Numele de gazdă al proxy-ului face parte dintr-o autentificare Kerberos
Aliniați numele proxy-ului din client cu principalul de serviciu HTTP și cu keytab-ul folosite de proxy.
Autentificarea automată de domeniu la un proxy HTTP poate folosi Negotiate și Kerberos. Clientul are nevoie de un bilet pentru serviciul proxy, nu doar de o parolă de site memorată.
Pentru un proxy anunțat ca proxy.example.net, un principal de serviciu poate avea această formă:
HTTP/[email protected]Numele de gazdă folosit de client, principalul de serviciu înregistrat și keytab-ul proxy-ului trebuie să corespundă implementării. Configurația Kerberos a Squid documentează principalul de serviciu HTTP și utilizarea acelui material de cheie de către helper.
Folosirea unei adrese IP sau a unui alt alias poate schimba selecția obișnuită a numelui de serviciu. Înainte de a schimba parolele utilizatorilor, stabiliți ce nume de proxy a folosit efectiv clientul și ce mecanism de autentificare s-a încheiat sau a eșuat.
Negotiate este un mecanism de negociere. Windows poate selecta Kerberos sau poate reveni la NTLM în condițiile aplicabile; simpla vedere a cuvântului Negotiate nu dovedește că schimbul Kerberos a reușit.
Mențineți utilizarea automată a acreditărilor în limita politicii de client și de domeniu prevăzute pentru acest proxy. O sesiune normală de browser și un serviciu care rulează sub alt cont pot obține acreditări și rezultate de autorizare diferite.