sql - SSRS 2016 native 双跳 Windows 身份验证

Question

我自己和另一个管理员一直在尝试解决我们新报告服务器上的双跳身份验证问题(报告以经过身份验证的用户身份运行，但无法委托(delegate)给数据源并返回“NT Authority\Anonymous”身份验证错误)，我们似乎进入了死胡同。这是关于我们的设置的一些信息。

我们在一台服务器上安装了 SSRS 2016，我们的报告数据源在另一台服务器上。我们已完成以下步骤来尝试启用身份验证

1. 在报告服务器上设置组策略以启用凭据委派
2. 确保报表服务器上的 SSRS 和 MSSQLsrv 为运行这两项服务的服务帐户设置了正确的 SPN:
   • http/NetBIOS:80 域\服务名
   • http/FQDN.contoso.com:80 域\服务名
   • mssqlsvc/FQDN.contoso.com:1433 域\服务名
3. 在服务帐户上启用 Kerberos 委派，并确保“帐户敏感且无法委派”。复选框未选中
4. 在 RSReportServer.config 文件中将标签切换为 <RSWindowsNegotiate/>
5. 重启服务

我们在尝试连接报表服务器上的数据源时仍然收到错误，甚至通过浏览器连接到网页时出现问题。奇怪的是，我们尝试在报告服务器上设置一个链接服务器，配置安全性以在执行命令的用户下运行，并且能够在链接服务器上成功执行双跳，但仍然无法从 SSRS 进行。

数据源是否需要在服务帐户下运行，或者是否可以在 SQL 的本地服务帐户下运行？服务帐户是否需要对服务器所在的 OU 具有委派权限？我可能还缺少哪些其他元素？

Answer 1

我们在 6 个多月后终于解决了这个问题。

为 SSRS 服务帐户设置 SPN 后(您只需要 http/NetBIOS:80 domain\servicename 和 http/FQDN.contoso.com:80 domain\servicename)，您需要在 SSRS 服务帐户上设置委派选项卡包含“信任此用户以委派任何服务”或“仅信任此用户以委派指定服务...”从您尝试查询的数据源中选择 MSSQLSRV 服务.

我们误以为这个委托(delegate)是为了指定报表服务器上的哪些服务需要被允许传递 Kerberos 票证，而不是这个服务帐户被允许代表用户将它们发送到哪些服务器。

结果了解到，只要有正确的SPN，数据源sql server运行的是什么服务账户并不重要，OU委派与这种类型的Kerberos委派无关。