ID do artigo: 832769 - �ltima revis�o: segunda-feira, 23 de abril de 2007 - Revis�o: 8.1

Como configurar um servidor virtual Windows SharePoint Services para usar a autentica��o Kerberos e como alternar entre a autentica��o Kerberos de volta para a autentica��o NTLM

Exibir os produtos aos quais esse artigo se aplica.

Dica do SistemaEste artigo aplica-se a um sistema operativo diferente do que est� a utilizar. Foi desactivado o conte�do do artigo, que pode n�o ser relevante para si.

Este artigo cont�m informa��es sobre como configurar um servidor virtual Microsoft Windows SharePoint Services para usar a autentica��o Kerberos. Al�m disso, este artigo cont�m informa��es sobre como alternar entre a autentica��o Kerberos e de volta para a autentica��o NTLM.

Observa��o A vers�o 3 do Microsoft Windows SharePoint Services para Microsoft Office 2007 usa autentica��o NTLM por padr�o. Ainda h� suporte para Kerberos.

Voltar para o in�cio

Mais Informa��es

Come�ando com o Microsoft Windows SharePoint Services Service Pack 2 (SP2), � poss�vel criar o servidor virtual SharePoint Central Administration ou ampliar um servidor virtual de conte�do para ser usado com a autentica��o Kerberos ou a autentica��o NTLM. N�o � necess�rio modificar a metabase do IIS.

O Microsoft Windows Integrated Authentication d� suporte a estes dois protocolos que apresentam autentica��o desafio/resposta:

NTLM

O protocolo NTLM � um protocolo seguro com base na criptografia de nomes de usu�rio e senhas antes do envio destes nomes e senhas pela rede. A autentica��o NTLM � obrigat�ria em redes em que o servidor recebe solicita��es de clientes que n�o d�o suporte � autentica��o Kerberos.
Kerberos

O protocolo Kerberos tem base em t�quetes. Neste esquema, um usu�rio deve primeiro fornecer nome de usu�rio e senha v�lidos para um servidor de autentica��o. Em seguida, o servidor de autentica��o concede um t�quete ao usu�rio. O t�quete pode ser usado na rede para solicitar outros recursos de rede. Para usar este esquema, tanto o cliente quanto o servidor devem ter uma conex�o confi�vel para o dom�nio KDC (Centro de distribui��o de chaves) kerberos. Al�m disso, tanto o cliente quanto o servidor devem ser compat�veis com o servi�o de diret�rio do Active Directory.

Observa��o Na maioria das vezes, � necess�rio optar pela autentica��o NTLM. Se n�o houver uma necessidade espec�fica pela autentica��o Kerberos ou se puder configurar o SPN (Nome principal do servidor), escolha a autentica��o NTLM. Se optar pela autentica��o Kerberos e n�o for poss�vel configurar o SPN, somente administradores do servidor ser�o capazes de autenticar o site do SharePoint.

Voltar para o in�cio

Configurar o Windows SharePoint Services para usar autentica��o Kerberos ou autentica��o NTLM

Iniciando com Windows SharePoint Services Service Pack 2 (SP2), � poss�vel usar a interface de usu�rio do SharePoint ou comandos em um prompt de comando para configurar o servidor virtual e servidor virtuais de conte�do da Administra��o central do SharePoint. O servidor virtual SharePoint Central Administration � configurado durante a cria��o do SharePoint Central Administration e os servidores virtuais de conte�do quando o servidor virtual � expandido. Ao criar o servidor virtual SharePoint Central Administration ou ampliar um novo servidor virtual, h� uma nova se��o Configura��o da seguran�a em que � poss�vel especificar se deseja usar a autentica��o Kerberos ou a autentica��o NTLM. Para revisar todas as configura��es administrativas da configura��o das autentica��es, consulte o Guia do Administrador do Windows SharePoint Services. Para visualizar o Guia do administrador do Windows SharePoint Services, visite o seguinte site da Microsoft (em ingl�s):

http://www.microsoft.com/downloads/details.aspx?FamilyID=a637eff6-8224-4b19-a6a4-3e33fa13d230&DisplayLang=en (http://www.microsoft.com/downloads/details.aspx?FamilyID=a637eff6-8224-4b19-a6a4-3e33fa13d230&DisplayLang=en)

Se voc� estiver executando servidores virtuais do SharePoint que foram estendidos ou criados em vers�es do Windows SharePoint Services anteriores ao Windows SharePoint Services SP2, e for necess�rio configurar os servidores virtuais para autentica��o Kerberos, ser� necess�rio configurar manualmente a autentica��o Kerberos para o servidor virtual, se exigido.

Para usar um script que habilite a autentica��o Kerberos no servidor virtual, execute as seguintes etapas:

No servidor com IIS em execu��o, clique em Iniciar, em Executar, digite cmd na caixa Abrir e clique em OK.
Mude para a pasta Inetpub\Adminscripts.
Digite o seguinte comando e pressione ENTER:
cdUnidade:\inetpub\adminscripts
Observa��o Neste comando, Unidade � a unidade na qual o Microsoft Windows est� instalado.
Digite o seguinte comando e pressione ENTER:
cscript adsutil.vbs get w3svc/##/root/NTAuthenticationProviders
Observa��o Neste comando,## � o n�mero da identifica��o do servidor virtual. O n�mero de identifica��o do servidor virtual do site padr�o no IIS � 1.
Para habilitar a autentica��o Kerberos no servidor virtual, digite o seguinte comando e pressione ENTER:
cscript adsutil.vbs set w3svc/##/root/NTAuthenticationProviders "Negotiate,NTLM"
Observa��o Neste comando,## � o n�mero da identifica��o do servidor virtual.
Reinicie o IIS. Para fazer isto, execute as seguintes etapas:
1. Clique em Iniciar, em Executar, digite cmd na caixa Abrir e clique em OK.
2. No prompt de comando, digite iisreset e pressione ENTER.
3. Digite exit e pressione ENTER para fechar a janela Prompt de comando.

Se optar pela autentica��o Kerberos ao criar o SharePoint Central Administration ou servidores virtuais de conte�do, mas precise alternar novamente para a autentica��o NTLM, ser� poss�vel usar um script para habilitar a autentica��o NTLM no servidor virtual.

Para usar um script que habilite a autentica��o NTLM no servidor virtual, execute as seguintes etapas:

No servidor com IIS em execu��o, clique em Iniciar, em Executar, digite cmd na caixa Abrir e clique em OK.
Mude para a pasta Inetpub\Adminscripts.
Digite o seguinte comando e pressione ENTER:
cdUnidade:\inetpub\adminscripts
Observa��o Neste comando, Unidade � a unidade na qual o Windows est� instalado.
Digite o seguinte comando e pressione ENTER:
cscript adsutil.vbs get w3svc/##/root/NTAuthenticationProviders
Observa��o Neste comando,## � o n�mero da identifica��o do servidor virtual. O n�mero de identifica��o do servidor virtual do site padr�o no IIS � 1.
Para habilitar a autentica��o NTLM no servidor virtual, digite o seguinte comando e pressione ENTER:
cscript adsutil.vbs set w3svc/##/root/NTAuthenticationProviders "NTLM"
Observa��o Neste comando,## � o n�mero da identifica��o do servidor virtual.
Reinicie o IIS. Para fazer isto, execute as seguintes etapas:
1. Clique em Iniciar, em Executar, digite cmd na caixa Abrir e clique em OK.
2. No prompt de comando, digite iisreset e pressione ENTER.
3. Digite exit e pressione ENTER para fechar a janela Prompt de comando.

Configurar um nome principal de servi�o para a conta do usu�rio do dom�nio

Se a identidade do pool de aplicativos do site do Windows SharePoint Services for configurada para usar uma seguran�a embutida (como NT Authority\Network Service ou NT Authority\Local System), n�o ser� necess�rio realizar esta etapa. As contas internas s�o configuradas automaticamente para trabalhar com autentica��o Kerberos.

Se voc� usar um servidor Microsoft SQL Server 2000 remoto e quiser utilizar o NT Authority\Network Service como a conta de dom�nio, � necess�rio adicionar a entrada Dom�nio\Nome_do_computador$ e configur�-la com as permiss�es Criadores de Bancos de Dados e Administrador de Seguran�a. Dessa forma, o Windows SharePoint Services poder� conectar-se ao computador do servidor remoto SQL para criar e configurar os bancos de dados de configura��o e conte�do.

Se a identidade do pool de aplicativos for uma conta de usu�rio de dom�nio, � necess�rio configurar um SPN para essa conta. Para configurar um SPN para a conta de usu�rio de dom�nio, execute as seguintes etapas:

Baixe e instale a ferramenta de linha de comando Setspn.exe. Para fazer isso, visite um dos seguintes sites da Microsoft:

Para Microsoft Windows 2000 Server (EM INGL�S):
http://www.microsoft.com/downloads/details.aspx?FamilyID=5fd831fd-ab77-46a3-9cfe-ff01d29e5c46&DisplayLang=en (http://www.microsoft.com/downloads/details.aspx?FamilyID=5fd831fd-ab77-46a3-9cfe-ff01d29e5c46&DisplayLang=en)
Para Microsoft Windows Server 2003:
892777� (http://support.microsoft.com/kb/892777/ ) Ferramentas de Suporte do Windows Server 2003 Service Pack 1
Use a ferramenta Setspn.exe para adicionar um SPN para uma conta de dom�nio. Para fazer isto, digite a seguinte linha no prompt de comando e pressione ENTER, em que: Nome_do_servidor � o FQDN (nome de dom�nio totalmente qualificado) do servidor,Dom�nio � o nome do dom�nio eNome_do_usu�rio � o nome da conta de usu�rio do dom�nio:
setspn -A HTTP/ServerName Domain\NomeDoUsu�rio

Configura��o de seguran�a para delega��o das Web parts para acessar recursos remotos

Se estiver desenvolvendo Web parts para SharePoint que t�m que acessar recursos remotos, ser� necess�rio seguir as etapas listadas na se��o "Configurar um nome principal de servi�o para a conta do usu�rio do dom�nio" e configurar o computador e a conta do pool de aplicativos para que sejam confiadas por delega��o, usando as seguintes etapas.

Observa��o N�o � necess�rio executar etapas adicionais caso n�o tenha Web parts que acessem recursos remotos.

Para configurar o servidor IIS para ser confi�vel para delega��o, execute as seguintes etapas:

Inicie Usu�rios e computadores do Active Directory.
No painel � esquerda, clique em Computadores.
No painel � direita, clique com o bot�o direito do mouse no nome do servidor IIS e clique em Propriedades.
Clique na guia Geral, marque a caixa de sele��o Confiar no computador para delega��o e clique em OK.
Feche o console Usu�rios e computadores do Active Directory.

Se a identidade do pool de aplicativos foi configurada para usar uma conta de usu�rio de dom�nio, a conta de usu�rio precisa ser confi�vel para delega��o antes que se possa usar autentica��o Kerberos. Para configurar a conta de dom�nio para ser confi�vel para delega��o, execute as seguintes etapas:

No controlador de dom�nio, inicie Usu�rios e Computadores do Active Directory.
No painel � esquerda, clique em Users.
No painel � direita, clique com o bot�o direito do mouse no nome da conta de usu�rio e depois clique em Propriedades.
Clique na guia Conta, em Op��es de Conta, na caixa de sele��o Confia-se no computador para delega��o e em OK.
Feche o console Usu�rios e computadores do Active Directory.

Se a identidade do pool de aplicativos for uma conta de usu�rio de dom�nio, � necess�rio configurar um SPN para essa conta. Para configurar um SPN para a conta de usu�rio de dom�nio, execute as seguintes etapas:

Baixe e instale a ferramenta de linha de comando Setspn.exe. Para fazer isto, visite o seguinte site da Microsoft (em ingl�s):
http://www.microsoft.com/downloads/details.aspx?FamilyID=5fd831fd-ab77-46a3-9cfe-ff01d29e5c46&DisplayLang=en (http://www.microsoft.com/downloads/details.aspx?FamilyID=5fd831fd-ab77-46a3-9cfe-ff01d29e5c46&DisplayLang=en)
Use a ferramenta Setspn.exe para adicionar um SPN para uma conta de dom�nio. Para fazer isto, digite a seguinte linha no prompt de comando e pressione ENTER, sendo queNome_do_servidor � o FQDN (nome de dom�nio totalmente qualificado) do servidor,Dom�nio � o nome do dom�nio eNome_do_usu�rio � o nome da conta de usu�rio do dom�nio:
Setspn -A HTTP/ServerName Domain\UserName

Voltar para o in�cio