プロキシのホスト名は Kerberos ログインの一部です

HTTP プロキシへの自動ドメイン認証では Negotiate と Kerberos を使えます。クライアントが必要とするのはプロキシ サービス用のチケットであり、記憶された Web サイトのパスワードだけではありません。

proxy.example.net として告知されたプロキシでは、サービスプリンシパルは次の形式になります。

HTTP/[email protected]

クライアントが使うホスト名、登録されたサービスプリンシパル、プロキシの keytab は展開に合っていなければなりません。Squid の Kerberos 設定は HTTP サービスプリンシパルと、ヘルパーによるその鍵素材の利用を文書化しています。

IP アドレスや別のエイリアスを使うと、通常のサービス名の選択が変わる可能性があります。ユーザーのパスワードを変更する前に、クライアントが実際に使ったプロキシ名と、どの認証方式が完了または失敗したかを特定してください。

Negotiate はネゴシエーション方式です。Windows は適用される条件の下で Kerberos を選ぶことも NTLM にフォールバックすることもあり、Negotiate という語が見えるだけでは Kerberos 交換が成功した証拠にはなりません。

自動的な資格情報の利用は、このプロキシ向けに意図されたクライアントとドメインのポリシーの範囲内に保ってください。通常のブラウザー セッションと別のアカウントで動くサービスでは、得られる資格情報や承認結果が異なることがあります。