Komunikat o błędzie na klientach KKS, z dodatkiem SP1 dla.NET Framework: "Nagłówek uwierzytelnienia otrzymany z serwera był 'Negotiate'"

Symptomy

Korzystając z aplikacji pulpitu agenta lub programu Microsoft Management Console (MMC) w środowisku, w którym jest uruchomiony program Microsoft nabywcy opieki Framework (KKS), otrzymują klienci systemu Windows, które mają Microsoft.NET Framework 3.5 z dodatkiem Service Pack 1 (SP1) zainstalowane następujące komunikaty o błędzie w dzienniku aplikacji w Podglądzie zdarzeń:komunikat o b³êdzie 1

Komunikat o błędzie 2

Ponadto jeśli używasz pulpitu agenta, aplikacja nie uruchamia się. Ten problem występuje, jeśli adresy URL punktów końcowych, które są używane w plikach konfiguracji pulpitu agenta, jak i w bazie danych CCFInfrastructure wskaż rzeczywista nazwa NetBIOS serwera obsługującego usługi sieci Web KKS. Jeśli używasz programu MMC wraz z rzeczywista nazwa NetBIOS serwera sieci Web KKS lub nazwę domeny (FQDN), która pojawia się w polu Połącz z , połączenie nie jest pomyślne. Ponadto wyświetlony komunikat o błędzie podobny do następującego w dzienniku zdarzeń systemowych:Uwaga Web KKS serwer jest serwerem z systemem Internet Information Services (IIS).

Przyczyna

Ten problem występuje z powodu zmian zabezpieczeń i uwierzytelniania, które odnoszą się do Windows Communication Framework (WCF) w.NET Framework 3.5 z dodatkiem Service Pack 1. Aby uzyskać więcej informacji, zobacz plik .NET 3.5 Service Pack 1 Readme, ppkt 2.3.2. Aby wyświetlić ten plik, odwiedź następującą witrynę firmy Microsoft w sieci Web:

http://download.microsoft.com/download/A/2/8/A2807F78-C861-4B66-9B31-9205C3F22252/dotNet35SP1Readme.htm

Rozwiązanie

Aby rozwiązać ten problem, wykonaj następujące czynności:

1. Skonfigurować alias o nazwie CNAME dla serwera IIS KKS w systemie DNS. Aby to zrobić, wykonaj następujące kroki. Notatki

   • Nazwa jest używana w adresach URL punktu końcowego w narzędziu pulpitu agenta w programie MMC i w sieci Web, plików konfiguracji usług.

   • Musi być administratorem domeny i administrator usługi DNS, można wykonać następujące kroki.

   1. Na komputerze będącym kontrolerem domeny z systemem DNS kliknij przycisk Start, wskaż Wszystkie programy, kliknij polecenie Narzędzia administracyjne, a następnie kliknij DNS.

   2. Rozwiń węzeł kontrolera domeny .

   3. Rozwiń węzeł Strefy wyszukiwania do przodu .

   4. Kliknij nazwę FQDN KKS.

   5. Kliknij prawym przyciskiem myszy w prawym okienku.

   6. Kliknij przycisk Nowy Alias (CNAME).

   7. W oknie dialogowym Nowy rekord zasobu wpisz nazwę aliasu. Na przykład wpisz nazwę komputera usług IIS KKS alias wraz z nazwy FQDN serwera IIS KKS.

   8. Dodaj wymagane hosta i kliknij przycisk Gotowe.

2. Na komputerze klienckim należy dodać adres URL komputera alias KKS internetowych usług informacyjnych IIS KKS aliasu nazwy FQDN do listy Lokalnych witryn intranetowych .

3. Zmień wszystkie nazwy serwerów punktu końcowego adresy URL z "IIS KKS rzeczywistą nazwę serwera lub nazwę FQDN" Nazwa aliasu KKS IIS lub IIS KKS aliasu nazwy FQDN. Należy to zrobić w następujących plików lub adresów URL:

   • Plik Agentdesktop.exe.config na komputerze klienckim.

   • Plik Mmc.exe.config dla programu MMC.

   • Wszystkie sieci Web KKS usług plików Web.config na serwerze IIS KKS.

   • Wszystkie punktu końcowego adresy URL w bazie danych programu Microsoft SQL Server CCFInfrastructure.

4. W wierszu polecenia Uruchom polecenie SetSpn zarejestrować główna nazwa usługi (SPN) informacji hosta/CCFAlias i host/CCFAlias.fabrikam.com informacji dla konta, które jest uruchomiony pulę aplikacji usługi sieci Web KKS w usługach IIS. Na przykład można użyć polecenia SetSpn zarejestrować nazwę SPN "ASPUSER". Uwaga: Należy zalogować się jako administrator domeny, aby wykonać ten krok. Aby pobrać Narzędzie Setspn.exe obsługi, kliknij następujący numer artykułu w celu wyświetlenia tego artykułu z bazy wiedzy Microsoft Knowledge Base:

   970536 Setspn.exe obsługi narzędzia aktualizacji dla systemu Windows Server 2003Dwa poniższe przykłady pokazują, jak uruchomić polecenia SetSpn :

   setspn –S host/CCFIISAlias MyDomain\MyCCFAppPoolServiceAccount

   setspn –S host/CCFIISAlias.mydomain.com MyDomain\MyCCFAppPoolServiceAccount

5. Wykonaj jedną z następujących czynności, aby przeczyścić bilety na komputerze klienckim:

   • Ponownie uruchom komputery klienckie.

   • Poczekaj, aż biletów Kerberos do wygaśnięcia na komputerach klienckich.

   • Użyj pliku Kerbtray.exe z zestawu Windows Resource Kit.

6. Test pulpitu agenta i konsoli MMC. Uwaga W programie MMC upewnij się, wpisz nazwę aliasu KKS IIS zamiast nazwy serwera IIS KKS w polu Połącz z .

Uwaga Aplikacje sieci Web, które działają w usługach IIS 7.0 korzystać z nowej funkcji, która nosi nazwę uwierzytelnianie w trybie jądra do uwierzytelniania systemu Windows. Ta funkcja umożliwia uproszczoną konfigurację SPN i wydajność uwierzytelniania rozszerzonego. Domyślnie usługi IIS 7.0 włącza tę funkcję. Usługi IIS 7.0 nie używa tożsamość puli aplikacji do odszyfrowywania biletów Kerberos podczas uwierzytelniania systemu Windows. Jeśli używasz 2009 KKS wraz z usług IIS 7.0 lub systemie Windows Server 2008, należy ustawić flagę w serwera, na którym jest uruchomiony plik konfiguracji usług IIS do używania poświadczeń puli aplikacji autoryzacji. Aby ustawić tę flagę, wykonaj następujące kroki:

1. Na serwerze IIS 7.0 otwórz wiersz polecenia jako użytkownik Administrator.

2. Uruchom następujące polecenie:

   Notepad.exe C:\Windows\System32\inetsrv\config\applicationHost.config

3. W konfiguracji XML Zmień konfigurację uwierzytelniania dla wszystkich usług KKS, które są obsługiwane w puli aplikacji i które są uruchomione w kontekście konta użytkownika DOMAIN\CCFAppPoolSERVICEAccount. Oto przykład zmiany konfiguracji wymagany:

      <location path="Default Web Site/Microsoft.Ccf.Csr.WebServices.AgentCredentials">        <system.webServer>            <directoryBrowse enabled="true" showFlags="Date, Time, Size, Extension" />          <handlers accessPolicy="Read, Execute, Script" />           <security>                <authentication>                    <windowsAuthentication enabled="true" useKernelMode=”true” useAppPoolCredentials=”true”>                        <providers>                            <clear />                            <add value="Negotiate" />                        </providers>                    </windowsAuthentication>                    <anonymousAuthentication enabled="true" />                    <digestAuthentication enabled="false" />                    <basicAuthentication enabled="false" />                </authentication>            </security>            <defaultDocument enabled="true">                <files>                    <clear />                    <add value="Default.htm" />                    <add value="Default.asp" />                    <add value="index.htm" />                    <add value="index.html" />                    <add value="iisstart.htm" />                    <add value="default.aspx" />                </files>            </defaultDocument>        </system.webServer>    </location>

4. Zmień wszystkie konfiguracje usług sieci Web KKS, zgodnie z opisem w tym artykule. Zastępuje atrybut ścieżki dla każdego elementu lokalizacji przy użyciu atrybutu odpowiednią ścieżkę. Usługi sieci Web KKS w 2009 KKS są następujące:

   • Microsoft.Ccf.Csr.WebServices.AgentCredentials

   • Microsoft.Ccf.Csr.WebServices.AdminConsole

   • Microsoft.Ccf.Csr.WebServices.ContactCenterAIF

   • Microsoft.Ccf.Csr.WebServices.ContactCenter

   • Microsoft.Ccf.Csr.WebServices.Customer

   • Microsoft.Ccf.WebServices.Gateway

   • Microsoft.Ccf.Samples.DemoWebApplication

   • Microsoft.Ccf.Samples.MultichannelServer

   • Microsoft.Ccf.Samples.MultichannelSite

   • Microsoft.Ccf.Csr.WebServices.ContactCenter.AgentLoginManager

   • Microsoft.Ccf.ConfigurationSystem.Server.ConfigurationService

   • Microsoft.Ccf.ConfigManagementDataService

Więcej informacji

Informacje

Aby uzyskać więcej informacji na temat polecenia SetSPN odwiedź następującą witrynę firmy Microsoft w sieci Web:

http://technet.microsoft.com/en-us/library/cc773257.aspxAby uzyskać więcej informacji na temat narzędzi obsługi systemu Windows 2003 z dodatkiem SP1 odwiedź następującą witrynę firmy Microsoft w sieci Web:

http://support.microsoft.com/kb/892777Aby uzyskać więcej informacji o pliku Kerbtray.exe w systemie Windows 2003 Resource Kit odwiedź następującą witrynę firmy Microsoft w sieci Web:

http://www.microsoft.com/downloads/details.aspx?familyid=9d467a69-57ff-4ae7-96ee-b18c4790cffd