(0) exportieren Drucken
Alle erweitern
Dieser Artikel wurde manuell übersetzt. Bewegen Sie den Mauszeiger über die Sätze im Artikel, um den Originaltext anzuzeigen. Weitere Informationen
Übersetzung
Original

Registrieren eines Dienstprinzipalnamens für Kerberos-Verbindungen

Themenstatus: Einige Informationen in diesem Thema sind vorläufig und können in zukünftigen Versionen geändert werden. In den Vorabinformationen werden neue Funktionen oder Änderungen an vorhandenen Funktionen in Microsoft SQL Server 2014 beschrieben.

Die Kerberos-Authentifizierung kann mit SQL Server verwendet werden, wenn die beiden folgenden Bedingungen erfüllt sind:

  • Der Client- und der Servercomputer müssen Teil der gleichen Windows-Domäne sein oder sich in vertrauenswürdigen Domänen befinden.

  • Ein Dienstprinzipalname (Service Principal Name, SPN) muss in Active Directory registriert sein. Dieser Dienst nimmt die Rolle des Schlüsselverteilungscenters (KDC) in einer Windows-Domäne an. Der Dienstprinzipalname wird, wenn er registriert wurde, dem Windows-Konto zugeordnet, mit dem der SQL Server-Instanzendienst gestartet wurde. Wenn die Registrierung des Dienstprinzipalnamens nicht erfolgt oder dabei ein Fehler aufgetreten ist, kann die Windows-Sicherheitsschicht nicht das Konto bestimmen, das dem Dienstprinzipalname zugewiesen ist. Das bedeutet, die Kerberos-Authentifizierung wird nicht verwendet.

    Hinweis Hinweis

    Wenn der Server den Dienstprinzipalnamen nicht automatisch registrieren kann, muss der Dienstprinzipalname manuell registriert werden. Siehe Manuelle SPN-Registrierung.

Durch Abfragen der dynamischen Verwaltungssicht sys.dm_exec_connections können Sie überprüfen, ob eine Verbindung Kerberos verwendet. Führen Sie die folgende Abfrage aus, und überprüfen Sie den Wert der Spalte auth_scheme. Wenn Kerberos aktiviert ist, lautet dieser "KERBEROS".

SELECT auth_scheme FROM sys.dm_exec_connections WHERE session_id = @@spid ;
TippTipp

Microsoft Kerberos-Konfigurations-Manager für SQL Server ist ein Diagnosetool zur Behebung Kerberos-bezogener Verbindungsprobleme bei SQL Server. Weitere Informationen finden Sie unter Microsoft Kerberos-Konfigurations-Manager für SQL Server.

Wenn eine Anwendung eine Verbindung öffnet und die Windows-Authentifizierung verwendet, übergibt der SQL Server Native Client den SQL Server-Computernamen, -Instanznamen und optional einen SPN. Wenn die Verbindung einen Dienstprinzipalnamen übergibt, wird dieser ohne Änderungen verwendet.

Wenn die Verbindung keinen Dienstprinzipalnamen übergibt, wird ein Standard-Dienstprinzipalname basierend auf verwendetem Protokoll, Servernamen und Instanzennamen erstellt.

In beiden Szenarien wird der Dienstprinzipalname an das Schlüsselverteilungscenter gesendet, um ein Sicherheitstoken zum Authentifizieren der Verbindung abzurufen. Wenn kein Sicherheitstoken abgerufen werden kann, verwendet die Authentifizierung NTLM.

Ein Dienstprinzipalname (SPN, Service Principal Name) ist der Name, über den ein Client eine Instanz eines Diensts eindeutig identifiziert. Der Kerberos-Authentifizierungsdienst kann einen SPN zum Authentifizieren eines Diensts verwenden. Wenn ein Client eine Verbindung zu einem Dienst herstellen möchte, sucht er eine Instanz des Diensts, verfasst einen SPN für diese Instanz, stellt eine Verbindung zum Dienst her und übergibt den SPN zur Authentifizierung an den Dienst.

Hinweis Hinweis

Die Informationen in diesem Thema gelten auch für SQL Server-Konfigurationen, die Clustering verwenden.

Die bevorzugte Methode für die Authentifizierung von Benutzern bei SQL Server ist Windows-Authentifizierung. Clients, die Windows-Authentifizierung verwenden, werden mit NTLM oder Kerberos authentifiziert. In einer Active Directory-Umgebung wird immer zuerst Kerberos-Authentifizierung ausgeführt. Die Kerberos-Authentifizierung ist für SQL Server 2005-Clients, die Named Pipes verwenden, nicht verfügbar.

Beim Starten des Database Engine (Datenbankmodul)-Diensts versucht dieser, den Dienstprinzipalnamen (Service Principal Name, SPN) zu registrieren. Wenn das Konto, das SQL Server startet, nicht über die Berechtigung zum Registrieren eines SPN in den Active Directory-Domänendiensten verfügt, schlägt dieser Aufruf fehl, und im Anwendungsereignisprotokoll sowie im SQL Server-Fehlerprotokoll wird eine Warnmeldung protokolliert. Um den SPN zu registrieren, muss Database Engine (Datenbankmodul) unter einem integrierten Konto, z. B. einem lokalen System (nicht empfohlen) oder NETWORK SERVICE, oder unter einem Konto mit Berechtigung zum Registrieren eines SPN, z. B. einem Domänenadministratorkonto, ausgeführt werden. Wenn SQL Server unter dem Betriebssystem Windows 7 oder Windows Server 2008 R2 ausgeführt wird, können Sie SQL Server mit einem virtuellen Konto oder einem verwalteten Dienstkonto (MSA) ausführen. Sowohl virtuelle Konten als auch MSAs können einen SPN registrieren. Wird unter SQL Server kein solches Konto ausgeführt, wird der SPN beim Starten nicht registriert, sodass der Domänenadministrator den SPN manuell registrieren muss.

Hinweis Hinweis

Wenn die Windows-Domäne zum Ausführen auf einer geringeren Ebene als der Windows Server 2008 R2 Windows Server 2008 R2-Funktionsebene konfiguriert ist, verfügt das verwaltete Dienstkonto nicht über die notwendigen Berechtigungen zum Registrieren der SPNs für den SQL Server Database Engine (Datenbankmodul)-Dienst. Ist die Kerberos-Authentifizierung erforderlich, muss der Domänenadministrator die SQL Server-SPNs über das verwaltete Dienstkonto manuell registrieren.

Der KB-Artikel Verwenden der Kerberos-Authentifizierung in SQL Server enthält Informationen zum Gewähren von Lese- und Schreibberechtigungen für einen SPN für ein Nicht-Domänenadministratorkonto.

Weitere Informationen sind unter Implementieren von eingeschränkter Kerberos-Delegierung mit SQL Server 2008 verfügbar

In SQL Server 2008 wurde das SPN-Format geändert, um die Kerberos-Authentifizierung unter TCP/IP, Named Pipes und Shared Memory zu unterstützen. Die folgenden SPN-Formate für benannte und Standardinstanzen werden unterstützt.

Benannte Instanz

  • MSSQLSvc/FQDN:[port | instancename], wobei:

    • MSSQLSvc der Dienst ist, der registriert wird.

    • FQDN der vollqualifizierte Domänenname des Servers ist.

    • port die TCP-Portnummer ist.

    • instancename der Name der SQL Server-Instanz ist.

Standardinstanz

  • MSSQLSvc/FQDN:port | MSSQLSvc/FQDN, wobei:

    • MSSQLSvc der Dienst ist, der registriert wird.

    • FQDN der vollqualifizierte Domänenname des Servers ist.

    • port die TCP-Portnummer ist.

Beim neuen SPN-Format ist keine Portnummer erforderlich. Somit können Server mit mehreren Ports oder Protokolle ohne Portnummern Kerberos-Authentifizierung verwenden.

Hinweis Hinweis

Bei TCP/IP-Verbindungen, bei denen der TCP-Port im SPN enthalten ist, muss SQL Server das TCP-Protokoll für einen Benutzer aktivieren, um mithilfe der Kerberos-Authentifizierung eine Verbindung herzustellen.

MSSQLSvc/fqdn:port

Der vom Anbieter erstellte Standard-SPN, wenn TCP verwendet wird. port ist eine TCP-Portnummer.

MSSQLSvc/fqdn

Der vom Anbieter erstellte Standard-SPN für eine Standardinstanz, wenn ein anderes Protokoll als TCP verwendet wird. fqdn ist ein vollqualifizierter Domänenname.

MSSQLSvc/fqdn:InstanceName

Der vom Anbieter erstellte Standard-SPN für eine benannte Instanz, wenn ein anderes Protokoll als TCP verwendet wird. InstanceName ist der Name einer Instanz von SQL Server.

Beim Starten einer Instanz von SQL Server Database Engine (Datenbankmodul) versucht SQL Server, den SPN für den SQL Server-Dienst zu registrieren. Wird die Instanz beendet, versucht SQL Server, die Registrierung des SPN wieder aufzuheben. Bei TCP/IP-Verbindungen wird der SPN im folgenden Format registriert: MSSQLSvc/<FQDN>:<tcpport>. Sowohl benannte Instanzen als auch die Standardinstanz werden als MSSQLSvc registriert, wobei der <tcpport>-Wert zur Unterscheidung der Instanzen dient.

Bei anderen Verbindungen, die Kerberos unterstützen, wird der SPN im Format MSSQLSvc/<FQDN>:<instancename> für eine benannte Instanz registriert. Die Standardinstanz wird im folgenden Format registriert: MSSQLSvc/<FQDN>.

Die Registrierung bzw. die Aufhebung der Registrierung eines SPN muss möglicherweise manuell durchgeführt werden, wenn der Dienst nicht über die Berechtigungen für diese Aktionen verfügt.

Um den SPN manuell zu registrieren, muss der Administrator das Setspn.exe-Tool verwenden, das mit den Microsoft Windows Server 2003-Supporttools geliefert wird. Weitere Informationen finden Sie im KB-Artikel Supporttools in Windows Server 2003 Service Pack 1.

Setspn.exe ist ein Befehlszeilentool, mit dem Sie die SPN-Verzeichniseigenschaft lesen, ändern und löschen können. Mit diesem Tool können Sie auch die aktuellen SPN anzeigen, die Standard-SPN des Kontos zurücksetzen und zusätzliche SPN hinzufügen oder löschen.

Im folgenden Beispiel wird die Syntax dargestellt, mit der ein SPN für eine TCP/IP-Verbindung manuell registriert wird.

setspn -A MSSQLSvc/myhost.redmond.microsoft.com:1433 accountname

Hinweis   Wenn bereits ein SPN vorhanden ist, muss er gelöscht werden, bevor er erneut registriert werden kann. Verwenden Sie dafür den setspn-Befehl und den -D-Schalter. In den folgenden Beispielen wird veranschaulicht, wie Sie einen neuen instanzbasierten SPN manuell registrieren können. Verwenden Sie für die Standardinstanz Folgendes:

setspn -A MSSQLSvc/myhost.redmond.microsoft.com accountname

Verwenden Sie für eine benannte Instanz Folgendes:

setspn -A MSSQLSvc/myhost.redmond.microsoft.com:instancename accountname

Clienttreiber unterstützen vom Benutzer angegebene SPN. Wenn jedoch kein SPN angegeben wurde, wird er auf der Grundlage des Clientverbindungstyps automatisch erstellt. Bei einer TCP-Verbindung wird ein SPN im Format MSSQLSvc/FQDN:[port] sowohl für benannte als auch für Standardinstanzen verwendet.

Bei Named-Pipes- und Shared-Memory-Verbindungen wird ein SPN im Format MSSQLSvc/FQDN:instancename für eine benannte Instanz und im Format MSSQLSvc/FQDN für die Standardinstanz verwendet.

Verwenden eines Dienstkontos als SPN

Dienstkonten können als SPN verwendet werden. Sie werden durch das Verbindungsattribut für die Kerberos-Authentifizierung angegeben und liegen in den folgenden Formaten vor:

  • benutzername@domäne oder domäne\benutzername für ein Domänenbenutzerkonto

  • computer$@domäne oder host\FQDN für ein Computerdomänenkonto, z. B. Lokales System oder NETWORK SERVICES.

Um die Authentifizierungsmethode einer Verbindung zu bestimmen, führen Sie die folgende Abfrage aus.

SELECT net_transport, auth_scheme 
FROM sys.dm_exec_connections 
WHERE session_id = @@SPID;

In der folgenden Tabelle werden die Authentifizierungsstandardwerte beschrieben, die auf Grundlage von SPN-Registrierungsszenarios verwendet werden.

Szenario

Authentifizierungsmethode

Der SPN ist dem richtigen Domänenkonto, virtuellen Konto, MSA oder integrierten Konto zugeordnet. Beispiel: Lokales System oder NETWORK SERVICE.

Hinweis Hinweis

"Richtig" bedeutet in diesem Fall, dass es sich bei dem Konto, das dem registrierten SPN zugeordnet ist, um das Konto handelt, unter dem der SQL Server-Dienst ausgeführt wird.

Lokale Verbindungen verwenden NTLM, Remoteverbindungen verwenden Kerberos.

Der SPN entspricht dem richtigen Domänenkonto, virtuellen Konto, MSA oder integrierten Konto.

Hinweis Hinweis

"Richtig" bedeutet in diesem Fall, dass es sich bei dem Konto, das dem registrierten SPN zugeordnet ist, um das Konto handelt, unter dem der SQL Server-Dienst ausgeführt wird.

Lokale Verbindungen verwenden NTLM, Remoteverbindungen verwenden Kerberos.

Der SPN ist einem falschen Domänenkonto, virtuellen Konto, MSA oder integrierten Konto zugeordnet.

Die Authentifizierung schlägt fehl.

Die SPN-Suche schlägt fehl, oder der SPN ist nicht dem richtigen Domänenkonto, virtuellen Konto, MSA oder integrierten Konto zugeordnet bzw. entspricht nicht dem richtigen Domänenkonto, virtuellen Konto, MSA oder integrierten Konto.

Lokale Verbindungen und Remoteverbindungen verwenden NTLM.

Die dedizierte Administratorverbindung (Dedicated Administrator Connection, DAC) verwendet einen auf Instanznamen basierenden SPN. Die Kerberos-Authentifizierung kann mit einer DAC verwendet werden, wenn dieser SPN erfolgreich registriert wurde. Alternativ kann ein Benutzer den Kontonamen als SPN festlegen.

Wenn die SPN-Registrierung beim Starten fehlschlägt, wird dieser Fehler im Fehlerprotokoll von SQL Server aufgezeichnet, und der Startvorgang wird fortgesetzt.

Wenn die Aufhebung der SPN-Registrierung beim Herunterfahren fehlschlägt, wird dieser Fehler im Fehlerprotokoll von SQL Server aufgezeichnet, und das Herunterfahren wird fortgesetzt.

Fanden Sie dies hilfreich?
(1500 verbleibende Zeichen)
Vielen Dank für Ihr Feedback.

Community-Beiträge

HINZUFÜGEN
Anzeigen:
© 2014 Microsoft