A autenticação Kerberos e resolução de problemas de delegação Imprimir
(الشرق الاوسط (العربية Brasil (Português) Deutschland (Deutsch) España, Latinoamérica (Español) France (Français) Italia (Italiano) Nederland (Nederlands) Türkiye (Türkçe) United States (English) Česká republika (Čeština) Россия (Русский) भारत (हिंदी) ไทย (ไทย) 中国 (简体中文) 台灣 (繁體中文) 日本 (日本語) 대한민국 (한국어) Artigo: 907272 - Ver produtos para os quais este artigo se aplica.Excluso da responsabilidade sobre o conteúdo traduzido por tradução automaticaTradução automática e correçõesColuna de voz de suporte de programação do IISA autenticação Kerberos e resolução de problemas de delegaçãoPara personalizar esta coluna às suas necessidades, pretendemos convidá-lo para submeter as suas ideias sobre tópicos que interessam problemas que pretende ver e corrigida no futuro artigos da Base de dados de conhecimento e de colunas de voz de suporte. Pode submeter ideias e comentários utilizando a Pedir
formulário. Existe também uma hiperligação para o formulário na parte inferior desta coluna.Se for um cliente de uma Pequena Empresa, poderá obter recursos de aprendizagem e resolução de problemas adicionais no Web site Suporte para Pequenas EmpresasExpandir tudo | Reduzir tudoNesta páginaO meu nome estiver Martin Silva e tenho com a Microsoft da Microsoft
Grupo de resolução de problemas críticos de serviços de informação Internet (IIS). Tenho
Posso compilou informações a partir de várias localizações http://msdn.microsoft.com
resolver problemas de delegação. Voltar ao topo | Submeter comentáriosIIS 6.0A seguinte documentação técnica descreve como configurar a delegação no
Microsoft Windows Server 2003. A documentação técnica tem informações específicas para
um cenário delegado sem utilizar o NLB. Para ver esta documentação técnica, visite o
Nota Utilizar nomes principais de serviço HTTP (SPN), especialmente quando utilizar
permita vários agrupamentos de aplicações para utilizar o mesmo nome DNS. Infelizmente,
Quando utiliza o Kerberos delegar credenciais, não é possível vincular o mesmo serviço
Nome principal (SPN) para agrupamentos de aplicações diferentes. Isto não é possível porque
da concepção de Kerberos. O protocolo Kerberos requer vários partilhados
segredos para o protocolo poderá funcionar correctamente. Utilizando o mesmo SPN para diferentes
agrupamentos de aplicações, vamos eliminar um destes segredos partilhados. O Active Directory
Serviço de directório do não suporta esta configuração do Kerberos
protocolo devido o problema de segurança.Configurar o SPN na presente
forma provoca a falha da autenticação Kerberos. Uma possível solução para este
problema seria utilizar o protocolo em transição. A autenticação inicial
Protocolo de autenticação NTLM. Kerberos seria a processar a autenticação entre
O IIS e o servidor de back-end de recursos.Microsoft Internet Explorer 6 ou posteriorO browser cliente, poderá detectar problemas, tais como recepção
início de sessão repetido pede credenciais ou mensagens de erro "401 Acesso negado"
o servidor com o IIS. Verificámos que as seguintes questões que podem
Autenticação está seleccionada nas propriedades do browser. Para mais informações, clique no seguinte número de artigo
Não foi possível negociar a autenticação Kerberos depois de actualizar para o Internet Explorer 6Se estiver a configuração de segurança avançada do Internet Explorer
activada em Adicionar/remover programas, tem de adicionar um site que utiliza a delegação para oSites fidedignos lista. Para mais informações, clique no seguinte número de artigo
A configuração de segurança avançada do Internet Explorer altera a experiência de navegaçãoIIS 5.0 e IIS 6.0Depois da actualização do IIS 4.0 para IIS 5.0 ou IIS 6.0, delegação
poderá não funcionar correctamente, ou eventualmente alguém ou uma aplicação tiver modificado
a propriedade da metabase NTAuthenticationProviders. Para mais informações sobre como corrigir este problema, faça clique sobre o
número de artigo seguinte para visualizar o artigo na Microsoft Knowledge Base: 248350
A autenticação Kerberos falha depois de actualizar a partir do IIS 4.0 para IIS 5.0Uma área específica do problema pode ocorrer quando definir o SPNDeterminar o nome do servidor Determinar se está a ligar ao Web site utilizando o
(por exemplo, www.microsoft.com). Se está acessando o servidor Web utilizando
um nome diferente do nome real do servidor, um novo nome de Principal de serviço
Server Resource Kit. Uma vez que o serviço de directório do Active Directory não
souber este nome de serviço, o serviço de concessão de permissão (TGS) não concede a uma
permissão para autenticar o utilizador. Este comportamento obriga o cliente para utilizar o
próximo método de autenticação disponível, que é o NTLM, renegociar. Se a Web
servidor está a responder a um nome DNS de www.microsoft.com, mas o servidor denominado webserver1.development.microsoft.com, tem de registar
www.microsoft.com no Active Directory no servidor que está a ser executado com o IIS. Para tal,
tem de transferir a ferramenta Setspn e instalá-lo no servidor que está a executar o IIS.Se estiver a utilizar o Windows Server 2003 e IIS 6, a ferramenta Setspn para Microsoft Windows Server 2003 está disponível na seguinte localização:http://support.microsoft.com/KB/970536
Para determinar se está a ligar utilizando o nome real,
o nome DNS. Se não conseguir ligar ao servidor, consulte "verificar o computador
secção é fidedigno para delegação".Se conseguir ligar ao servidor
Siga estes passos para definir um SPN para o nome DNS que está a utilizar para ligar
o nome de NetBIOS do servidor.Receberá um resultado semelhante ao seguinte:Registering ServicePrincipalNames for CN=webserver1,OU=Domain Controllers,DC=microsoft,DC=com
Escreva o seguinte comando no servidor a executar o IIS: Setspn -L NomeDoServidorWeb Tenha em atenção que não é necessário registar todos os serviços. Número de serviço
alimentação ininterrupta (UPS), irá mapear para um tipo de serviço predefinido que é
o nome de anfitrião. Por exemplo, se o software de cliente utiliza um SPN de
HTTP/webserver1.microsoft.com para criar uma ligação HTTP ao servidor Web em
o servidor de webserver1.microsoft.com, mas este SPN não está registado no
ligação HOST/webserver1.microsoft.com. Este mapeamento só se aplica se o
Serviço Web está em execução sob a conta de sistema local.Verificar se o computador é fidedigno para delegaçãoSe este servidor a executar o IIS é um membro do domínio mas não é um
controlador de domínio, o computador tem de ser fidedigno para delegação para Kerberos para
funcione correctamente. Para tal, siga estes passos: No controlador de domínio, clique em Iniciar,
aponte para Definiçõese, em seguida, clique em Controlo
Ferramentas.Faça duplo clique em Utilizadores do Active Directory e
Computadores. Em seu domínio, clique em Computadores.Na lista, localize o servidor a executar o IIS, o botão direito do rato a
nome do servidor e, em seguida, clique Propriedades. Faça clique sobre o Geral separador, clique para seleccionar oFidedigno para delegação caixa de verificação e, em seguida, clique emOK.Tenha em atenção que se múltiplos Web sites forem atingidos pelo mesmo URL mas
portas diferentes, delegação não funcionará. Para tornar este trabalho, tem de utilizar
diferentes nomes de anfitriões e SPNs diferentes. Quando o Internet Explorer solicita quer
pedidos um bilhete de SPN HTTP/www.mywebsite.com. Internet Explorer não adiciona
a porta ou vdir ao pedido de SPN. Este comportamento é o mesmo para
http://www.meuwebsite.com/app2. Neste cenário,
http://www.meuwebsite.com de distribuição de chaves
seria também receber uma mensagem de erro KRB_DUPLICATE_SPN se tentar declarar esse
SPN para cada identidade. Delegação e o Microsoft ASP.NET Para mais informações sobre
a configuração para delegar credenciais quando utiliza um ASP.NET
aplicação, clique no número de artigo seguinte para visualizar o artigo do
Como configurar uma aplicação do ASP.NET para um cenário de delegaçãoRepresentação e delegação são dois métodos para um
métodos a utilizar e a respectiva aplicação podem causar alguma confusão. Tem de
Reveja a diferença entre estes dois métodos e examinar qual das seguintes
métodos que poderá utilizam para a aplicação. Meu recomendação seria
ler a seguinte documentação técnica para obter mais detalhes:http://msdn2.microsoft.com/en-us/library/ms998351.aspx
Voltar ao topo | Submeter comentáriosReferênciashttp://technet.microsoft.com/en-us/library/cc757299.aspx
Windows 2000 Server pede as credenciais de utilizador do domínio262177
WebCast de suporte da TechNet: Resolução de problemas de autenticação Kerberos com aplicações Web seguras e o Microsoft SQL ServerComo sempre, não hesite em submeter ideias sobre os tópicos
formulário.Voltar ao topo | Submeter comentáriosPropriedadesArtigo: 907272 - Última revisão: quinta-feira, 30 de maio de 2013 - Revisão: 6.0A informação contida neste artigo aplica-se a:Microsoft Internet Information Services 6.0Palavras-chave: kbiis kbhowto kbasp kbmt KB907272 KbMtptTradução automáticaIMPORTANTE: Este artigo foi traduzido por um sistema de tradução automática (também designado por Machine translation ou MT), não tendo sido portanto revisto ou traduzido por humanos. A Microsoft tem artigos traduzidos por aplicações (MT) e artigos traduzidos por tradutores profissionais. O objectivo é simples: oferecer em Português a totalidade dos artigos existentes na base de dados do suporte. Sabemos no entanto que a tradução automática não é sempre perfeita. Esta pode conter erros de vocabulário, sintaxe ou gramática… erros semelhantes aos que um estrangeiro realiza ao falar em Português. A Microsoft não é responsável por incoerências, erros ou estragos realizados na sequência da utilização dos artigos MT por parte dos nossos clientes. A Microsoft realiza actualizações frequentes ao software de tradução automática (MT). Obrigado.Clique aqui para ver a versão em Inglês deste artigo: 907272