Nie można używać nieograniczonego delegowania protokołu Kerberos w niektórych wersjach systemu Windows

Uwaga 16.

  • Ten artykuł dotyczy systemów Windows 10, Windows 11, Windows Server 2016, Windows Server 2019 i Windows Server 2022.
  • Pełne delegowanie jest również nazywane "Delegowanie bez ograniczeń protokołu Kerberos".

Symptomy

Nie można używać serwerów połączonych ani witryn internetowych delegujących poświadczenia do programu SQL Server w systemie Windows 10, Windows Server 2016 i nowszych wersjach. Podczas testowania połączenia z połączonym serwerem zostanie wyświetlony błąd, taki jak niepowodzenie logowania użytkownika NT AUTHORITY\ANONYMOUS LOGON.

Implikacje

Jeśli używasz systemu Windows 10, Windows Server 2016 lub nowszej wersji z włączoną funkcją Credential Guard w sieci, musisz przełączyć wszystkie serwery z pełnego delegowania na używanie ograniczonego delegowania.

Jeśli spróbujesz uruchomić pakiety usług SQL Server Integration Services (SSIS) w bazie danych SSISDB z systemu zdalnego, takiego jak maszyna kliencka, za pośrednictwem programu SQL Server Management Studio, wykonanie zakończy się niepowodzeniem. Architektura usług SSIS uniemożliwia korzystanie z niej z ograniczonego delegowania. Uruchamianie zadań z lokalnego agenta SQL powinno być w porządku, o ile bazy danych zaplecza nie korzystają z serwerów połączonych.

Przyczyna

System Windows 10, Windows Server 2016 i nowsze wersje mają funkcję o nazwie Credential Guard. Ta funkcja uniemożliwia używanie poświadczeń w scenariuszach pełnego delegowania.

Rozwiązanie

Aby obejść ten problem, zamiast tego użyj ograniczonego delegowania. Jeśli wymagane jest pełne delegowanie, wyłącz funkcję Credential Guard w zasadach grupy.

Więcej informacji

Jeśli używasz systemu Windows 10, Windows Server 2016 lub nowszej wersji z włączoną funkcją Credential Guard , nie możesz użyć pełnego delegowania (ufaj temu użytkownikowi w delegowaniu do dowolnej usługi). Można używać tylko ograniczonego delegowania.

Aplikacje przerywają uwierzytelnianie, jeśli wymagają:

  • Obsługa szyfrowania DES protokołu Kerberos
  • Bez ograniczeń lub pełne delegowanie protokołu Kerberos
  • Wyodrębnianie biletu TGT protokołu Kerberos
  • NTLMv1

Aby uzyskać więcej informacji na temat zagadnień i znanych problemów podczas korzystania z funkcji Credential Guard, zobacz znane problemy.

  • Ostatnia aktualizacja o