Waarom één proxyverzoek om een wachtwoord vraagt terwijl Kerberos voor andere werkt
Vind de beleidsregel die één verzoek een onverwacht proxy-authenticatiedomein toewijst, zelfs wanneer andere verzoeken Kerberos met succes gebruiken.
Meerdere verzoeken gebruiken Kerberos met succes via de proxy van het bedrijf. Eén verzoek levert een wachtwoordprompt op. Controleer voordat u een keytab vervangt welk authenticatiebeleid dat specifieke verzoek heeft gekozen.
Een gateway kan via beleid een domein en ondersteunde schema's kiezen. Twee transacties die vanaf dezelfde browser dezelfde proxy bereiken, hoeven niet dezelfde authenticatievereisten te krijgen.
Bekijk dit hypothetische spoor:
| Transactie | Eerste overeenkomende beleid | Beschikbare authenticatie |
|---|---|---|
| Hoofddocument | Beheerde navigatieregel | Negotiate |
| Script vanaf een andere host | Eerdere bestemmingsuitzondering | Basic of NTLM |
De eerste geslaagde uitwisseling toont aan dat één gekozen pad werkt. Het toont niet aan dat de tweede transactie dat pad heeft bereikt. Een referentie kan geldig zijn terwijl de regel die het authenticatiemechanisme kiest onjuist is.
Onderzoek de gekozen regel en de volgorde ervan
Correleer de bestemming en tijd van het uitgedaagde verzoek met het beleidsspoor van de gateway. Identificeer het domein, de schemakeuzes en de authenticatiemodus die de eerste toepasselijke regel oplevert. Vergelijk die waarden met een geslaagd verzoek van dezelfde client.
Beleid op basis van een aan IP gekoppelde identiteit kan zich ook anders gedragen dan beleid dat authenticatie op een verbinding vereist. Ga er niet van uit dat het ontbreken van een nieuwe handshake betekent dat hetzelfde domein is gekozen.
Als de resource in een onbedoelde uitzondering terechtkwam, corrigeer die regel of het bereik ervan en bekijk het resulterende spoor. Het overal verruimen van toegestane authenticatiemethoden kan de mismatch verbergen, maar verandert het toegangsgedrag voor ongerelateerd verkeer.
Als het beoogde domein is gekozen en de verwachte uitwisseling mislukt, ga dan verder met het bewijs rond account en Kerberos. Dan worden het ticket, de servicenaam of backenddiagnostiek relevant.