Active Directory.pdf - Gattner

Verwandte Tools
Zusätzliche Ressourcen 317
Windows Server 2008 bietet mehrere Tools, die zur Problembehandlung bei der Kerberos-Authentifizierung
eingesetzt werden können. In Tabelle 8.8 werden einige dieser Tools gemeinsam mit Nutzungsinformationen
aufgeführt.
Tabelle 8.8 Tools zur Problembehandlung bei Kerberos
Toolname
Klist.exe: Kerberos List
Kerbtray.exe: Kerberos
Tray
Tokensz.exe
Kerberos Token Size
Setspn.exe
Ksetup.exe
Ktpass.exe
W32tm.exe: Windows-Zeitgeber
Beschreibung und Zweck
Dieses Tool wird auf Windows Server 2008-Domänencontrollern installiert und steht als Bestandteil
der Windows Server 2003 Resource Kit-Tools zum Download zur Verfügung.
Kerberos List ist ein Befehlszeilenprogramm, das zum Anzeigen und Löschen von Kerberos-
Tickets eingesetzt wird, die für die aktuelle Anmeldesitzung erteilt wurden. Um Kerberos List
zum Anzeigen von Tickets auszuführen, müssen Sie das Tool auf einem Computer ausführen,
der Mitglied in einem Kerberos-Bereich ist.
Kerberos Tray steht als Bestandteil der Windows Server 2003 Resource Kit-Tools zum Download
zur Verfügung.
Kerberos Tray ist ein Tool mit grafischer Benutzeroberfläche, welches Ticketinformationen für
einen Computer anzeigt, auf dem die Microsoft-Implementierung des Authentifizierungsprotokolls
Kerberos, Version 5, ausgeführt wird. Über das Kerberos Tray-Symbol im Benachrichtigungsbereich
des Desktops können Sie den Ticketzwischenspeicher anzeigen und löschen.
Wenn Sie den Cursor auf dem Symbol platzieren, können Sie die Zeit bis zum Ablaufen des anfänglichen
TGT anzeigen. Das Symbol ändert sich außerdem in der Stunde, bevor die LSA
(Local Security Authority) das Ticket erneuert.
Kerberos Token Size kann vom Microsoft-Downloadcenter heruntergeladen werden.
Mithilfe von Kerberos Token Size können Sie prüfen, ob die Quelle der Kerberos-Fehler von
einem Problem mit der maximalen Tokengröße herrührt. Das Tool simuliert eine Authentifizierungsanforderung
und meldet die Größe des daraus resultierenden Kerberos-Tokens. Außerdem
meldet das Tool die maximal unterstützte Größe für das Token.
Das Dienstprogramm Setspn wird auf Windows Server 2008-Domänencontrollern installiert und
ist in den Windows Server 2003-Supporttools enthalten.
Mit dem Dienstprogramm Setspn können Sie die SPN-Verzeichniseigenschaft (Service Principal
Name) für ein Active Directory-Dienstkonto lesen, ändern und löschen. Da SPNs sicherheitsrelevant
sind, können Sie nur dann SPNs für Dienstkonten erstellen, wenn Sie Domänenadministratorrechte
besitzen.
Das Dienstprogramm Ksetup wird auf Windows Server 2008-Domänencontrollern installiert und
ist in den Windows Server 2003-Supporttools enthalten.
Das Dienstprogramm Ksetup konfiguriert einen Client, der mit einem Server unter
Windows Server 2008 verbunden ist, für die Verwendung eines Servers, auf dem Kerberos V5
ausgeführt wird. Der Client verwendet anschließend einen Kerberos V5-Bereich anstelle einer
Windows Server 2008-Domäne.
Das Dienstprogramm Ktpass wird auf Windows Server 2008-Domänencontrollern installiert und
ist in den Windows Server 2003-Supporttools enthalten.
Mit dem Dienstprogramm Ktpass können Sie einen Kerberos-Dienst, der nicht unter Windows
ausgeführt wird, als Sicherheitsprinzipal in den Windows Server 2008-AD DS konfigurieren.
Dieses Tool ist in Microsoft Windows-Server- und -Clientbetriebssystemen enthalten.
W32tm.exe wird zum Konfigurieren der Windows-Zeitdiensteinstellungen verwendet. Es kann
außerdem zum Diagnostizieren von Problemen mit dem Zeitdienst eingesetzt werden.