3

我们有臭名昭著的 Kerberos 双跳问题。

这是一个全新的域，是从以前使用模拟和委派的另一个提供商迁移而来的。我们已将操作系统升级到最新的 SQL Server (2017)。

WPF 应用程序（使用域凭据）-> Web 服务（IIS 10 上的 WCF 应用程序）-> SQL 2017（命名实例）

Web 服务在域帐户下运行。Web 服务已注册 spn，匿名身份验证和表单身份验证一样被禁用，ASP.NET 模拟和 Windows 身份验证已启用。提供程序是“协商和 NTLM”，“内核模式”已禁用，“使用应用程序池凭据”已启用。创建的 SPN：

HTTP/<url of web service> <AppPool Creds>

我们能够通过远程计算机上的浏览器登录 Web 服务，输入域凭据并获得预期的响应（显示网页）。IIS 日志按预期显示域用户凭据。

SQL 服务器是一个命名实例，在域凭据下运行。创建的 SPN：

MSSQLSvc/<fqdn>:<Instance> <SQL Domain Creds>

MSSQLSvc/<sql server netbios>:<Instance> <SQL Domain Creds>

MSSQLSvc/<fqdn>:<port> <SQL Domain Creds>

MSSQLSvc/<sql server netbios>:<port> <SQL Domain Creds>

AD 中的 IIS 应用程序池用户帐户设置为对端口和命名实例的 SQL 服务器进行约束委派。

通过软件登录到 Web 服务（WPF 调用 WCF 服务而不调用数据库）时，会看到正常响应。

通过数据库调用通过软件登录到 Web 服务时，sql profiler 显示匿名登录。在 IIS 框中启用 Kerberos 日志记录后，收到以下错误：

Error Code: 0xd KDC_ERR_BADOPTION

Extended Error: 0xc0000225 KLIN(0)

Server Name: MSSQLSvc/<sql server fqdn>:49942

Target Name: MSSQLSvc/<sql server fqdn>:49942@<domain.com>

我们还尝试了无约束委托，但得到了相同的结果。

SETSPN -X 不显示重复项。

预先感谢您的帮助！

4

1 回答 1

1

当所有其他方法都失败时，您实际上已经花费了几天又几天的时间来解决这个问题并阅读互联网上的每一篇文章：

REBOOT

是的。这就是解决办法。重新启动作为委派权限的服务器的 IIS 服务器，解决了该问题。

对于那些希望在 IIS 和 SQL 实例之间快速轻松地设置约束委派（两者都在自定义域凭据下运行）的用户，请按照上述方式设置您的设置并重新启动。

最好的祝愿。

于 2018-04-26T22:55:11.897 回答