Active Directory.pdf - Gattner

Kerberos-Sicherheit 283
Praxistipp: Dienstprinzipalnamen
Sie können Dienstprinzipalnamen (Service Principal Names, SPN) Benutzer- oder Computerkonten
zuweisen. Dienstprinzipalnamen werden in einem Active Directory-Mehrwertattribut des
Benutzer- oder Computerkontos gespeichert. Auf diese Weise kann jeder Benutzer oder Computer
mehrere SPNs besitzen. SPNs müssen in der gesamten Active Directory-Gesamtstruktur eindeutig
sein.
Im Folgenden sehen Sie ein Beispiel für ein Attribut eines Dienstprinzipalnamens für ein Active
Directory-Objekt:
Host /DC1
Host/DC1.contoso.com
Dieser Beispiel-SPN wird folgendermaßen gelesen: der Dienstname Host auf dem Sicherheitsprinzipal
DC1. Der nächste Dienstprinzipalname beschreibt denselben Dienst, verwendet jedoch einen
anderen Sicherheitsprinzipal: DC1.contoso.com. Die Kerberos-Authentifizierung basiert auf
Namen. Wenn Ihre Clients sich sowohl über NetBIOS- als auch über FQDN-Namen verbinden,
möchten Sie sicherstellen, dass Sie den angeforderten Dienst, wie im Beispiel gezeigt, unter beiden
Namen registrieren.
Im Folgenden sehen Sie ein Beispiel für einen Dienstprinzipalnamen für ein Benutzerkonto, unter
dem der SQL-Dienst ausgeführt wird. Windows startet den SQL-Dienst mithilfe eines Domänenbenutzerkontos
(auch als Dienstkonto bezeichnet). Sie müssen den SQL-Dienstprinzipalnamen auf
dem Benutzerkonto registrieren, da dies das Konto ist, an das Sie die Authentifizierung delegieren.
Ein gängiger Konfigurationsfehler besteht darin, den SPN auf dem Computerkonto zu registrieren,
das den SQL-Dienst hostet.
MSSQLSvc/sqlsrvr.contoso.com:1433
MSSQLSvc/sqlsrvr:1433
Kerberos-fähige Dienste verwenden eine vorkonfigurierte Dienstkennung in ihrem SPN. In
diesem Beispiel verwendet der Microsoft SQL-Dienst MSSQLSvc. Dieser Dienstprinzipalname
wird folgendermaßen gelesen: Der Microsoft SQL-Dienst (MSSQLSvc) wird auf dem Computer
sqlsrvr.contoso.com gehostet, und diese Instanz von SQL hört Port 1433 ab. Wieder berücksichtigen
wir sowohl den FQDN- als auch den NetBIOS-Namen für den Server, um sicherzustellen, dass
die Authentifizierung mit beiden Namen funktioniert. Denken Sie daran, dass der Dienstprinzipalname
in der Active Directory-Gesamtstruktur eindeutig sein muss.
Microsoft bietet mehrere Dienstprogramme, mit deren Hilfe Sie Dienstprinzipalnamen anzeigen
können. Zu diesen Dienstprogrammen gehören LDP, LDIFDE, ADSIEdit und SETSPN.
Robert Greene
Microsoft Support Escalation Engineer
Wenn die Authentifizierung und die Autorisierung erfolgreich durchgeführt werden, erhält der Client
Zugriff auf die Serverressourcen. Wenn der Client dieselbe Ressource oder denselben Dienst anschließend
noch einmal verwendet, wird das Sitzungsticket aus dem Ticketzwischenspeicher bezogen und
erneut an den Zielressourcenserver ausgestellt. Ist das Sitzungsticket abgelaufen, muss der Client sich
erneut an das KDC wenden, um ein neues Ticket zu erhalten.