שם המארח של ה-proxy הוא חלק מכניסת Kerberos

אימות תחום אוטומטי מול proxy של HTTP יכול להשתמש ב-Negotiate וב-Kerberos. הלקוח זקוק לכרטיס עבור שירות ה-proxy, ולא רק לסיסמת אתר שמורה.

עבור proxy שמפורסם בשם proxy.example.net, ל-service principal יכול להיות הצורה הזו:

HTTP/[email protected]

שם המארח שהלקוח משתמש בו, ה-service principal הרשום וה-keytab של ה-proxy חייבים להתאים לפריסה. תצורת ה-Kerberos של Squid מתעדת את ה-HTTP service principal ואת השימוש של העוזר בחומר המפתח הזה.

שימוש בכתובת IP או בכינוי אחר יכול לשנות את בחירת שם השירות הרגילה. לפני שינוי סיסמאות משתמשים, קבעו באיזה שם proxy השתמש הלקוח בפועל ואיזה מנגנון אימות הושלם או נכשל.

Negotiate הוא מנגנון משא ומתן. Windows יכול לבחור ב-Kerberos או לחזור ל-NTLM בתנאים החלים; עצם הראייה של המילה Negotiate אינה מוכיחה שחילופי ה-Kerberos הצליחו.

שמרו על שימוש אוטומטי בהרשאות בתוך מדיניות הלקוח והתחום המיועדת ל-proxy הזה. הפעלת דפדפן רגילה ושירות שרץ תחת חשבון אחר יכולים לקבל הרשאות ותוצאות אימות שונים.