windows - 将 Kerberos 与 DCOM 一起使用时是否需要 SPN？

Question

我使用 DCOM 在 Windows 网络上提供各种应用程序服务，使用 Kerberos 处理身份验证。该系统通常运行良好，但我在从单独的(受信任的)域访问服务时遇到了问题。特别是，该服务无法回调客户端应用程序，收到错误“发生安全包特定错误”。此外，如果我调整服务以明确要求 Kerberos 身份验证(而不是使用 SNEGO/协商)，客户端甚至无法调用服务器(再次收到“发生安全包特定错误”)。

令人困惑的是，事情多年来一直没有问题。然而，与我们之前所做的相比，这里有一些不同之处。其一，涉及的服务器运行的是 Windows 2008，我以前没有使用过。此外，如上所述，仅当从单独域的帐户访问服务时才会发生错误，而以前的使用从未尝试过这种情况。

现在回答问题:我没有为此 DCOM 服务使用 SPN(服务主体名称)，但一些错误和事件日志让我认为这可能是问题所在。但是，我发现的所有文档都不清楚这是否正确，或者如果我确实需要，我将如何设置 SPN。 有人确定我在这里缺少的是否是 SPN 吗？如果是这样，您能告诉我应该如何完成吗？

其他详细信息:

对于服务器设置为强制Kerberos认证的场景，开启Extended RPC Debugging提供了一些额外的线索。客户端可以使用 CoCreateInstanceEx 成功连接，但服务接口(interface)上的调用失败，如上所述。 RPC 错误记录显示位置 140 发生错误，错误代码为 0x80090303(“指定的目标未知或无法访问”)，该记录的第三个参数为空字符串。这表明缺少 SPN 是罪魁祸首。

Answer 1

就其值(value)而言，根据定义，Kerberos 需要 SPN。您也许可以利用内置的 SPNS (host/) 和主机暗示的各种风格(这个别名翻译存储在 AD 中，但就我的生活而言，我似乎无法找到文章列表在哪里这是找到的)。

我将从查看跨域身份验证开始 - 使用 kerberos 可能会很棘手。我会先打开完整的 kerberos logging在客户端和服务器上，看看是否有任何结果。