Xác thực Kerberos và khắc phục sự cố uỷ nhiệm

Xác định tên máy chủ

Xác định xem bạn đang kết nối với các trang Web bằng cách sử dụng tên NetBIOS thực của máy chủ hoặc bằng cách sử dụng một tên bí danh, chẳng hạn như tên DNS (ví dụ: www.microsoft.com). Nếu bạn truy cập máy chủ Web bằng cách sử dụng tên khác với tên máy chủ, thực tế, một mới tên dịch vụ chính (SPN) phải có được đăng ký bằng cách sử dụng công cụ Setspn bộ tài nguyên Windows 2000 Server. Vì dịch vụ thư mục Active directory không biết tên dịch vụ vé cung cấp dịch vụ (đội) không cung cấp cho bạn một vé để xác thực người dùng. Hiện tượng này buộc máy khách sử dụng phương pháp xác thực có tiếp theo, trong đó NTLM để renegotiate. Nếu máy chủ Web đáp ứng với tên DNS www.microsoft.com nhưng máy chủ có tên webserver1.development.microsoft.com, bạn phải đăng ký www.microsoft.com Active Directory trên máy chủ đang chạy IIS. Để thực hiện việc này, bạn phải tải xuống công cụ Setspn và cài đặt trên máy chủ đang chạy IIS.


Nếu bạn đang sử dụng Windows Server 2003 và IIS 6, công cụ Setspn cho Microsoft Windows Server 2003 có sẵn từ vị trí sau:

http://support.microsoft.com/kb/970536Để xác định xem bạn đang kết nối bằng cách sử dụng tên thực tế, cố gắng kết nối với máy chủ bằng cách sử dụng tên thực của máy chủ thay vì tên DNS. Nếu bạn không thể kết nối với máy chủ, hãy xem phần "Kiểm tra máy tính được tin cậy để uỷ nhiệm".

Nếu bạn có thể kết nối với máy chủ, hãy làm theo các bước sau để đặt SPN cho tên DNS mà bạn đang sử dụng để kết nối với máy chủ:

1. Cài đặt công cụ Setspn.

2. Trên máy chủ đang chạy IIS, mở dấu nhắc lệnh và sau đó mở thư mục C:\Program Files\Resource bộ.

3. Chạy lệnh sau để thêm này mới SPN (www.microsoft.com) Active Directory cho máy chủ:

   Setspn - một HTTP/www.microsoft.com webserver1Lưu ý Lệnh này, webserver1 biểu thị tên NetBIOS của máy chủ.

Bạn nhận được kết quả tương tự như sau:
Registering ServicePrincipalNames for CN=webserver1,OU=Domain Controllers,DC=microsoft,DC=comHTTP/www.microsoft.com
Updated object

Để xem danh sách SPN trên máy chủ để xem giá trị mới này, gõ lệnh sau trên máy chủ đang chạy IIS:

Setspn -L webservernameLưu ý rằng bạn không cần phải đăng ký dịch vụ. Nhiều loại dịch vụ, chẳng hạn như HTTP, W3SVC, WWW, RPC, CIFS (truy cập tệp), WINS và nguồn điện (UPS), cung cấp sẽ ánh xạ tới một loại dịch vụ mặc định tên máy chủ. Ví dụ: nếu phần mềm khách hàng sử dụng một SPN HTTP/webserver1.microsoft.com để tạo kết nối HTTP đến máy chủ Web trên máy chủ webserver1.microsoft.com, nhưng SPN này không được đăng ký trên máy chủ, kiểm soát miền Windows 2000 sẽ tự động ánh xạ kết nối tới HOST/webserver1.microsoft.com. Bản đồ này chỉ áp dụng nếu dịch vụ Web chạy dưới trương mục hệ thống cục bộ.

Xác minh rằng máy tính tin cậy để uỷ nhiệm

Nếu máy chủ này chạy IIS là thành viên của miền nhưng không phải là bộ điều khiển miền, máy tính phải đáng tin cậy để uỷ nhiệm Kerberos hoạt động bình thường. Để thực hiện việc này, hãy làm theo các bước sau:

1. Bộ điều khiển miền, bấm bắt đầu, trỏ chuột vào cài đặtrồi sau đó bấm Bảng điều khiển.

2. Trong Pa-nen điều khiển, mở Công cụ quản trị.

3. Bấm đúp vào người dùng Active Directory và máy tính.

4. Trong miền của bạn, bấm vào máy tính.
   

5. Trong danh sách, xác định máy chủ đang chạy IIS, bấm chuột phải vào tên máy chủ và sau đó bấm thuộc tính.

6. Bấm tab chung , bấm để chọn các
   Tin cậy để uỷ nhiệm kiểm tra hộp, và sau đó bấm
   OK.

Lưu ý rằng nếu nhiều trang Web đạt cùng URL nhưng cổng khác nhau, uỷ nhiệm sẽ không hoạt động. Để thực hiện việc này, bạn phải sử dụng tên máy chủ khác nhau và SPN khác. Khi Internet Explorer yêu cầu hoặc http://www. mywebsite.com hoặc http://www. mywebsite.com:81, Internet Explorer yêu cầu một vé cho SPN HTTP/www.mywebsite.com. Internet Explorer không thêm cổng hoặc vdir yêu cầu SPN. Hiện tượng này là giống nhau cho http://www. mywebsitecom/app1 hoặc http://www. mywebsitecom/app2. Trong trường hợp này, Internet Explorer sẽ yêu cầu một vé SPN http://www. mywebsitecom từ Trung tâm phân phối khoá (KDC). Mỗi SPN có thể được công bố chỉ cho một danh tính. Do đó, bạn sẽ cũng nhận được một thông báo lỗi KRB_DUPLICATE_SPN nếu bạn cố gắng tuyên bố này SPN cho mỗi danh tính.