مصادقة Kerberos واستكشاف الأخطاء وإصلاحها التفويض

تحديد اسم الملقم

تحديد ما إذا كان الاتصال بموقع ويب باستخدام اسم NetBIOS الفعلي الملقم أو باستخدام اسم مستعار، مثل اسم DNS (على سبيل المثال، www.microsoft.com). إذا تم الوصول إلى ملقم ويب باستخدام اسم مختلف عن اسم الفعلي من الخادم، الجديدة الخدمة الرئيسي اسم (SPN) يجب أن يتم تسجيل باستخدام الأداة Setspn من Windows 2000 Server Resource Kit. خدمة الدليل "Active Directory" يعلم هذا اسم الخدمة، خدمة منح التذاكر (TGS) لا يعطيك تذكرة مصادقة المستخدم. يفرض هذا السلوك للعميل باستخدام أسلوب المصادقة المتوفرة التالي وهو NTLM، إلى إعادة التفاوض بشأنها. إذا كان ملقم ويب يستجيب إلى اسم DNS من www.microsoft.com ولكن الملقم المسمى webserver1.development.microsoft.com، يجب تسجيل www.microsoft.com في "Active Directory" على خادم يقوم بتشغيل IIS تشغيل. للقيام بذلك، يجب تنزيل الأداة Setspn وتثبيته على الملقم الذي يشغل IIS.


إذا كنت تستخدم Windows Server 2003 و IIS 6، تكون أداة Setspn لنظام التشغيل Microsoft Windows Server 2003 تتوفر من الموقع التالي:

http://support.microsoft.com/kb/970536لتحديد ما إذا كنت تتصل باستخدام الاسم الفعلي، حاول الاتصال بالملقم باستخدام اسم الخادم الفعلي بدلاً من اسم DNS. إذا تعذر الاتصال بالخادم، راجع قسم "التحقق من الكمبيوتر موثوق للتفويض".

إذا تمكنت من الاتصال بالخادم، اتبع هذه الخطوات لتعيين SPN لاسم DNS الذي تستخدمه للاتصال بالخادم:

1. تثبيت الأداة Setspn.

2. على خادم يقوم بتشغيل IIS، افتح موجه الأوامر، ومن ثم افتح المجلد C:\Program Files\Resource مجموعة.

3. قم بتشغيل الأمر التالي لإضافة هذا SPN جديد (www.microsoft.com) إلى "Active Directory" للخادم:

   Setspn-HTTP/www.microsoft.com webserver1ملاحظة: في هذا الأمر، يمثل webserver1 اسم NetBIOS لملقم.

يظهر إخراج مشابه لما يلي:
Registering ServicePrincipalNames for CN=webserver1,OU=Domain Controllers,DC=microsoft,DC=comHTTP/www.microsoft.com
Updated object

لعرض قائمة بأسماء Spn على الخادم لعرض هذه القيمة الجديدة، اكتب الأمر التالي على خادم يقوم بتشغيل IIS:

ويبسيرفيرنامي-L Setspnلاحظ أنه ليس لديك لتسجيل كافة الخدمات. العديد من أنواع الخدمة، سيتم تعيين مثل HTTP و W3SVC، WWW، RPC، CIFS (الوصول إلى الملفات)، WINS وامداد طاقة غير متقطع (UPS)، توفير لنوع خدمة افتراضي يسمى المضيف. على سبيل المثال، إذا كان برنامج العميل يستخدم SPN HTTP/webserver1.microsoft.com لإنشاء اتصال HTTP بملقم ويب على الملقم webserver1.microsoft.com، ولكن لم يتم تسجيل SPN هذا على الخادم، وحدة تحكم المجال Windows 2000 سيتم تلقائياً تعيين الاتصال إلى HOST/webserver1.microsoft.com. ينطبق هذا التعيين فقط في حالة تشغيل "خدمة ويب" تحت حساب النظام المحلي.

تأكد من الكمبيوتر موثوق به للتفويض

إذا كان هذا الملقم الذي يشغل IIS عضو المجال لكن ليس وحدة تحكم مجال، يجب أن يكون الكمبيوتر موثوق به للتفويض ل Kerberos للعمل بشكل صحيح. للقيام بذلك، اتبع الخطوات التالية:

1. على وحدة تحكم المجال، انقر فوق ابدأوأشر إلى إعدادات، ومن ثم انقر فوق لوحة التحكم.

2. في "لوحة التحكم"، افتح " أدوات إدارية".

3. انقر نقراً مزدوجاً فوق مستخدمي Active Directory وأجهزة الكمبيوتر.

4. ضمن المجال الخاص بك، انقر فوق أجهزة الكمبيوتر.
   

5. في القائمة، حدد موقع الملقم الذي يشغل IIS زر الماوس الأيمن فوق اسم الملقم وثم انقر فوق خصائص.

6. انقر فوق علامة التبويب عام ، انقر لتحديد
   خانة الاختيار موثوق بها للتفويض ، وثم انقر فوق
   OK.

لاحظ أنه إذا كان الوصول إلى العديد من مواقع ويب باستخدام URL نفسه ولكن على المنافذ المختلفة، التفويض لن تعمل. لجعل هذا العمل، يجب استخدام أسماء المضيفين مختلفة وأسماء Spn مختلفة. عندما يطلب Internet Explorer أما http://www. mywebsite.com أو http://www. mywebsite.com:81، Internet Explorer طلبات تذكرة SPN HTTP/www.mywebsite.com. لا يضيف Internet Explorer المنفذ أو vdir طلب SPN. هذا السلوك هو نفسه بالنسبة http://www. mywebsite.com/app1 أو http://www. .com mywebsite/app2. في هذا السيناريو، سيطلب Internet Explorer تذكرة SPN http://www. .com mywebsiteمن مركز توزيع مفتاح (KDC). يمكن أن يتم تعريف كل SPN للهوية واحد فقط. لذلك، قد تتلقى أيضا رسالة خطأ KRB_DUPLICATE_SPN إذا حاولت أن تقوم بتعريف هذا SPN لكل هوية.