Warum eine Proxy-Anfrage ein Passwort verlangt, während Kerberos für andere funktioniert
Finden Sie die Richtlinienregel, die einer einzelnen Anfrage eine unerwartete Proxy-Authentifizierungsdomäne zuweist, obwohl andere Anfragen Kerberos erfolgreich nutzen.
Mehrere Anfragen nutzen Kerberos erfolgreich über den Unternehmensproxy. Eine Anfrage erzeugt eine Passwortabfrage. Prüfen Sie vor dem Austausch eines Keytabs, welche Authentifizierungsrichtlinie genau diese Anfrage ausgewählt hat.
Ein Gateway kann über Richtlinien eine Domäne und unterstützte Verfahren wählen. Zwei Transaktionen, die denselben Proxy von demselben Browser aus erreichen, müssen nicht dieselben Authentifizierungsanforderungen erhalten.
Betrachten Sie diesen hypothetischen Verlauf:
| Transaktion | Erste passende Richtlinie | Verfügbare Authentifizierung |
|---|---|---|
| Hauptdokument | Verwaltete Browserregel | Negotiate |
| Skript von einem anderen Host | Frühere Zielausnahme | Basic oder NTLM |
Der erste erfolgreiche Austausch zeigt, dass ein gewählter Pfad funktioniert. Er zeigt nicht, dass die zweite Transaktion diesen Pfad erreicht hat. Ein Anmeldeinformationssatz kann gültig sein, während die Regel, die sein Authentifizierungsverfahren auswählt, falsch ist.
Die ausgewählte Regel und ihre Reihenfolge prüfen
Verknüpfen Sie Ziel und Zeitpunkt der abgefragten Anfrage mit dem Richtlinienverlauf des Gateways. Bestimmen Sie Domäne, Verfahrensauswahl und Authentifizierungsmodus, die die erste anwendbare Regel erzeugt. Vergleichen Sie diese Werte mit einer erfolgreichen Anfrage desselben Clients.
Eine Richtlinie auf Basis einer IP-verknüpften Identität kann sich ebenfalls anders verhalten als eine, die eine Authentifizierung auf der Verbindung verlangt. Gehen Sie nicht davon aus, dass das Fehlen eines neuen Handshakes bedeutet, es sei dieselbe Domäne gewählt worden.
Ist die Ressource in eine unbeabsichtigte Ausnahme geraten, korrigieren Sie diese Regel oder ihren Geltungsbereich und prüfen Sie den resultierenden Verlauf. Das Ausweiten erlaubter Authentifizierungsmethoden überall kann die Abweichung verdecken, verändert aber das Zugriffsverhalten für unabhängigen Datenverkehr.
Wenn die beabsichtigte Domäne gewählt ist und der erwartete Austausch scheitert, gehen Sie zu den Konto- und Kerberos-Nachweisen über. Dann werden Ticket, Dienstname oder Backend-Diagnose relevant.