Der Hostname des Proxys gehört zu einer Kerberos-Anmeldung
Richten Sie den Proxynamen des Clients am HTTP-Dienstprinzipal und am Keytab aus, die der Proxy verwendet.
Die automatische Domänenanmeldung an einem HTTP-Proxy kann Negotiate und Kerberos verwenden. Der Client benötigt ein Ticket für den Proxydienst, nicht nur ein gespeichertes Website-Passwort.
Für einen Proxy, der als proxy.example.net angekündigt wird, kann ein Dienstprinzipal diese Form haben:
HTTP/[email protected]Der vom Client verwendete Hostname, der registrierte Dienstprinzipal und der Keytab des Proxys müssen zur Bereitstellung passen. Die Kerberos-Konfiguration von Squid dokumentiert den HTTP-Dienstprinzipal und die Verwendung dieses Schlüsselmaterials durch den Helper.
Die Verwendung einer IP-Adresse oder eines anderen Alias kann die gewöhnliche Dienstnamenauswahl verändern. Bevor Sie Benutzerpasswörter ändern, klären Sie, welchen Proxynamen der Client tatsächlich verwendet hat und welcher Authentifizierungsmechanismus erfolgreich war oder fehlgeschlagen ist.
Negotiate ist ein Aushandlungsmechanismus. Windows kann Kerberos auswählen oder unter den geltenden Bedingungen auf NTLM zurückfallen; das Wort Negotiate beweist nicht, dass der Kerberos-Austausch erfolgreich war.
Halten Sie die automatische Verwendung von Anmeldeinformationen innerhalb der Client- und Domänenrichtlinie, die für diesen Proxy vorgesehen ist. Eine normale Browsersitzung und ein Dienst, der unter einem anderen Konto läuft, können unterschiedliche Anmeldeinformationen und Autorisierungsergebnisse erhalten.