Artigo: 811889 - �ltima revis�o: s�bado, 17 de Setembro de 2011 - Revis�o: 3.0

Sobre como resolver a mensagem de erro "N�o � poss�vel gerar contexto SSPI"

Ver produtos para os quais este artigo se aplica.

Dica do SistemaEste artigo aplica-se a um sistema operativo diferente do que est� a utilizar. Foi desactivado o conte�do do artigo, que pode n�o ser relevante para si.

Este artigo passo a passo descreve como resolver problemas das fontes mais t�picas da mensagem de erro "N�o � poss�vel gerar contexto SSPI". Poder� receber esta mensagem de erro sob as seguintes condi��es:

Est� a ligar ao SQL Server.
Est� a utilizar a Seguran�a Integrada.
O Kerberos � utilizado para realizar a delega��o de seguran�a.

Voltar ao topo

Compreender a terminologia Kerberos e o Nome Principal de Servi�o

O controlador de SQL Server num computador cliente utiliza a seguran�a integrada para utilizar o token de seguran�a Windows da conta de utilizador para ligar correctamente para um computador que est� a executar o SQL Server. O token de seguran�a do Windows � delegado do cliente para o computador que est� a executar o SQL Server. O controlador de SQL Server efectua esta delega��o quando o token de seguran�a do utilizador � delegado de um computador para outro, atrav�s de uma das seguintes configura��es:

NTLM por Pipes Nomeados (sem utiliza��o da Interface do Fornecedor de Suporte de Seguran�a [SSPI])
NTLM por sockets TCP/IP com SSPI
Kerberos por sockets TCP/IP com SSPI

A Interface do Fornecedor de Suporte de Seguran�a (SSPI) � um conjunto de APIs do Windows que permite a delega��o e autentica��o m�tua em qualquer camada de transporte de dados gen�ricos, tais como sockets TCP/IP. Por conseguinte, o SSPI permite que um computador com o sistema operativo Windows delegue com seguran�a um token de seguran�a de utilizador de um computador para outro por qualquer camada de transporte que possa transmitir bytes de dados n�o processados.

O erro "N�o � poss�vel gerar contexto SSPI" � criado quando o SSPI utiliza o Kerberos para delegar por TCP/IP e n�o consegue concluir as opera��es necess�rias para delegar correctamente o token de seguran�a do utilizador para o computador de destino que est� a executar o SQL Server.

Porque � que a Interface de Fornecedor de Suporte de Seguran�a escolhe o NTLM ou o Kerberos

O Kerberos utiliza um identificador nomeado "Nome Principal do Servi�o" (SPN). Considere um SPN como dom�nio ou identificador �nico de floresta de alguma inst�ncia num recurso de servidor de rede. Pode ter um SPN para um servi�o Web, para um servi�o SQL ou para um servi�o SMTP. Tamb�m pode ter m�ltiplas inst�ncias de servi�os Web no mesmo computador f�sico que tem um SPN �nico.

Um SPN para o SQL Server � constitu�do pelos seguintes elementos:

Classe de Servi�o: Identifica a classe geral de servi�o. � sempre MSSQLSvc para o SQL Server.
Anfitri�o: O DNS nome de dom�nio completamente qualificado do computador que se encontra a executar o SQL Server.
Porta: O n�mero da porta que o servi�o est� a escutar.

Por exemplo, um SPN t�pico para um computador com o SQL Server em execu��o:

MSSQLSvc/SQLSERVER1.northamerica.corp.mycompany.com:1433

O formato de um SPN para uma inst�ncia predefinida e o formato de um SPN para uma inst�ncia nomeada n�o s�o diferentes. O n�mero da porta relaciona um SPN a uma inst�ncia em particular.

Quando o controlador de SQL Server num cliente utiliza a seguran�a integrada para ligar ao SQL Server, o c�digo do controlador no cliente tenta resolver o DNS totalmente qualificado do computador que executa o SQL Server, utilizando os APIs de rede WinSock. Para realizar esta opera��o, o c�digo do controlador chama os APIs WinSock gethostbyname e gethostbyaddr. Mesmo se um endere�o de IP ou um nome de anfitri�o for transmitido como o nome do computador em que o SQL Server est� a ser executado, o controlador de SQL Server tenta resolver o DNS totalmente qualificado do computador, se o computador utilizar seguran�a integrada.

Quando o controlador de SQL Server no cliente resolve o DNS completamente qualificado do computador que executa o SQL Server, o DNS correspondente � utilizado para formar o SPN para este computador. Portanto, quaisquer problemas relacionados com a forma como endere�o de IP ou o nome de anfitri�o est� resolvido para o DNS completamente qualificado por WinSock, poder� levar o controlador de SQL Server a criar um SPN inv�lido para o computador que est� a executar o SQL Server.

Por exemplo, os SPNs inv�lidos que o controlador de SQL Server do lado do cliente pode formar como DNS completamente qualificado e resolvido:

MSSQLSvc/SQLSERVER1:1433
MSSQLSvc/123.123.123.123:1433
MSSQLSvc/SQLSERVER1.antartica.corp.mycompany.com:1433
MSSQLSvc/SQLSERVER1.dns.northamerica.corp.mycompany.com:1433

Quando o controlador SQL Server forma um SPN inv�lido, a autentica��o continuar� a funcionar uma vez que a interface SSPI tenta procurar o SPN no servi�o de direct�rio Active Directory, e n�o encontra o SPN. Se a interface SSPI n�o encontrar encontrar o SPN, a autentica��o Kerberos n�o � realizada. Nessa altura, a camada SSPI alterna para o modo de autentica��o NTLM e o in�cio de sess�o utiliza a autentica��o NTLM e normalmente � bem sucedida. Se o controlador de SQL Server forma um SPN v�lido, mas que n�o est� associado ao contentor adequado, tenta utilizar o SPN mas n�o pode, originando uma mensagem de erro "N�o � poss�vel gerar contexto SSPI". Se a conta de in�cio do SQL Server for uma conta de sistema local, o contentor adequado � o nome do computador. Em qualquer conta, o contentor adequado � a conta de in�cio do SQL Server. Uma vez que a autentica��o tentar� utilizar o primeiro SPN que encontrar, certifique-se de que n�o existem SPNs associados aos contentores inadequados. Resumindo, cada SPN deve ser associado a um �nico contentor.

O principal factor que possibilita a autentica��o Kerberos � a validade da funcionalidade DNS na rede. Pode verificar esta funcionalidade no cliente e servidor, atrav�s do utilit�rio da linha de comandos Ping. No computador cliente, execute o seguinte comando para obter o endere�o IP do servidor que est� a executar o SQL Server (em que o nome do computador que est� a executar o SQL Server � SQLServer1):

ping sqlserver1

Para confirmar se o utilit�rio da linha de comandos Ping resolve o DNS completamente qualificado do SQLServer1, execute o seguinte comando:

ping -a IPAddress

Por exemplo:

C:\>ping SQLSERVER1

A efectuar o ping de SQLSERVER1 [123.123.123.123] com 32 bytes de dados:
	
Resposta de 123.123.123.123: bytes=32 tempo<10ms TTL=128 Resposta de 123.123.123.123: bytes=32 tempo<10ms TTL=128 Resposta de 123.123.123.123: bytes=32 tempo<10ms TTL=128 Resposta de 123.123.123.123: bytes=32 tempo<10ms TTL=128
	
Estat�sticas de Ping para 123.123.123.123: Pacotes: Enviado = 4, Recebido = 4, Perdido = 0 (0% perdido), Tempo aproximado de ida e volta em milissegundos: M�nimo = 0ms, M�ximo =  0ms, M�dia =  0ms

C:\>ping -a 123.123.123.123
	
A efectuar o ping de SQLSERVER1.northamerica.corp.mycompany.com [123.123.123.123] com 32 bytes de dados:
	
Resposta de 123.123.123.123: bytes=32 tempo<10ms TTL=128 Resposta de 123.123.123.123: bytes=32 tempo<10ms TTL=128 Resposta de 123.123.123.123: bytes=32 tempo<10ms TTL=128 Resposta de 123.123.123.123: bytes=32 tempo<10ms TTL=128 Estat�sticas de Ping para 123.123.123.123: Pacotes: Enviado = 4, Recebido = 4, Perdido = 0 (0% perdido), Tempo aproximado de ida e volta em milissegundos: M�nimo = 0ms, M�ximo =  0ms, M�dia =  0ms

C:\>

Quando o comando ping -a Endere�oIP resolve para o DNS correcto completamente qualificado do computador que executa o SQL Server, a resolu��o do lado do cliente � executada com �xito.

Voltar ao topo

Cria��o do Nome Principal do Servi�o do SQL Server

Trata-se de uma das partes cr�ticas da interac��o do Kerberos e do SQL Server. Com o SQL Server, pode executar o servi�o SQL Server devido a uma das seguintes circunst�ncias: uma conta de LocalSystem, uma conta de utilizador local ou uma conta de utilizador de dom�nio. Quando a inst�ncia do servi�o SQL Server iniciar, tentar� registar o seu pr�prio SPN no Active Directory, utilizando a chamada API DsWriteAccountSpn. Se a chamada n�o for bem sucedida, o seguinte aviso � registado no Visualizador de Eventos:

Origem: ID do Evento MSSQLServer: Descri��o 19011: Informa��es SuperSocket: (SpnRegister): Erro 8344.

Para mais informa��es sobre a fun��o DsWriteAccountSpn, visite o seguinte Web site da Microsoft:

http://msdn2.microsoft.com/en-us/library/ms676056.aspx (http://msdn2.microsoft.com/en-us/library/ms676056.aspx)

Explica��o simplificada

Se executar o servi�o SQL Server na conta LocalSystem, o SPN � automaticamente registado e o Kerberos interage correctamente com o computador que est� a executar o SQL Server. No entanto, se executar o servi�o SQL Server numa conta de dom�nio ou numa conta local, a tentativa de criar o SPN falhar� na maior parte dos casos uma vez que a conta de dom�nio e a conta local n�o podem ter os seus pr�prios SPNs. Quando a cria��o de SPN n�o for conclu�da com �xito, isto significa que o SPN � configurado para o computador que executa o SQL Server. Se testar ao utilizar uma conta de administrador de dom�nio como a conta de servi�o do SQL Server, o SPN � criado com �xito, uma vez que as credenciais do n�vel de administrador de dom�nio que tem de possuir para criar um SPN est�o presentes.

Dado que poder� n�o utilizar uma conta de administrador de dom�nio para executar o servi�o de SQL Server (para evitar riscos de seguran�a), o computador que est� a executar o SQL Server n�o pode criar o seu pr�prio SPN. Por conseguinte, necessita de criar manualmente um SPN para o computador que est� a executar o SQL Server, se pretende utilizar o Kerberos ao ligar a um computador que est� a executar o SQL Server. Isto verifica-se se estiver a executar o SQL Server numa conta de utilizador de dom�nio ou numa conta de utilizador local. O SPN que cria tem de estar associado � conta de servi�o do servi�o SQL Server nesse computador em espec�fico. O SPN n�o pode ser associado ao contentor de computador a n�o ser que o computador que se encontra a executar o SQL Server inicie com o sistema local Apenas pode haver um SPN, que tem de ser associado ao contentor adequado. Normalmente, trata-se da conta de servi�o SQL Server actual. No entanto, esta � a conta de computador com o sistema local.

Voltar ao topo

Verificar o dom�nio

Verifique se o dom�nio no qual inicia sess�o pode comunicar com o dom�nio ao qual o computador que est� a executar o SQL Server pertence. Tamb�m � necess�rio que exista uma resolu��o de nomes adequada no dom�nio.

Certifique-se de que consegue iniciar sess�o correctamente no Windows, utilizando a mesma conta de dom�nio e palavra-passe, como conta de in�cio do servi�o do SQL Server. Por exemplo, o erro de SSPI pode ocorrer numa das seguintes situa��es:
- A conta de dom�nio est� bloqueada.
- A palavra-passe da conta foi alterada. No entanto, nunca reinicia o servi�o SQL Server ap�s a altera��o da palavra-passe.
Se o seu dom�nio de palavra-passe � diferente do dom�nio do computador que est� a executar o SQL Server, verifique a rela��o de fidedignidade entre os dom�nios.
Verifique se o dom�nio ao qual pertence o servidor e se a conta de dom�nio que utiliza para ligar est�o na mesma floresta. Isto � necess�rio para que o SSPI funcione.
Utilize a op��o A conta � Fidedigna para Delega��o em Utilizadores e Computadores do Active Directory ao iniciar ao SQL Server.

Nota O direito de "A conta � Fidedigna para Delega��o" � apenas necess�rio quando estiver a delegar credenciais a partir do servidor SQL para um servidor SQL remoto, tal como num cen�rio de salto duplo, como consultas distribu�das (consultas de servidor ligado) que utiliza a autentica��o do Windows.
Utilize o utilit�rio Manipular Principais do Servi�o para Contas (SetSPN.exe) no Kit de Recursos 2000 do Windows. As contas do administrador de dom�nio do Windows 2000 ou contas de administrador do dom�nio Windows 2003 podem utilizar o utilit�rio para controlar o SPN associado a um servi�o e a uma conta. No caso de SQL Server, apenas pode haver um SPN. O SPN tem de ser associado ao pr�prio conte�do, a conta de servi�o do SQL Server actual em grande parte dos casos e a conta do computador quando o SQL Server inicia com a conta do sistema local. Se iniciar o SQL Server enquanto tiver sess�o iniciada na conta LocalSystem, o SPN � configurado automaticamente. No entanto, se utilizar uma conta de dom�nio para iniciar o SQL Server, ou sempre que alterar a conta utilizada para iniciar o SQL Server, necessita de executar o SetSPN.exe para SPNs expirados e, em seguida, necessita de adicionar um SPN v�lido. Para obter mais informa��es, consulte o t�pico "Delega��o da Conta de Seguran�a" no SQL Server 2000 Books Online. Para tal, visite o seguinte Web site da Microsoft:
http://msdn2.microsoft.com/en-us/library/aa905162(SQL.80).aspx (http://msdn2.microsoft.com/en-us/library/aa905162(SQL.80).aspx)
Para mais informa��es sobre os Resource Kits dos Windows 2000, visite o seguinte Web site da Microsoft:
http://www.microsoft.com/technet/prodtechnol/windows2000serv/reskit/default.mspx?mfr=true (http://www.microsoft.com/technet/prodtechnol/windows2000serv/reskit/default.mspx?mfr=true)
Verifique se a resolu��o do nome est� a ocorrer correctamente. Os m�todos de resolu��o de nome podem incluir ficheiros DNS, WINS, HOSTS e LMHOSTS. Para obter mais informa��es sobre os problemas de resolu��o de nome e resolu��o de problemas, clique no seguinte n�mero de artigo para aceder ao artigo na Base de dados de Conhecimento Microsoft.
169790� (http://support.microsoft.com/kb/169790/pt/ ) Como resolver problemas b�sicos de TCP/IP
Para mais informa��es sobre como resolver problemas de acessibilidade e firewall com o Active Directory, clique nos seguintes n�meros de artigo para ver os artigos na Base de Dados de Conhecimento Microsoft:
291382� (http://support.microsoft.com/kb/291382/pt/ ) Perguntas mais frequentes sobre o DNS do Windows 2000 e do Windows Server 2003 DNS
224196� (http://support.microsoft.com/kb/224196/pt/ ) Restri��o do tr�fego de replica��o do Active Directory e tr�fego de RPC cliente para uma porta espec�fica

Como configurar o servi�o SQL Server para criar SPNs dinamicamente para as inst�ncias do SQL Server

Para configurar o servi�o SQL Server para criar SPNs dinamicamente, necessita de modificar as defini��es de controlo de acesso da conta no servi�o de direct�rio Active Directory. Tem de conceder a permiss�o "Read servicePrincipalName" e a permiss�o "Write servicePrincipalName" para a conta de servi�o SQL Server.

Aviso Se utilizar as Interfaces de Servi�o do Active Directory (ADSI) Editar snap-in, o utilit�rio LDP, ou qualquer outro cliente LDAP vers�o 3 e modificar de forma incorrecta os atributos de objectos do Active Directory, poder� provocar s�rios problemas. Estes problemas poder�o for�ar a reinstala��o do Microsoft Windows Server 2003, Microsoft Windows 2000 Server, Microsoft Exchange Server 2003, Microsoft Exchange 2000 Server, ou de ambos (Windows e Exchange). N�o podemos garantir que os problemas resultantes da modifica��o incorrecta dos atributos de objectos do Active Directory possam ser resolvidos. Modifique estes atributos por sua conta e risco.

Nota Para garantir as permiss�es adequadas e direitos de utilizador para a conta de in�cio do SQL Server, necessita de ter iniciado sess�o como administrador de dom�nio, ou necessita de solicitar ao seu administrador de dom�nio a realiza��o desta tarefa.

Para configurar o teclado servi�o SQL Server para criar SPNs dinamicamente, siga estes passos:

Clique em Iniciar, clique em Executar, escreva Adsiedit.msce, em seguida, clique em OK.
No snap-in Editar ADSI , expanda o Dom�nio [DomainName], expanda DC= RootDomainName, expanda CN=Users, clique com o bot�o direito em CN= AccountName e, em seguida clique em Propriedades.

Notas
- DomainName � um marcador de posi��o para o nome do dom�nio.
- RootDomainName � um marcador de posi��o para o dom�nio de raiz.
- AccountName � um marcador de posi��o para a conta que especifica para iniciar o servi�o SQL Server.
- Se especifica a conta do Sistema Local para iniciar o servi�o SQL Server, AccountName � um marcador de posi��o para a conta que utiliza para iniciar sess�o no Microsoft Windows.
- Se especificar uma conta de utilizador do dom�nio para iniciar o servi�o SQL Server, AccountName � um marcador de posi��o para a conta de utilizador de dom�nio.
Na caixa de di�logo CN= AccountName Propriedades, clique no separador Seguran�a.
No separador Seguran�a, clique em Avan�ado.
Na caixa de di�logo Defini��es Avan�adas de Seguran�a, certifique-se de que SELF est� listado nas Entradas de permiss�es.

Se SELF n�o estiver listado, clique em Adicionar e adicione SELF.
Em Entradas de permiss�es, clique em SELF e, em seguida, clique em Editar.
Na caixa de di�logo Entrada de permiss�es, clique no separador Propriedades.
No separador Propriedades, clique em Apenas este objecto na lista Aplicar em e, em seguida, certifique-se de que as caixas de verifica��o das seguintes permiss�es est�o seleccionadas em Permiss�es:
- Ler servicePrincipalName
- Escrever servicePrincipalName
Clique em OK tr�s vezes e, em seguida, saia do snap-in Editar ADSI.

Para obter ajuda deste processo, contacte o suporte de produto Active Directory e mencione este artigo da Base de Dados de Conhecimento Microsoft.

Voltar ao topo

Verifique o ambiente do servidor

Verifique algumas defini��es b�sicas no computador em que o SQL Server est� instalado.

O Kerberos n�o � suportado em computadores com o Windows 2000 que est�o a executar o Windows Clustering, a n�o ser que tenha instalado o Service Pack 3 (ou posterior) no Windows 2000. Assim sendo, qualquer tentativa de utiliza��o da autentica��o SSPI numa inst�ncia em cluster do SQL Server poder� n�o ser conclu�da com �xito. Para obter mais informa��es, clique no n�mero de artigo que se segue para ver o artigo na Base de Dados de Conhecimento da Microsoft:
235529� (http://support.microsoft.com/kb/235529/pt/ ) Suporte do Kerberos em clusters de servidores baseados no Windows 2000
Verifique se o servidor est� a executar o Windows 2000 Service Pack 1 (SP1). Para obter mais informa��es sobre o suporte do Kerberos em servidores baseados no Windows 2000, clique no n�mero de artigo que se segue para visualizar o artigo na Base de Dados de Conhecimento Microsoft:
267588� (http://support.microsoft.com/kb/267588/pt/ ) A mensagem de erro "N�o � poss�vel gerar contexto SSPI" � apresentada ao ligar ao SQL Server 2000
Num cluster, se a conta que utiliza para iniciar o SQL Server, SQL Server Agent, ou servi�os de procura de texto completo, como nova palavra-passe, siga os passos proporcionados no seguinte artigo da Base de Dados de Conhecimento Microsoft:
239885� (http://support.microsoft.com/kb/239885/pt/ ) Como alterar as contas de servi�o para um computador em cluster a executar o SQL Server
Verifique se a conta que utiliza para iniciar o SQL Server tem as permiss�es adequadas. Se estiver a utilizar uma conta que n�o pertence ao grupo de Administradores Locais, consulte o t�pico "Configurar Contas de Servi�os do Windows" em SQL Server Books Online para uma lista detalhada das permiss�es que esta conta deve ter:
http://msdn2.microsoft.com/en-us/library/aa176564(SQL.80).aspx (http://msdn2.microsoft.com/en-us/library/aa176564(SQL.80).aspx)

Voltar ao topo

Verifique o ambiente do cliente

Verifique o seguinte no cliente:

Certifique-se de que o Fornecedor de Suporte de Seguran�a NTLM est� correctamente instalado e activado no cliente. Para obter mais informa��es, clique no n�mero de artigo que se segue para ver o artigo na Base de Dados de Conhecimento da Microsoft:
269541� (http://support.microsoft.com/kb/269541/pt/ ) Mensagem de erro ao ligar para o SQL Server se a chave do registo do Fornecedor de Suporte de Seguran�a NTLM do Windows estiver ausente: "n�o � poss�vel gerar contexto SSPI"
Determine se estiver a utilizar credenciais em cache. Se tiver sess�o iniciada no cliente com credenciais em cache, termine a sess�o no computador e, em seguida, inicie sess�o quando conseguir ligar para um controlador de dom�nio para evitar que as credenciais em cache sejam utilizadas. Para mais informa��es sobre como determinar se est� a utilizar credenciais em cache, clique no n�mero de artigo que segue para visualizar o artigo na Base de Dados de Conhecimento da Microsoft:
242536� (http://support.microsoft.com/kb/242536/pt/ ) O utilizador n�o � alertado ao iniciar sess�o com credenciais em cache de dom�nio
Verifique se as datas no cliente e servidor s�o v�lidas. Se as datas estiverem demasiado afastadas, � poss�vel que os certificados sejam considerados inv�lidos.
O SSPI utiliza um ficheiro nomeado Security.dll. Se qualquer outra aplica��o instalar um ficheiro com este nome, o outro ficheiro pode ser utilizado, em vez do ficheiro SSPI actual. Para obter mais informa��es, clique no n�mero de artigo que se segue para ver o artigo na Base de Dados de Conhecimento da Microsoft:
253577� (http://support.microsoft.com/kb/253577/pt/ ) Erro: 80004005 - MS ODBC O controlador do SQL Server n�o consegue inicializar o pacote SSPI
Se o sistema operativo do cliente for o Microsoft Windows 98, necessita de instalar o Cliente para componentes das redes Microsoft no cliente. Para obter mais informa��es, clique no n�mero de artigo que se segue para ver o artigo na Base de Dados de Conhecimento da Microsoft:
267550� (http://support.microsoft.com/kb/267550/pt/ ) ERRO: "Falha de asser��o" ao ligar a um SQL Server atrav�s de TCP/IP

Voltar ao topo

Verifique o utilit�rio de rede do cliente

O Utilit�rio de Rede do Cliente (CNU) � apresentado juntamente com o Microsoft Data Access Components (MDAC) e � utilizado para configurar a conectividade a computadores que est�o a executar o SQL Server. Pode utilizar o utilit�rio MDAC Cliconfg.exe CNU para configurar a conectividade:

No separador Geral a forma como os protocolos s�o definidos variam de acordo com a vers�o do MDAC. Com vers�es anteriores do MDAC, pode seleccionar um protocolo "predefinido". Nas vers�es anteriores do MDAC, pode permitir um ou mais protocolos, com um no topo da lista ao ligar para o SQL Server. Uma vez que o SSPI se aplica apenas a TCP/IP, pode utilizar um protocolo diferente, tal como Pipes Nomeados, para evitar o erro.
Verifique o separador Alias no CNU para confirmar se um alias foi definido para o servidor ao qual pretende ligar. Se um alias do servidor tiver sido definido, verifique as defini��es para saber como est� configurada a liga��o deste computador ao SQL Server. Pode verificar isto, eliminando o servidor alias para ver se o comportamento � alterado.
Se o servidor alias n�o estiver definido no CNU, adicione o aliar ao servidor ao qual est� a ligar. Ao executar esta tarefa, tamb�m est� explicitamente a definir o protocolo e a definir opcionalmente o endere�o IP e a porta.

Voltar ao topo

Informa��es a recolher para abrir um caso de Suporte T�cnico da Microsoft (PSS)

Se n�o conseguir obter a causa do problema, utilizando os passos de resolu��o de problemas neste artigo, recolha as seguintes informa��es e abra um caso de Suporte T�cnico da Microsoft (PSS):

Para obter uma lista completa dos n�meros de telefone do Suporte T�cnico da Microsoft, bem como informa��es sobre os custos de suporte, visite o seguinte Web site da Microsoft:

http://support.microsoft.com/contactus/?ln=pt&ws=support#tab0 (http://support.microsoft.com/contactus/?ln=pt&ws=support#tab0)

Gerar um relat�rio sqldiag do SQL Server. Para obter mais informa��es, consulte os seguintes t�picos "Utilit�rio sqldiag" no SQL Server Books Online:
Execute a captura de ecr� do erro no cliente.
No n� que n�o liga ao SQL Server, escreva o seguinte comando a partir da linha de comandos:
net start > started.txt
Este comando gera um ficheiro nomeado Started.txt no direct�rio em que executa o comando.
Guarde os valores para a chave do registo na seguinte tecla de registo no computador cliente:
HKEY_LOCAL_MACHINE\SOFTWARE\MICROSOFT\MSSQLSERVER\CLIENT\CONNECTTO
Num ambiente em cluster, obtenha o valor da seguinte tecla de registo para cada n� do cluster:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\LSA\LMCompatibilityLevel
Num ambiente em cluster, verifique se a seguinte chave de registo existe em cada n� de servidor de cluster:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NTLMSsp
Capture os resultados se ligar ao SQL Server atrav�s de um nome Universal Naming Convention (UNC) (ou o Nome de Rede SQL num cluster) do cliente.
Capture os resultados se efectuar o ping do nome do computador (ou o Nome de Rede SQL num cluster) do cliente.
Guarde o nome das contas do utilizador que utiliza para iniciar cada um dos servi�os SQL Server (MSSQLServer, SQLServerAgent, MSSearch).
Os profissionais de suporte necessitam de saber se o SQL Server est� configurado para Autentica��o Misturada ou Apenas Autentica��o do Windows.
Verifique se consegue efectuar liga��o ao computador que est� a executar o SQL Server a partir do mesmo cliente que utiliza a Autentica��o do SQL Server.
Verifique se consegue estabelecer liga��o atrav�s do protocolo Pipes Nomeados.

Voltar ao topo

Como configurar manualmente um Nome do Principal do Servi�o para o Server

Para obter mais informa��es sobre como configurar manualmente um Nome do Principal do Servi�o para o SQL Server, clique no n�mero de artigo que se segue para visualizar o artigo na Base de Dados de Conhecimento Microsoft:

319723� (http://support.microsoft.com/kb/319723/pt/ ) Como utilizar a autentica��o Kerberos no SQL Server

A Interface do Fornecedor de Suporte de Seguran�a (SSPI) � a interface para a seguran�a do Microsoft Windows NT utilizada para a autentica��o Kerberos, e suporta o esquema de autentica��o do Fornecedor de Suporte de Seguran�a NTLM. A autentica��o ocorre no n�vel de sistema operativo quando inicia sess�o num dom�nio Windows. A autentica��o Kerberos apenas est� dispon�vel em computadores baseados no Windows 2000 que t�m o Kerberos activado e que est�o a utilizar o Active Directory.

O SSPI apenas � utilizado para liga��es TCP/IP que s�o realizadas atrav�s da Autentica��o Windows. (O Windows Authentication tamb�m � conhecido como Liga��es Fidedignas ou Seguran�a Integrada.) O SSPI n�o utilizado para Pipes Nomeados ou liga��es multiprotocolo. Assim sendo, pode evitar o problema, configurando os seus clientes para que liguem de um protocolo diferente de TCP/IP.

Quando o cliente SQL Server tenta utilizar seguran�a integrada atrav�s de sockets TCP/IP para um computador remoto que est� a executar o SQL Server, a biblioteca de rede cliente SQL Server utiliza o SSPI API para realizar a delega��o de seguran�a. O cliente de rede SQL Server (Dbnetlib.dll) faz uma chamada para a fun��o AcquireCredentialsHandle e transmite "negociar" para o par�metro pszPackage. Isto notifica o fornecedor de seguran�a adjacente para efectuar delega��o de negocia��o. Neste contexto, a negocia��o significa que tentar o Kerberos ou autentica��o a NTLM em computadores baseados no Windows. Por outras palavras, o Windows utiliza a delega��o Kerberos se o computador de destino que est� a executar o SQL Server tem um SPN associado, correctamente configurado. Caso contr�rio, o Windows utiliza a delega��o NTLM.

Nota Verifique se n�o est� a utilizar uma conta nomeada "SYSTEM" para iniciar qualquer tipo dos servi�os SQL Server (MSSQLServer, SQLServerAgent, MSSearch). A palavra-passe SYSTEM pode causar conflitos com o Centro de Distribui��o de Chaves (KDC).

Voltar ao topo

Refer�ncias

Para mais informa��es como funciona a seguran�a do Kerberos e SSPI, clique nos n�meros de artigo que se seguem para visualizar os artigos na Base de Dados de Conhecimento Microsoft:

266080� (http://support.microsoft.com/kb/266080/pt/ ) Respostas �s perguntas mais frequentes sobre o Kerberos.

231789� (http://support.microsoft.com/kb/231789/pt/ ) Processo de in�cio de sess�o local para Windows 2000

304161� (http://support.microsoft.com/kb/304161/pt/ ) A autentica��o m�tua SSPI est� indicada no lado do cliente mas n�o no lado do servidor

232179� (http://support.microsoft.com/kb/232179/pt/ ) Administra��o Kerberos no Windows 2000

230476� (http://support.microsoft.com/kb/230476/pt/ ) Descri��o de erros comuns relacionados com Kerberos no Windows 2000

262177� (http://support.microsoft.com/kb/262177/pt/ ) Como activar o registo de eventos Kerberos

277658� (http://support.microsoft.com/kb/277658/pt/ ) O Setspn falha se o nome de dom�nio diferir do nome NetBIOS em que o SQL Server SPN est� registado

244474� (http://support.microsoft.com/kb/244474/pt/ ) Como for�ar o Kerberos a utilizar TCP em vez de UDP no Windows Server 2003, no Windows XP e no Windows 2000

326985� (http://support.microsoft.com/kb/326985/pt/ ) Como resolver problemas de quest�es relacionadas com o Kerberos em IIS

Para ver um papel branco sobre a seguran�a do Microsoft SQL Server 2000, visite o seguinte Web site da Microsoft:

http://technet.microsoft.com/en-us/cc984178.aspx (http://technet.microsoft.com/en-us/cc984178.aspx)

Voltar ao topo

A informa��o contida neste artigo aplica-se a:

Microsoft SQL Server 2005 Standard Edition
Microsoft SQL Server 2005 Developer Edition
Microsoft SQL 2005 Server Enterprise
Microsoft SQL 2005 Server Workgroup
Microsoft SQL Server 2005 Express Edition
Microsoft SQL Server 2000 Standard Edition
Microsoft SQL Server 2000 64-bit Edition
Microsoft Windows Server 2003 Standard Edition

Voltar ao topo

kbsqlsetup kbhowtomaster kbhowto KB811889

Voltar ao topo

This site in other countries/regions:

Sobre como resolver a mensagem de erro "N�o � poss�vel gerar contexto SSPI"

Nesta p�gina

Sum�rio

Compreender a terminologia Kerberos e o Nome Principal de Servi�o

Porque � que a Interface de Fornecedor de Suporte de Seguran�a escolhe o NTLM ou o Kerberos

Cria��o do Nome Principal do Servi�o do SQL Server

Explica��o simplificada

Verificar o dom�nio

Como configurar o servi�o SQL Server para criar SPNs dinamicamente para as inst�ncias do SQL Server

Verifique o ambiente do servidor

Verifique o ambiente do cliente

Verifique o utilit�rio de rede do cliente

Informa��es a recolher para abrir um caso de Suporte T�cnico da Microsoft (PSS)

Como configurar manualmente um Nome do Principal do Servi�o para o Server

Refer�ncias

A informa��o contida neste artigo aplica-se a:

Palavras-chave:�

Outros Sites de Suporte

Comunidades

Obtenha Ajuda Agora

Tradu��es de Artigos

Centros de suporte relacionados