Miks üks puhverserveri päring küsib parooli, samal ajal kui Kerberos töötab teistel
Leidke poliitikareegel, mis määrab ühele päringule ootamatu puhverserveri autentimisrealm'i, isegi kui teised päringud kasutavad Kerberost edukalt.
Mitmed päringud kasutavad ettevõtte puhverserveri kaudu Kerberost edukalt. Üks päring tekitab parooliküsimuse. Enne keytab'i asendamist kontrollige, millise autentimispoliitika see konkreetne päring valis.
Lüüs saab poliitika kaudu valida realm'i ja toetatud skeemid. Kaks tehingut, mis jõuavad samasse puhverserverisse samast brauserist, ei pea saama samu autentimisnõudeid.
Mõelge sellele hüpoteetilisele jäljele:
| Tehing | Esimene sobiv reegel | Saadaolev autentimine |
|---|---|---|
| Põhidokument | Hallatud sirvimisreegel | Negotiate |
| Skript teisest hostist | Varasem sihtkoha erand | Basic või NTLM |
Esimene õnnestunud vahetus näitab, et üks valitud tee töötab. See ei näita, et teine tehing sellele teele jõudis. Mandaat võib olla kehtiv, samal ajal kui selle autentimismehhanismi valiv reegel on vale.
Uurige valitud reeglit ja selle järjestust
Seostage väljakutsutud päringu sihtkoht ja aeg lüüsi poliitikajäljega. Tehke kindlaks realm, skeemivalikud ja autentimisrežiim, mille toodab esimene kohaldatav reegel. Võrrelge neid väärtusi sama kliendi õnnestunud päringuga.
IP-ga seotud identiteedil põhinev poliitika võib samuti käituda teisiti kui ühendusel autentimist nõudev poliitika. Ärge eeldage, et uue kätlusprotsessi puudumine tähendab sama realm'i valimist.
Kui ressurss sattus soovimatusse erandisse, parandage see reegel või selle ulatus ja vaadake saadud jälg üle. Lubatud autentimismeetodite laiendamine kõikjal võib lahknevuse varjata, kuid muudab asjassepuutumatu liikluse juurdepääsukäitumist.
Kui soovitud realm on valitud ja oodatud vahetus ebaõnnestub, liikuge konto ja Kerberose tõendite juurde. Just siis muutuvad oluliseks pilet, teenuse nimi või taustasüsteemi diagnostika.