Testen der Konfiguration des Kerberos-Kontos, das einem Standort in Lync Server 2013 zugewiesen ist

  • Artikel

 

Letzte Änderung: 05.06.2014

Überprüfungszeitplan

Täglich

Testtool

Windows PowerShell

Erforderliche Berechtigungen

Bei der lokalen Ausführung mithilfe der Lync Server-Verwaltungsshell müssen Benutzer Mitglieder der Sicherheitsgruppe RTCUniversalServerAdmins sein.

Wenn sie mit einer Remoteinstanz von Windows PowerShell ausgeführt werden, müssen Benutzern eine RBAC-Rolle zugewiesen werden, die über die Berechtigung zum Ausführen des Test-CsKerberosAccountAssignment-Cmdlets verfügt. Um eine Liste aller RBAC-Rollen anzuzeigen, die dieses Cmdlet verwenden können, führen Sie den folgenden Befehl an der Windows PowerShell Eingabeaufforderung aus:

Get-CsAdminRole | Where-Object {$_.Cmdlets -match "Test-CsKerberosAccountAssignment"}

Beschreibung

Mit dem cmdlet Test-CsKerberosAccountAssignment können Sie überprüfen, ob ein Kerberos-Konto einer bestimmten Website zugeordnet ist, ob dieses Konto ordnungsgemäß konfiguriert ist und ob das Konto wie erwartet funktioniert. Kerberos-Konten sind Computerkonten, die als Authentifizierungsprinzipal für alle Computer an einem Standort dienen können, auf denen Internetinformationsserver (IIS) ausgeführt wird. Da diese Konten das Kerberos-Authentifizierungsprotokoll verwenden, werden die Konten als Kerberos-Konten bezeichnet, und der neue Authentifizierungsprozess wird als Kerberos-Webauthentifizierung bezeichnet. Auf diese Weise können Sie alle IIS-Server mit einem einzigen Konto verwalten.

Weitere Informationen finden Sie in der Hilfedokumentation für das Cmdlet Test-CsKerberosAccountAssignment .

Ausführen des Tests

Standardmäßig zeigt Test-CsKerberosAccountAssignment nur eine sehr geringe Ausgabe auf dem Bildschirm an. Stattdessen werden vom Cmdlet zurückgegebene Informationen in eine HTML-Datei geschrieben. Aus diesem Grund wird empfohlen, den Parameter "Verbose" und den Parameter "Report" jedes Mal einzuschließen, wenn Sie Test-CsKerberosAccountAssignment ausführen. Der Parameter "Verbose" bietet etwas detailliertere Ausgabe auf dem Bildschirm, während das Cmdlet ausgeführt wird. Mit dem Parameter Report können Sie einen Dateipfad und einen Dateinamen für die HTML-Datei angeben, die von Test-CsKerberosAccountAssignment generiert wird. Wenn Sie den Parameter "Report" nicht angeben, wird die HTML-Datei automatisch im Ordner "Users" gespeichert und erhält einen Ähnlichen Namen wie den folgenden: ce84964a-c4da-4622-ad34-c54ff3ed361f.html.

Sie müssen auch eine Websiteidentität angeben, wenn Sie Test-CsKerberosAccountAssignment ausführen. Kerberos-Konten werden auf Standortebene zugewiesen.

Der folgende Befehl führt Test-CsKerberosAccountAssignment aus und speichert die Ausgabe in einer Datei mit dem Namen C:\Logs\KerberosTest.html:

Test-CsKerberosAccountAssignment -Identity "site:Redmond" -Report "C:\Logs\KerberosTest.html" -Verbose

Weitere Informationen finden Sie in der Hilfedokumentation für das Cmdlet Test-CsKerberosAccountAssignment .

Bestimmen von Erfolg oder Fehler

Das cmdlet Test-CsKerberosAccountAssignment gibt keinen einfachen Hinweis auf Erfolg oder Fehler zurück. Stattdessen müssen Sie die generierte HTML-Datei mithilfe von Internet Explorer anzeigen.

Gründe, warum der Test möglicherweise fehlgeschlagen ist

Hier sind einige häufige Gründe, warum Test-CsKerberosAccountAssignment möglicherweise fehlschlägt:

  • Möglicherweise haben Sie eine falsche Websiteidentität angegeben. Verwenden Sie den folgenden Befehl, um eine Liste der gültigen Websiteidentität zurückzugeben:

    Get-CsSite | Select-Identity Identity

    Eine Websiteidentität sieht in der Regel wie folgt aus:

    standort:Redmond

  • Der angegebenen Website ist möglicherweise kein Kerberos-Konto zugewiesen. Sie können feststellen, ob ein Kerberos-Konto einer Website zugewiesen ist, indem Sie einen Befehl wie den folgenden ausführen:

    Get-CsKerberosAccountAssignment -Identity "site:Redmond"

  • Ihr Kerberos-Konto verfügt möglicherweise über ein ungültiges Kennwort. Wenn Sie die folgende Fehlermeldung im Bericht erhalten, müssen Sie wahrscheinlich das Kennwort des Kerberos-Kontos zurücksetzen:

    InvalidKerberosConfiguration: Die Kerberos-Konfiguration ist ungültig.

    InvalidKerberosConfiguration: Die Kerberos-Konfiguration auf atl-cs001.litwareinc.com ist ungültig. Das erwartete zugewiesene Konto ist litwareinc\kerberostest. Stellen Sie sicher, dass das Konto nicht abgelaufen ist und das konfigurierte Kennwort auf dem Computer mit dem Active Directory-Kennwort des Kontos übereinstimmt.

    Sie können das Kennwort mithilfe des Cmdlets Set-CsKerberosAccountPassword festlegen.