Pourquoi une requête proxy demande un mot de passe alors que Kerberos fonctionne pour les autres
Trouvez la règle de stratégie qui attribue à une requête un domaine d'authentification proxy inattendu, même lorsque d'autres requêtes utilisent Kerberos avec succès.
Plusieurs requêtes utilisent Kerberos avec succès via le proxy de l'entreprise. Une requête déclenche une invite de mot de passe. Avant de remplacer un keytab, vérifiez quelle stratégie d'authentification cette requête précise a sélectionnée.
Une passerelle peut choisir un domaine et des schémas pris en charge au moyen d'une stratégie. Deux transactions atteignant le même proxy depuis le même navigateur ne reçoivent pas nécessairement les mêmes exigences d'authentification.
Considérez cette trace hypothétique :
| Transaction | Première règle correspondante | Authentification disponible |
|---|---|---|
| Document principal | Règle de navigation gérée | Negotiate |
| Script depuis un autre hôte | Exception de destination antérieure | Basic ou NTLM |
Le premier échange réussi montre qu'un chemin sélectionné fonctionne. Il ne montre pas que la seconde transaction a emprunté ce chemin. Un identifiant peut être valide alors que la règle qui choisit son mécanisme d'authentification est erronée.
Examiner la règle sélectionnée et son ordre
Corrélez la destination et l'heure de la requête contestée avec la trace de stratégie de la passerelle. Identifiez le domaine, les choix de schéma et le mode d'authentification produits par la première règle applicable. Comparez ces valeurs à une requête réussie du même client.
Une stratégie fondée sur une identité associée à une IP peut aussi se comporter différemment d'une stratégie exigeant une authentification sur la connexion. Ne supposez pas que l'absence de nouvelle poignée de main signifie que le même domaine a été choisi.
Si la ressource est tombée dans une exception involontaire, corrigez cette règle ou sa portée et examinez la trace obtenue. Élargir les méthodes d'authentification autorisées partout peut masquer l'incohérence, mais modifie le comportement d'accès d'un trafic sans rapport.
Si le domaine voulu est sélectionné et que l'échange attendu échoue, passez aux preuves du compte et de Kerberos. C'est alors que le ticket, le nom du service ou les diagnostics du backend deviennent pertinents.