ID do artigo: 811889 - �ltima revis�o: ter�a-feira, 1 de maio de 2012 - Revis�o: 22.0

Como solucionar a mensagem de erro "N�o � poss�vel gerar contexto SSPI"

Exibir os produtos aos quais esse artigo se aplica.

Dica do SistemaEste artigo aplica-se a um sistema operativo diferente do que est� a utilizar. Foi desactivado o conte�do do artigo, que pode n�o ser relevante para si.

Se voc� faz parte de uma pequena empresa, encontre melhores recursos no site de Suporte para pequenas empresas (http://smallbusiness.support.microsoft.com/pt-br) .

Este artigo descreve detalhadamente como solucionar as origens mais comuns da mensagem de erro "N�o � poss�vel gerar contexto SSPI". Voc� pode receber esta mensagem de erro sob as seguintes condi��es:

Voc� est� se conectando ao SQL Server.
Voc� est� usando seguran�a integrada.
Kerberos � usado para realizar a delega��o de seguran�a.

Voltar para o in�cio

Entendendo a terminologia Kerberos e o nome de princ�pio de servi�o

O driver do SQL Server em um computador cliente usa seguran�a integrada para usar o s�mbolo de seguran�a do Windows da conta de usu�rio para se conectar com �xito a um computador que est� executando SQL Server. O s�mbolo de seguran�a do Windows � delegado a partir do cliente para o computador que est� executando SQL Server. O driver do SQL Server realiza esta delega��o quando o s�mbolo de seguran�a do usu�rio � delegado a partir de um computador para outro usando as seguintes configura��es:

NTLM sobre pipes nomeados (sem usar a interface do provedor de suporte de seguran�a [SSPI])
NTLM sobre soquetes TCP/IP com SSPI
Kerberos sobre soquetes TCP/IP com SSPI

A Interface do provedor de suporte de seguran�a (SSPI) � um conjunto de APIs do Windows que permite a delega��o e autentica��o m�tua sobre qualquer camada de transporte de dados gen�ricos, como soquetes TCP/IP. Por isso, o SSPI permite que um computador executando um sistema operacional do Windows delegue com seguran�a um s�mbolo de seguran�a do usu�rio a partir de um computador para outro sobre qualquer camada de transporte que possa transmitir bytes de dados n�o-processados.

A mensagem de erro "N�o � poss�vel gerar contexto SSPI" � gerada quando o SSPI usa Kerberos para delegar sobre TCP/IP e o Kerberos n�o pode concluir as opera��es necess�rias para delegar com �xito o s�mbolo de seguran�a do usu�rio para o computador de destino que est� executando o SQL Server.

Porque a interface do provedor de suporte de seguran�a escolhe NTLM ou Kerberos

Kerberos usa um identificador chamado "Nome de princ�pio de servi�o" (SPN). Considere um SPN com um identificador de dom�nio ou floresta exclusivo de alguma inst�ncia em um recurso de servidor de rede. � poss�vel ter um SPN para um servi�o da Web, para um servi�o SQL ou para um servi�o SMTP. Voc� tamb�m pode ter diversas inst�ncias de servi�o da Web no mesmo computador que possui um SPN exclusivo.

Um SPN para SQL Server � composto dos seguintes elementos:

ServiceClass (Classe do servi�o): Isso identifica a classe geral do servi�o. Isso � sempre MSSQLSvc para SQL Server.
Host: Este � o nome de dom�nio DNS totalmente qualificado do computador executando SQL Server.
Port (Porta): Este � o n�mero da porta na qual o servi�o est� escutando.

Por exemplo, um SPN t�pico para um computador executando o SQL Server �:

MSSQLSvc/SQLSERVER1.northamerica.corp.mycompany.com:1433

Os formatos de um SPN para uma inst�ncia padr�o e para uma inst�ncia nomeada n�o s�o diferentes. O n�mero da porta � o que amarra o SPN a uma inst�ncia particular.

Quando o driver SQL Server em um cliente usar a seguran�a integrada para se conectar ao SQL Server, o c�digo do driver no cliente tenta resolver o DNS completamente qualificado do computador, que est� executando o SQL Server, usando as APIs de rede WinSock. Para realizar esta opera��o, o c�digo do driver chama as APIs WinSock gethostbyname e gethostbyaddr. Mesmo se um endere�o IP ou nome de host for passado como o nome do computador executando SQL Server, o driver do SQL Server tenta resolver o DNS totalmente qualificado do computador se este estiver usando seguran�a integrada.

Quando o driver do SQL Server no cliente resolve o DNS totalmente qualificado do computador executando SQL Server, o DNS correspondente � usado para formar o SPN para este computador. Por isso, quaisquer problemas relacionados � maneira que o endere�o IP ou nome do host � resolvido para o DNS totalmente qualificado pelo WinSock podem fazer com que o driver do SQL Server crie um SPN inv�lido para o computador que est� executando SQL Server.

Por exemplo, os SPNs inv�lidos que o driver do SQL Server do lado do cliente pode formar como DNS totalmente qualificado s�o:

MSSQLSvc/SQLSERVER1:1433
MSSQLSvc/123.123.123.123:1433
MSSQLSvc/SQLSERVER1.antartica.corp.mycompany.com:1433
MSSQLSvc/SQLSERVER1.dns.northamerica.corp.mycompany.com:1433

Quando o driver do SQL Server forma um SPN inv�lido, a autentica��o ainda funciona, porque a interface SSPI procura o SPN no servi�o de diret�rio do Active Directory e n�o o encontra. Se a interface SSPI n�o encontrar o SPN, a autentica��o Kerberos n�o ser� realizada. Neste ponto, a camada do SSPI alterna para um modo de autentica��o NTLM e o logon usa autentica��o NTLM e geralmente tem �xito. Se o driver do SQL Server forma um SPN v�lido, mas n�o atribu�do ao recipiente apropriado, ele tenta usar o SPN mas n�o pode, causando uma mensagem de erro "N�o � poss�vel gerar contexto SSPI". Se a conta de inicializa��o do SQL Server for uma conta de sistema local, o recipiente apropriado ser� o nome do computador. Para qualquer outra conta, o recipiente apropriado � a conta de inicializa��o do SQL Server. Como a autentica��o ir� tentar usar o primeiro SPN que encontrar, verifique se n�o existem SPNs atribu�dos a recipientes inapropriados. Em outras palavras, cada SPN deve estar atribu�do a apenas um recipiente.

O principal fator que causa o �xito da autentica��o Kerberos � a funcionalidade DNS v�lida na rede. Voc� pode verificar esta funcionalidade no cliente e no servidor usando o utilit�rio de linha de comando Ping. No computador cliente, execute o seguinte comando para obter o endere�o IP do servidor executando SQL Server (no qual o nome do computador que est� executando o SQL Server � SQLServer1):

ping sqlserver1

Para verificar se o utilit�rio de linha de comando resolve o DNS totalmente qualificado do SQLServer1, execute o seguinte comando:

ping -a Endere�oIP

Por exemplo:

C:\>ping SQLSERVER1

Pinging SQLSERVER1 [123.123.123.123] com 32 bytes de dados:
	
Resposta de 123.123.123.123: bytes=32 time<10ms TTL=128 Resposta de 123.123.123.123: bytes=32 time<10ms TTL=128 Resposta de 123.123.123.123: bytes=32 time<10ms TTL=128 Resposta de 123.123.123.123: bytes=32 time<10ms TTL=128
	
Estat�sticas Ping para 123.123.123.123: Pacotes: Enviados = 4, Recebidos = 4, Perdidos = 0 (0% de perda), Tempo de resposta aproximado em milissegundos: M�nimo = 0ms, M�ximo =  0ms, M�dio =  0ms

C:\>ping -a 123.123.123.123
	
Pinging SQLSERVER1.northamerica.corp.mycompany.com [123.123.123.123] com 32 bytes de dados:
	
Resposta de 123.123.123.123: bytes=32 time<10ms TTL=128 Resposta de 123.123.123.123: bytes=32 time<10ms TTL=128 Resposta de 123.123.123.123: bytes=32 time<10ms TTL=128 Resposta de 123.123.123.123: bytes=32 time<10ms TTL=128 Estat�sticas de Ping para 123.123.123.123: Pacotes: Enviados = 4, Recebidos = 4, Perdidos = 0 (0% de perda), Tempo de resposta aproximado em milissegundos: M�nimo = 0ms, M�ximo = 0ms, M�dio = 0ms

C:\>

Quando o comando ping -a Endere�oIP resolve para DNS totalmente qualificado correto do computador que est� executando o SQL Server, a resolu��o do lado do cliente tamb�m tem �xito.

Voltar para o in�cio

Cria��o do nome de princ�pio de servi�o do SQL Server

Esta � uma das partes cr�ticas da intera��o de Kerberos e SQL Server. Com o SQL Server, � poss�vel executar o servi�o SQL Server em um dos seguintes: Uma conta do sistema local, uma conta de usu�rio local ou uma conta de usu�rio do dom�nio. Quando a inst�ncia do servi�o do SQL Server inicia, ele tenta registrar seu pr�prio SPN no Active Directory usando a chamada API DsWriteAccountSpn. Se a chamada n�o tiver �xito, o seguinte aviso ser� registrado em Visualizar eventos:

Origem: MSSQLServer EventID: 19011 Descri��o: SuperSocket info: (SpnRegister) : Erro 8344.

Para obter mais informa��es sobre a fun��o DsWriteAccountSpn, visite o seguinte site da Microsoft (em ingl�s):

http://msdn2.microsoft.com/en-us/library/ms676056.aspxp (http://msdn2.microsoft.com/en-us/library/ms676056.aspx)

Explica��o simplificada

Se executar o servi�o SQL Server na conta do sistema local, o SPN ser� automaticamente registrado e o Kerberos ir� interagir com �xito com o computador que est� executando SQL Server. No entanto, se executar o servi�o SQL Server em uma conta de dom�nio ou em uma conta local, a tentativa de criar o SPN ir� falhar na maior parte dos casos, porque a conta de dom�nio e a conta local n�o possuem o direito de definir seus pr�prios SPNs. Quando a cria��o do SPN n�o tem �xito, significa que nenhum SPN foi definido para o computador que est� executando o SQL Server. Se voc� testar usando uma conta de administrador de dom�nio como a conta de servi�o do SQL Server, o SPN ser� criado com �xito, porque as credenciais do n�vel de administrador de dom�nio necess�rias para a cria��o de um SPN est�o presentes.

Como uma conta de administrador de dom�nio n�o deve ser usada para executar o servi�o SQL Server (para impedir risco de seguran�a), o computador executando o SQL Server n�o pode criar seu pr�prio SPN. Por isso, � necess�rio criar manualmente um SPN para o seu computador executando o SQL Server se quiser usar Kerberos ao conectar-se a um computador que est� executando o SQL Server. Isso � verdade se voc� estiver executando o SQL Server em uma conta de usu�rio de dom�nio ou em uma conta de usu�rio local. O SPN criado deve ser atribu�do � conta de servi�o do servi�o do SQL Server neste computador espec�fico. O SPN n�o pode ser atribu�do ao recipiente do computador a menos que o computador executando o SQL Server inicie com o sistema local. Deve existir apenas um SPN e ele deve ser atribu�do ao recipiente apropriado. Em geral, esta � a conta de servi�o atual do SQL Server. No entanto esta � a conta do computador com sistema local.

Voltar para o in�cio

Verificar o dom�nio

Verifique se o dom�nio no qual voc� se conectou pode se comunicar com o dom�nio do qual o computador executando SQL Server pertence. Tamb�m deve haver resolu��o apropriada de nome no dom�nio.

Se o seu dom�nio de logon for o mesmo dom�nio do qual o computador que est� executando SQL Server pertence, use a autentica��o do Windows para fazer o logon no SQL Server. Se a autentica��o falhar, haver� um problema com a conta do Windows ou conta de dom�nio que voc� deve abordar. Contate seu administrador de seguran�a ou de rede para verificar a conta do Windows ou a conta de dom�nio para obter as permiss�es apropriadas.
Se o seu dom�nio de logon for diferente do dom�nio do computador executando SQL Server, verifique a rela��o de confian�a entre os dom�nios.
Verifique se o dom�nio do qual o servidor pertence e a conta de dom�nio usada para se conectar est�o na mesma floresta. Isso � necess�rio para que o SSPI funcione.
Use a op��o A conta � confi�vel para delega��o em Usu�rios e computadores do Active Directory ao iniciar o SQL Server.
Use o utilit�rio Manipular nomes de princ�pio de servi�o para contas (SetSPN.exe) no Windows 2000 Resource Kit. Contas de administrador de dom�nio do Windows 2000 ou contas de administrador de dom�nio do Windows 2003 podem usar o utilit�rio para controlar o SPN atribu�do a um servi�o e uma conta. No caso do SQL Server, deve existir apenas um SPN. O SPN deve ser atribu�do ao recipiente apropriado, a conta de servi�o atual do SQL Server na maior parte dos casos e a conta do computador quando o SQL Server inicia com a conta de sistema local. Se voc� iniciar o SQL Server enquanto estiver conectado com a conta do sistema local, o SPN � definido automaticamente. No entanto, se usar uma conta de dom�nio para iniciar o SQL Server, ou sempre que alterar a conta usada para iniciar o SQL Server, ser� necess�rio executar SetSPN.exe para remover SPNs que expiraram e adicionar um SPN v�lido. Para obter informa��es adicionais, consulte o t�pico "Delega��o de conta de seguran�a" nos Manuais online do SQL Server 2000. Para isso, visite o seguinte site da Microsoft (em ingl�s):
http://msdn2.microsoft.com/en-us/library/aa905162(SQL.80).aspx (http://msdn2.microsoft.com/en-us/library/aa905162(SQL.80).aspx)
Para obter mais informa��es sobre os Kits de recursos do Windows 2000, visite o seguinte site da Microsoft (em ingl�s):
http://www.microsoft.com/technet/prodtechnol/windows2000serv/reskit/default.mspx?mfr=true (http://www.microsoft.com/technet/prodtechnol/windows2000serv/reskit/default.mspx?mfr=true)
Verifique se a resolu��o de nome est� ocorrendo corretamente. M�todos de resolu��o de nome podem incluir arquivos DNS, WINS, HOSTS e arquivos LMHOSTS. Para obter informa��es adicionais sobre problemas de resolu��o de nomes e solu��es para estes problemas, clique no n�mero abaixo para ler o artigo na Base de Dados de Conhecimento Microsoft (a p�gina pode estar em ingl�s):
169790� (http://support.microsoft.com/kb/169790/ ) Como solucionar problemas b�sicos de TCP/IP
Para obter informa��es adicionais sobre como solucionar problemas de acessibilidade e de firewall com o Active Directory, clique nos n�meros abaixo para ler os artigos na Base de Dados de Conhecimento Microsoft (alguns artigos podem estar em ingl�s):
291382� (http://support.microsoft.com/kb/291382/ ) Perguntas freq�entes sobre Windows 2000 DNS e Windows Server 2003 DNS
224196� (http://support.microsoft.com/kb/224196/ ) Restringindo tr�fego de duplica��o do Active Directory e tr�fego do RPC cliente para uma porta espec�fica

Como configurar o servi�o do SQL Server para criar SPNs de maneira din�mica para as inst�ncias do SQL Server

Para configurar o servi�o do SQL Server para criar SPNs de maneira din�mica, � necess�rio modificar as configura��es do controle de acesso da conta no servi�o do diret�rio do Active Directory. � necess�rio conceder as permiss�es "Read servicePrincipalName" e "Write servicePrincipalName" para a conta do servi�o do SQL Server.

Aviso Se usar o snap-in Active Directory Service Interfaces (ADSI) Edit, o utilit�rio LDP ou qualquer outro cliente de LDAP vers�o 3 e modificar incorretamente os atributos dos objetos do Active Directory, isso poder� causar s�rios problemas. Esses problemas podem exigir a reinstala��o do Microsoft Windows Server 2003, do Microsoft Windows 2000 Server, do Microsoft Exchange Server 2003, do Microsoft Exchange 2000 Server, ou tanto do Windows quanto do Exchange. N�o podemos garantir que os problemas decorrentes da modifica��o incorreta dos atributos de objetos do Active Directory possam ser resolvidos. A modifica��o destes atributos � de sua responsabilidade.

Aviso Para conceder as permiss�es e direitos de usu�rio adequados para a conta de inicializa��o do SQL Server, � necess�rio efetuar logon como administrador do dom�nio ou solicitar que um administrador do dom�nio efetue essa tarefa.

Para configurar o servidor SQL Server para criar SPNs de maneira din�mica, execute as seguintes etapas:

Clique em Iniciar, em Executar, digite Adsiedit.msc e clique em OK.
No snap-in ADSI Edit, expanda Domain [Nome_do_dom�nio], expanda DC= NomedoDom�nioRaiz, expanda CN=Users, clique com o bot�o direito do mouse em CN=NomedaConta e clique em Propriedades.

Observa��es
- Nome_do_dom�nio � um espa�o reservado para o nome do dom�nio.
- NomedoDom�nioRaiz � um espa�o reservado para o nome do dom�nio raiz.
- NomedaConta representa a conta especificada para iniciar o servi�o do SQL Server.
- Se voc� especificou a conta do Sistema local para iniciar o servi�o do SQL Server,NomedaConta representa a conta usada para efetuar logon no Microsoft Windows.
- Se voc� especificou uma conta de usu�rio do dom�nio para iniciar o servi�o do SQL Server,NomedaConta � um espa�o reservado para o nome de usu�rio do dom�nio.
No CN=NomedaConta Na caixa de di�logo Propriedades clique na guia Seguran�a.
Na guia Seguran�a, clique em Avan�ado.
Na caixa de di�logo Configura��es de seguran�a avan�ada, certifique-se que SELF est� relacionado na lista em Entradas de permiss�o.

Se SELF n�o estiver listado, clique em Adicionar e adicione SELF.
Em Entradas de permiss�o, clique em SELF e, em seguida clique em Editar.
Na caixa de di�logo Entrada de permiss�o, clique na guia Propriedades.
Na guia Propriedades, clique em Apenas este objeto na lista Aplicar em e, em seguida certifique-se de que as caixas de sele��o das seguintes permiss�es est�o marcadas em Permiss�es:
- Nome Principal de servi�o de Leitura
- Nome Principal de servi�o de grava��o
Clique tr�s vezes em OK e feche o snap-in ADSI Edit.

Para obter ajuda neste processo, contate o suporte do produto do Active Directory e mencione este artigo da Base de Dados de Conhecimento Microsoft.

Voltar para o in�cio

Verificar o ambiente do servidor

Verifique algumas configura��es b�sicas no computador no qual o SQL Server est� instalado:

Kerberos n�o � compat�vel com computadores com o Windows 2000 executando os servi�os de cluster do Windows a menos que voc� tenha aplicado o Service Pack 3 (ou posterior) ao Windows 2000. Por isso qualquer tentativa de usar autentica��o SSPI em uma inst�ncia do SQL Server pode n�o ter �xito. Para obter mais informa��es, clique no n�mero abaixo para ler o artigo na Base de Dados de Conhecimento Microsoft (a p�gina pode estar em ingl�s):
235529� (http://support.microsoft.com/kb/235529/ ) Suporte para Kerberos em clusters de servidor com base no Windows 2000
Verifique se o servidor est� executando o Windows 2000 Service Pack 1 (SP1). Para obter informa��es adicionais sobre o suporte ao Kerberos em servidores com o Windows 2000, clique no n�mero abaixo para ler o artigo na Base de Dados de Conhecimento Microsoft (a p�gina pode estar em ingl�s):
267588� (http://support.microsoft.com/kb/267588/ ) A mensagem de erro "N�o � poss�vel gerar contexto SSPI" � exibida quando voc� se conecta ao SQL Server 2000
Em um cluster, se a conta que voc� usa para iniciar SQL Server, SQL Server Agent ou servi�os de pesquisa de texto completo mudar, como uma nova senha, execute as etapas fornecidas no seguinte artigo da Base de Dados de Conhecimento Microsoft (a p�gina pode estar em ingl�s):
239885� (http://support.microsoft.com/kb/239885/ ) Como alterar as contas de servi�o em um computador agrupado que est� executando SQL Server
Verifique se a conta que voc� usa para iniciar o SQL Server possui as permiss�es apropriadas. Se voc� estiver usando uma conta que n�o � membro de grupo Administradores locais, consulte o t�pico "Configurando as contas de servi�o do Windows" nos Manuais online do SQL Server para obter uma lista detalhada de permiss�es que esta conta deve ter (em ingl�s):
http://msdn2.microsoft.com/en-us/library/aa176564(SQL.80).aspx (http://msdn2.microsoft.com/en-us/library/aa176564(SQL.80).aspx)

Voltar para o in�cio

Verificar o ambiente do cliente

Verifique o seguinte no cliente:

Certifique-se de que o provedor de suporte de seguran�a NTLM est� instalado e ativado corretamente no cliente. Para obter mais informa��es, clique no n�mero abaixo para ler o artigo na Base de Dados de Conhecimento Microsoft (a p�gina pode estar em ingl�s):
269541� (http://support.microsoft.com/kb/269541/ ) Mensagem de erro quando voc� tenta se conectar ao SQL Server se a chave de Registro do provedor de suporte de seguran�a LM do Windows NT est� faltando: "n�o � poss�vel gerar contexto SSPI"
Determine se voc� est� usando credenciais armazenadas em cache. Se voc� estiver conectado ao cliente com credenciais armazenadas em cache, fa�a logoff no computador e fa�a logon quando puder se conectar a um controlador de dom�nio para impedir o uso das credenciais armazenadas em cache. Para obter informa��es adicionais sobre como determinar se est� usando credenciais armazenadas em cache, clique no n�mero abaixo para ler o artigo na Base de Dados de Conhecimento Microsoft (a p�gina pode estar em ingl�s):
242536� (http://support.microsoft.com/kb/242536/ ) O usu�rio n�o � alertado ao fazer o logon com credenciais de dom�nio armazenadas em cache
Verifique se as datas no cliente e no servidor s�o v�lidas. Se as datas forem muito distintas, seus certificados podem ser considerados inv�lidos.
O SSPI usa um arquivo chamado Security.dll. Se qualquer outro aplicativo instalar um arquivo com este nome, o outro arquivo poder� ser usado em vez do arquivo real do SSPI. Para obter mais informa��es, clique no n�mero abaixo para ler o artigo na Base de Dados de Conhecimento Microsoft (a p�gina pode estar em ingl�s):
253577� (http://support.microsoft.com/kb/253577/ ) Erro: 80004005 - Driver ODBC do SQL Server da MS n�o pode inicializar pacote SSPI
Se o sistema operacional no cliente for Microsoft Windows 98, ser� necess�rio instalar o componente Cliente para redes Microsoft no cliente. Para obter mais informa��es, clique no n�mero abaixo para ler o artigo na Base de Dados de Conhecimento Microsoft (a p�gina pode estar em ingl�s):
267550� (http://support.microsoft.com/kb/267550/ ) BUG: "Falha de declara��o" ao conectar-se a um SQL Server por meio de TCP/IP

Voltar para o in�cio

Verificar o utilit�rio de rede para cliente

O utilit�rio de rede para cliente (CNU) � fornecido junto com o Microsoft Data Access Components (MDAC) e � usado para configurar a conectividade para computadores que est�o executando o SQL Server. Voc� pode usar o utilit�rio de rede para cliente Cliconfg.exe do MDAC para configurar a conectividade:

Na guia Geral, a maneira que os protocolos s�o definidos varia de acordo com a vers�o do MDAC. Com vers�es mais antigas do MDAC, voc� pode selecionar um protocolo "padr�o". Nas vers�es posteriores do MDAC, voc� pode habilitar um ou mais protocolos com um no topo da lista ao conectar-se ao SQL Server. Como o SSPI se aplica apenas a TCP/IP, voc� pode usar um protocolo diferente, como pipes nomeados, para evitar o erro.
Verifique a guia Alias no CNU (utilit�rio de rede para cliente) para verificar se um alias foi definido para o servidor que est� tentando conectar. Se um alias de servidor tiver sido definido, verifique as configura��es da maneira que este computador est� configurado para conectar-se ao SQL Server. Voc� pode verificar isso excluindo o servidor alias para verificar se o comportamento muda.
Se o servidor alias n�o tiver sido definido no CNU, adicione o alias para o servidor com o qual est� se conectando. Ao realizar esta tarefa, estar� tamb�m definindo de maneira expl�cita o protocolo e definindo, de forma opcional, o endere�o IP e a porta.

Voltar para o in�cio

Informa��es a serem coletadas para abrir um caso no Atendimento Microsoft (PSS)

Se n�o for poss�vel obter a causa do problema usando as etapas para solu��o de problema neste artigo, colete as seguintes informa��es e abra um caso no Atendimento Microsoft (PSS):

Para obter uma lista completa dos n�meros de telefone do Atendimento Microsoft e informa��es sobre os custos de suporte, visite o seguinte site da Microsoft:

http://support.microsoft.com/contactus/?ws=support (http://support.microsoft.com/contactus/?ws=support)

Gere um relat�rio sqldiag do SQL Server. Para obter informa��es adicionais, consulte o t�pico "Utilit�rio sqldiag" nos Manuais online do SQL Server:
Capture uma c�pia da tela do erro no cliente.
No n� que n�o pode se conectar ao SQL Server, digite o seguinte comando a partir do prompt de comando:
net start > started.txt
Este comando gera um arquivo chamado Started.txt no diret�rio no qual executou o comando.
Salve os valores para a chave do Registro na seguinte chave do Registro no seu computador cliente:
HKEY_LOCAL_MACHINE\SOFTWARE\MICROSOFT\MSSQLSERVER\CLIENT\CONNECTTO
Em um ambiente em cluster, obtenha o valor da seguinte chave do Registro para cada n� do cluster:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\LSA\LMCompatibilityLevel
Em um ambiente em cluster, verifique se a seguinte chave do Registro existe em cada n� do servidor de cluster:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NTLMSsp
Capture os resultados se voc� se conectar ao SQL Server usando um nome UNC (Universal Naming Convention) (ou o nome de rede do SQL em um cluster) a partir do cliente.
Capture os resultados se voc� executar um ping no nome do computador (ou no nome de rede do SQL em um cluster) a partir do cliente.
Salve o nome das contas de usu�rio usadas para iniciar cada um dos servi�os do SQL Server (MSSQLServer, SQLServerAgent, MSSearch).
O profissional de suporte deve saber se o SQL Server est� configurado para autentica��o mista ou apenas do Windows.
Verifique se voc� pode conectar-se ao computador executando SQL Server a partir do mesmo cliente usando a autentica��o do SQL Server.
Verifique se voc� pode conectar usando o protocolo Pipes nomeados.

Voltar para o in�cio

Como configurar manualmente um nome de princ�pio de servi�o para SQL Server

Para obter informa��es adicionais sobre com configurar manualmente um Nome de princ�pio de servi�o para o SQL Server, clique no n�mero abaixo para ler o artigo na Base de Dados de Conhecimento Microsoft (a p�gina pode estar em ingl�s):

319723� (http://support.microsoft.com/kb/319723/ ) Como usar a autentica��o Kerberos no SQL Server

A Interface do Provedor de Suporte de Seguran�a (SSPI) � a interface para a seguran�a do Windows NT que � usada na autentica��o do Kerberos e suporta o esquema de autentica��o do provedor de suporte de seguran�a NTLM. A autentica��o ocorre no n�vel do sistema operacional ao fazer logon em um dom�nio do Windows. A autentica��o Kerberos est� dispon�vel apenas em computadores com o Windows 2000 que possuem Kerberos habilitado e que usam Active Directory.

SSPI � usado apenas para conex�es TCP/IP feitas usando a autentica��o do Windows. (A autentica��o do Windows tamb�m � conhecida como conex�es confi�veis ou seguran�a integrada). SSPI n�o � usado por pipes nomeados ou conex�es com v�rios protocolos. Por isso, � poss�vel evitar o problema configurando seus clientes para conectar a partir de um protocolo diferente de TCP/IP.

Quando um cliente SQL Server tenta usar seguran�a integrada sobre soquetes TCP/IP para um computador remoto executando SQL Server, a biblioteca de rede do cliente SQL Server usa a API do SSPI para realizar uma delega��o de seguran�a. O cliente de rede do SQL Server (Dbnetlib.dll) faz uma chamada para a fun��o AcquireCredentialsHandle e passa "negociar" para o par�metro pszPackage. Isso notifica o provedor de seguran�a subjacente para realizar a delega��o de negocia��o. Neste contexto, negociar significa tentar a autentica��o Kerberos ou NTLM nos computadores com o Windows. Em outras palavras, o Windows usa delega��o Kerberos se o computador de destino que executa o SQL Server possuir um SPN associado e configurado corretamente. Caso contr�rio, o Windows usa delega��o NTLM.

Observa��o Verifique se voc� n�o est� usando uma conta chamada "SYSTEM" para iniciar qualquer um dos servi�os do SQL Server (MSSQLServer, SQLServerAgent, MSSearch). A palavra-chave SYSTEM pode causar conflitos com o Centro de distribui��o de chaves (KDC).

Voltar para o in�cio

Refer�ncias

Para obter informa��es adicionais sobre a seguran�a Kerberos e SSPI funcionam, clique nos n�meros abaixo para ler os artigos na Base de Dados de Conhecimento Microsoft (alguns artigos podem estar em ingl�s):

266080� (http://support.microsoft.com/kb/266080/ ) Respostas �s perguntas freq�entes sobre Kerberos

231789� (http://support.microsoft.com/kb/231789/ ) Processo de logon local para Windows 2000

304161 � (http://support.microsoft.com/kb/304161/ ) Autentica��o m�tua do SSPI � indicada no lado do cliente, mas n�o no lado do servidor

232179 � (http://support.microsoft.com/kb/232179/ ) Administra��o Kerberos no Windows 2000

230476 � (http://support.microsoft.com/kb/230476/ ) Descri��o de erros comuns relacionados a Kerberos no Windows 2000

262177 � (http://support.microsoft.com/kb/262177/ ) Como habilitar o registro de evento Kerberos

277658 � (http://support.microsoft.com/kb/277658/ ) Setspn falha se o nome de dom�nio for diferente do nome do NetBIOS no qual o SPN do SQL Server est� registrado

244474� (http://support.microsoft.com/kb/244474/ ) Como for�ar Kerberos para usar TCP no lugar de UDP no Windows Server 2003, Windows XP e no Windows 2000

326985� (http://support.microsoft.com/kb/326985/ ) Como solucionar problemas relacionados ao Kerberos no IIS

Para consultar um documento sobre seguran�a do Microsoft SQL Server 2000, visite o seguinte site da Microsoft (em ingl�s):

http://www.microsoft.com/technet/prodtechnol/sql/2000/maintain/sp3sec00.mspx (http://www.microsoft.com/technet/prodtechnol/sql/2000/maintain/sp3sec00.mspx)

Voltar para o in�cio

A informa��o contida neste artigo aplica-se a:

Microsoft SQL Server 2005 Standard Edition
Microsoft SQL Server 2005 Developer Edition
Microsoft SQL Server 2005 Enterprise Edition
Microsoft SQL Server 2005 Workgroup Edition
Microsoft SQL Server 2005 Express Edition
Microsoft SQL Server 2000 Standard Edition
Microsoft SQL Server 2000 64-bit Edition
Microsoft Windows Server 2003, Standard Edition (32-bit x86)

Voltar para o in�cio

kbsqlmanagementtools kbhowtomaster kbhowto KB811889

Voltar para o in�cio

This site in other countries/regions:

Como solucionar a mensagem de erro "N�o � poss�vel gerar contexto SSPI"

Se voc� faz parte de uma pequena empresa, encontre melhores recursos no site de Suporte para pequenas empresas (http://smallbusiness.support.microsoft.com/pt-br) .

Nesta p�gina

Sum�rio

Entendendo a terminologia Kerberos e o nome de princ�pio de servi�o

Porque a interface do provedor de suporte de seguran�a escolhe NTLM ou Kerberos

Cria��o do nome de princ�pio de servi�o do SQL Server

Explica��o simplificada

Verificar o dom�nio

Como configurar o servi�o do SQL Server para criar SPNs de maneira din�mica para as inst�ncias do SQL Server

Verificar o ambiente do servidor

Verificar o ambiente do cliente

Verificar o utilit�rio de rede para cliente

Informa��es a serem coletadas para abrir um caso no Atendimento Microsoft (PSS)

Como configurar manualmente um nome de princ�pio de servi�o para SQL Server

Refer�ncias

A informa��o contida neste artigo aplica-se a:

Palavras-chave:�

Forne�a coment�rios sobre essa informa��o

Outros Sites de Suporte

Comunidades

Obtenha Ajuda Agora

Tradu��es deste artigo

Centros de suporte relacionados