c, và sau ðó double-click Ngý?i dùng thý m?c ho?t ð?ng và máy tính.
3. Trong tên mi?n c?a b?n, nh?p vào các Máy vi tính thý m?c.
4. Trong danh sách, ð?nh v? h? ph?c v? IIS. Nh?p chu?t ph?i vào h? ph?c v? tên, và sau ðó nh?p vào Thu?c tính.
5. B?m vào các T?ng quát tab, nh?n vào ðây ð? ch?n các Tin tý?ng cho ðoàn ð?i bi?u ki?m tra h?p và b?m Ok.

S? d?ng Kerbtray

M?t ti?n ích r?t h?u ích ð? g? r?i các v?n ð? Kerberos là Kerbtray.exe, là m?t ph?n c?a b? tài nguyên Windows 2000. B?ng cách s? d?ng Kerbtray, b?n có th? xem vé Kerberos ðý?c c?p ra kh?i các ð?a phýõng b? nh? cache. Ð? t?i v? ti?n ích này, ghé thãm Web site sau c?a Microsoft: Ð? bi?t thêm v? công c? này và l?i khuyên v? gi?i ðáp th?c m?c Kerberos, ghé thãm Web site sau c?a Microsoft:

Cho phép ghi nh?t k? s? ki?n an ninh

Ghi nh?t k? s? ki?n b?o m?t có th? ðý?c vô giá khi b?n g? r?i Kerberos xác th?c th?t b?i. V?i ði?u này ðý?c kích ho?t, b?n có th? th?y ðãng nh?p th?t b?i khi ngý?i dùng c? g?ng xác th?c thông qua IIS. Ði?u này cung c?p m?t l?i gi?i thích c?a nh?ng g? có th? x?y ra trong quá tr?nh xác th?c và l? do t?i sao vi?c xác th?c quá tr?nh là không thành công.

Ph?n c?n l?i c?a thông tin trong ph?n này trích d?n tr?c ti?p t?Desiging Web an toàn D?a trên các ?ng d?ng cho Windows 2000 b?i Michael Howard. B?i v? các k?t n?i trong Windows 2000 ðý?c ch?ng th?c, b?n c?n ph?i hi?u làm th? nào ð? ð?c các s? ki?n ðãng nh?p. M?c ðích c?a ph?n này là gi?i thích các bi?n khác nhau t?o nên m?t s? ki?n ðãng nh?p.

Thi?t ð?t ki?m ð?nh ðãng nh?p/ðãng xu?t

Microsoft Windows NT bao g?m ch? m?t ki?m toán danh m?c cho ðãng nh?p và ðãng xu?t. Windows 2000 gi?i thi?u m?t l?n th? hai. Hai lo?i-- Ðãng nh?p/ðãng xu?t và ðãng nh?p tài kho?n--ðý?c gi?i thích trong các ph?n sau.

Ki?m toán các s? ki?n ðãng nh?p tài kho?n (ðãng nh?p/ðãng xu?t lo?i)

Th? lo?i s? ki?n này, có s?n trong t?t c? các phiên b?n c?a Windows NT và Windows 2000, ch? ra r?ng m?t tài kho?n ðãng nh?p ho?c t?t ho?c th?c hi?n m?t m?ng k?t n?i t?i máy tính. Nói cách khác, s? ki?n ki?m toán ðý?c kích ho?t trên các máy tính nõi ðãng nh?p x?y ra. M?c ðãng nh?p/ðãng xu?t là quan tr?ng b?i v? nó cung c?p thông tin nh?t khi s? d?ng IIS, SQL Server, và COM +.

S? ki?n quan tr?ng nh?t trong th? lo?i ðãng nh?p/ðãng xu?t

• Ðãng nh?p/ðãng xu?t s? ki?n 529 (ðãng nh?p th?t b?i)
• Ðãng nh?p/ðãng xu?t s? ki?n 528 (ðãng nh?p thành công)
• Ðãng nh?p/ðãng xu?t s? ki?n 540 (m?ng ðãng nh?p thành công)

Hi?n th? nh?ng ph?n sau nh?ng s? ki?n này, và B?ng 1 gi?i thích m?i ngý?i trong các l?nh v?c trong s? ki?n này.

Ðãng nh?p/ðãng xu?t s? ki?n 529 (ðãng nh?p th?t b?i)

Ðãng nh?p/ðãng xu?t s? ki?n 528 (ðãng nh?p thành công) và s? ki?n ðãng nh?p/ðãng xu?t 540 (m?ng ðãng nh?p thành công)

Ki?m toán các s? ki?n ðãng nh?p tài kho?n (ðãng nh?p tài kho?n m?c)

Chuyên m?c s? ki?n này ch? ra r?ng m?t tài kho?n ðãng nh?p ho?c t?t và các máy tính ðý?c s? d?ng ð? xác nh?n tài kho?n. Trong trý?ng h?p này, ki?m toán s? ki?n ðý?c kích ho?t trên máy tính nõi cý trú c?a các tài kho?n. Nhi?u Kerberos liên quan ð?n các s? ki?n, ch?ng h?n nhý vé phát hành, ðang ðãng nh?p khi này ki?m toán th? lo?i ðý?c kích ho?t.

Các ðo?n hi?n th? hai thý?ng ðý?c xem tài kho?n ðãng nh?p th?t b?i các s? ki?n.

S? ki?n ðãng nh?p tài kho?n 676 (ðãng nh?p th?t b?i): xác th?c vé yêu c?u th?t b?iChuì yì Tài kho?n NT AUTHORITY\SYSTEM là g?? Trýõng m?c này thý?ng là ðý?c g?i là LocalSystem; nó là tài kho?n dý?i mà d?ch v? h?u h?t ch?y. B?n s? th?y nhi?u d?n chi?u t?i trýõng m?c này trong s? ghi s? ki?n b?o m?t.

S? ki?n 676 ngý?i có ngh?a là thi?u không th? nh?n ðý?c m?t vé ban ð?u c?p vé (TGT) t? trung tâm phân ph?i khóa (KDC). M?t ph?n quan tr?ng nh?t c?a các s? ki?n là các m? l?i. Các m? s? là gi?ng nhý m? s? MIT Kerberos. B?ng 2 mô t? m?t s? t?i ða ph? bi?n s? th?t b?i m?; danh sách ð?y ð? có th? ðý?c t?m th?y trong chính http://www.IETF.org/RFC/rfc1510.txt.

B?ng 2 - m?t s? m? s? th?t b?i Kerberos ph? bi?n

Tài kho?n ðãng nh?p t? ch?c s? ki?n 681 (ðãng nh?p th?t b?i) v?i m?t s? lý?ng l?n cho m? l?i

Ðôi khi, b?n có th? th?y m?t l?i nhý sau. V?n ð? là m? l?i là h?u nhý vô d?ng. B?ng 3 - ví d? tài kho?n ðãng nh?p m? l?i.


N?u b?n týõng quan s? ki?n trý?c ðó suy hai an ninh --Chính yêu c?u m?t th?t b?i TGT ban ð?u v?i l?i 6 (khách hàng không t?m th?y trong cõ s? d? li?u Kerberos) khi ông ð? c? g?ng ðãng nh?p vào và m?t chung ðãng nh?p th?t b?i x?y ra v?i l?i 3221225572 (ngý?i dùng ð? ch? r? không t?n t?i)--nó có ð?ng b?ng ð? xem cái g? l?i: thi?u không ph?i là m?t tài kho?n h?p l?!

Ð? bi?t thêm thông tin v? Kerberos, nh?p vào s? bài vi?t sau ð? xem các bài vi?t trong cõ s? ki?n th?c Microsoft: Kerberos FAQ ch?a thông tin b? sung v? giao th?c Kerberos: