Habilitar suporte para autenticação Kerberos

Se você planeja usar o Active Directory Rights Management Services (AD RMS) com a autenticação Kerberos, deverá seguir etapas adicionais para configurar o servidor que executa o AD RMS após a instalação da função de servidor AD RMS e a configuração do servidor. Especificamente, você deve executar esses procedimentos:

• Definir a variável useAppPoolCredentials dos Serviços de Informações da Internet (IIS) como Verdadeira
  
  
• Definir o valor Nomes da Entidade de Serviço (SPN) para a conta de serviço do AD RMS
  
  

Fazer parte do grupo local Administradores Corporativos do AD RMS e do grupo local Administradores Corporativos do AD DS, ou equivalente, é o mínimo necessário para realizar esse procedimento.

1. Abra uma janela de prompt de comando elevada. Para abrir uma janela de Prompt de Comando elevada, clique em Iniciar, aponte para Todos os Programas, clique em Acessórios, clique com o botão direito do mouse em Prompt de Comando e clique em Executar como administrador.

2. Navegue até %windir%\system32\inetsrv.

3. Digite appcmd.exe set config -section:system.webServer/security/authentication/windowsAuthentication -useAppPoolCredentials:true.

Importante
Para executar os procedimentos a seguir com êxito, a conta de serviço do AD RMS deverá estar na mesma floresta que o cluster AD RMS. Além disso, se você alterar a conta de serviço do AD RMS, será necessário excluir os registros SPN da conta de serviço anterior e, em seguida, executar esse procedimento para a nova conta de serviço.

1. Abra uma janela de prompt de comando elevada. Para abrir uma janela de Prompt de Comando elevada, clique em Iniciar, aponte para Todos os Programas, clique em Acessórios, clique com o botão direito do mouse em Prompt de Comando e clique em Executar como administrador.

2. Digite setspn -a HTTP/<ServerName> <ServiceAccountDomain>\<ServiceAccount>, onde <ServerName> é o nome do servidor, <ServiceAccountDomain> é o nome do domínio que contém a conta de serviço do AD RMS e <ServiceAccount> é o nome da conta de serviço do AD RMS.

3. Digite setspn -a HTTP/<ServerFQDN> <ServiceAccountDomain>\<ServiceAccount>, onde <ServerFQDN> é o nome de domínio totalmente qualificado (FQDN) do servidor.

4. Digite setspn -a HTTP/<ClusterName> <ServiceAccountDomain>\<ServiceAccount>, onde <ClusterName> é o nome do cluster AD RMS.

5. Digite setspn -a HTTP/<ClusterFQDN> <ServiceAccountDomain>\<ServiceAccount>, onde <ClusterFQDN> é o nome de domínio totalmente qualificado (FQDN) do cluster.

Observação
Se o cluster estiver usando SSL, repitas as etapas de 2 a 5, substituindo HTTPS por HTTP.

Referência adicional