Active Directory.pdf - Gattner

288 Kapitel 8: Active Directory-Domänendienstsicherheit
Abbildung 8.6
Konfigurieren der eingeschränkten Delegierung für ein Computerkonto
Praxistipp: Delegierte Authentifizierung
Die delegierte Authentifizierung wird in Kundenumgebungen immer häufiger eingesetzt, weil der
Benutzerzugriff auf vertrauliche Daten eingeschränkt werden muss. Außerdem muss täglich überwacht
werden, auf welche Daten Benutzer zugreifen. Bei den heutigen Anwendungen handelt es
sich normalerweise um mehrschichtige Lösungen, was für eine erhöhte Komplexität bei der
Authentifizierung sorgt. Beispielsweise ist eine delegierte Authentifizierung erforderlich, wenn
eine webbasierte Anwendung anhand der Anmeldeinformationen des Benutzers, der sich an der
Website authentifiziert hat, Daten von einer SQL-Datenbank anfordern muss. Im Folgenden werden
die am häufigsten auftretenden Probleme aufgeführt, die zu einem Fehlschlag der delegierten Authentifizierung
führen:
• Die Clientanwendung ist nicht für die Verwendung von Kerberos konfiguriert. Im vorliegenden
Beispiel ist der Webbrowser die Clientanwendung, die Sie für die Unterstützung der Kerberos-
Authentifizierung konfigurieren müssen.
• SPNs werden nicht für das richtige Dienstkonto registriert. Im vorliegenden Beispiel müssen im
Dienstkonto, das die Webanwendung ausführt, die richtigen SPNs für den Namen registriert sein,
den Benutzer zum Verbinden mit der Webanwendung verwenden. Wenn Benutzer sich sowohl über
NetBIOS- als auch über FQDN-Namen verbinden, müssen Sie beide Namen im Dienstkonto registrieren
(http/webapp1 und http/webapp1.contoso.com). Außerdem ist das richtige Dienstkonto im
vorliegenden Beispiel dasjenige, das zum Ausführen des Webanwendungspools mit der Webanwendung
verwendet wird, die sich mit SQL verbindet. Im übrigen ist keine SPN-Registrierung
erforderlich, wenn der Webanwendungspool als Netzwerkdienst ausgeführt wird.