Active Directory.pdf - Gattner

Kerberos-Sicherheit 289
• Auch doppelte SPNs können die delegierte Authentifizierung verhindern. Jeder SPN muss in
der Domäne eindeutig sein. Zwei Sicherheitsprinzipale, die denselben SPN besitzen, verursachen
ein Fehlschlagen der Delegierung.
• Der IIS-Server ist falsch konfiguriert. Sie müssen IIS so konfigurieren, dass die Kerberos-
Authentifizierung verwendet wird. Stellen Sie sicher, dass die Webanwendung für die integrierte
Authentifizierung konfiguriert ist. Stellen Sie außerdem sicher, dass der Anbieter der
Aushandlungsauthentifizierung nicht deaktiviert wurde. Weitere Informationen finden Sie
im Microsoft Knowledge Base-Artikel 215383, „So konfigurieren Sie IIS darauf, sowohl
das Kerberos- als auch das NTLM-Protokoll für Netzwerkauthentifizierung zu unterstützen“,
der unter http://support.microsoft.com/kb/215383 verfügbar ist.
Robert Greene
Microsoft Support Escalation Engineer
Konfigurieren von Kerberos unter Windows Server 2008
Wie bereits erwähnt, ist Kerberos das Standardprotokoll zur Authentifizierung, mit dem Clients unter
Windows 2000 oder höher sich an AD DS anmelden. Sie können mehrere Kerberos-Eigenschaften
über die Domänensicherheitsrichtlinien konfigurieren. Um auf die Kerberos-Richtlinieneinstellungen
zuzugreifen, öffnen Sie die Konsole Gruppenrichtlinienverwaltung, und bearbeiten Sie die Standarddomänenrichtlinie.
Erweitern Sie unter Computerkonfiguration zunächst die Sicherheitseinstellungen,
und erweitern Sie anschließend den Ordner Kontorichtlinien. (Die Benutzeroberfläche wird in Abbildung
8.7 dargestellt.)
Abbildung 8.7
Konfigurieren der Kerberos-Einstellungen über die Domänensicherheitsrichtlinie
• Benutzeranmeldeeinschränkungen erzwingen Diese Richtlinie legt fest, dass das KDC jede Anforderung
eines Sitzungstickets anhand der Einstellung der Benutzerrechte auf dem Zielcomputer
prüfen muss. Wenn diese Richtlinie aktiviert ist, muss der Benutzer, der das Sitzungsticket anfordert,
entweder das Recht Lokal anmelden zulassen besitzen, falls er sich interaktiv anmeldet, oder
auf dem Zielcomputer über das Recht Auf diesen Computer vom Netzwerk aus zugreifen verfügen.
Die Rechte Lokal anmelden zulassen und Auf diesen Computer vom Netzwerk aus zugreifen
werden in der Domänensicherheitsrichtlinie unter Lokale Richtlinien\Zuweisen von Benutzerrechten
erteilt. Diese Richtlinie ist standardmäßig aktiviert.