Porque um pedido de proxy pede palavra-passe enquanto o Kerberos funciona para outros
Encontre a regra de política que atribui um domínio de autenticação de proxy inesperado a um pedido, mesmo quando outros pedidos usam Kerberos com sucesso.
Vários pedidos usam Kerberos com sucesso através do proxy da empresa. Um pedido produz um pedido de palavra-passe. Antes de substituir um keytab, verifique qual política de autenticação esse pedido específico selecionou.
Um gateway pode escolher um domínio e esquemas suportados através de política. Dois pedidos que chegam ao mesmo proxy a partir do mesmo navegador não têm de receber os mesmos requisitos de autenticação.
Considere este rasto hipotético:
| Pedido | Primeira regra correspondente | Autenticação disponível |
|---|---|---|
| Documento principal | Regra de navegação gerida | Negotiate |
| Script de outro anfitrião | Exceção de destino anterior | Basic ou NTLM |
O primeiro intercâmbio bem-sucedido mostra que um caminho selecionado funciona. Não mostra que o segundo pedido chegou a esse caminho. Uma credencial pode ser válida enquanto a regra que escolhe o seu mecanismo de autenticação está errada.
Inspecione a regra selecionada e a sua ordem
Correlacione o destino e a hora do pedido desafiado com o rasto de política do gateway. Identifique o domínio, as escolhas de esquema e o modo de autenticação produzidos pela primeira regra aplicável. Compare esses valores com um pedido bem-sucedido do mesmo cliente.
Uma política baseada numa identidade associada a IP também pode comportar-se de forma diferente de uma que exige autenticação na ligação. Não assuma que a ausência de um novo handshake significa que o mesmo domínio foi escolhido.
Se o recurso caiu numa exceção não intencional, corrija essa regra ou o seu âmbito e reveja o rasto resultante. Alargar os métodos de autenticação permitidos em toda a parte pode ocultar a discrepância, mas altera o comportamento de acesso do tráfego não relacionado.
Se o domínio pretendido for selecionado e o intercâmbio esperado falhar, avance para as provas da conta e do Kerberos. É então que o bilhete, o nome do serviço ou o diagnóstico do backend se tornam relevantes.