Configurar a autenticação Kerberos (SharePoint Foundation 2010)

 

Aplica-se a: SharePoint Foundation 2010

Tópico modificado em: 2016-11-30

Neste artigo:

• Sobre a autenticação Kerberos

• Antes de começar

• Configurar a autenticação Kerberos para comunicações SQL

• Criar nomes de entidades de serviço para seus aplicativos Web usando a autenticação Kerberos

• Implantar o farm de servidores

• Configurar serviços em servidores do seu farm

• Criar aplicativos Web usando a autenticação Kerberos

• Criar um conjunto de sites usando o modelo Portal de Colaboração no aplicativo Web do site de portal

• Confirmar o acesso bem-sucedido aos aplicativos Web usando a autenticação Kerberos

• Confirmar a funcionalidade de Indexação de Pesquisa correta

• Confirmar a funcionalidade de Consulta de Pesquisa correta

• Limitações de configuração

• Recursos adicionais e orientação para solução de problemas

Sobre a autenticação Kerberos

O Kerberos é um protocolo seguro que dá suporte à autenticação com tíquetes. Um servidor de autenticação Kerberos concede um tíquete em resposta a uma solicitação de autenticação de um computador cliente, caso essa solicitação contenha credenciais do usuário válidas e um SPN (nome da entidade de serviço). Em seguida, o computador cliente usa o tíquete para acessar recursos da rede. Para habilitar a autenticação Kerberos, os computadores cliente e servidor devem ter uma conexão confiável com o KDC (centro de distribuição de chaves) do domínio. O KDC distribui chaves secretas compartilhadas para habilitar a criptografia. Os computadores cliente e servidor também devem ser capazes de acessar o AD DS (Serviços de Domínio Active Directory). No AD DS, o domínio raiz da floresta é o centro de referências da autenticação Kerberos.

Para implantar um farm de servidores que execute o Microsoft SharePoint Foundation 2010 usando a autenticação Kerberos, instale e configure vários aplicativos nos seus computadores. Este artigo descreve um exemplo de farm de servidores que executa o SharePoint Foundation 2010 e oferece orientações para implantar e configurar o farm de forma a utilizar a autenticação Kerberos para oferecer suporte à seguinte funcionalidade:

• Comunicação entre o SharePoint Foundation 2010 e o software de banco de dados Microsoft SQL Server.

• Acesso ao aplicativo Web da Administração Central do SharePoint.

• Acesso a outros aplicativos Web, incluindo um aplicativo Web de site de portal e um aplicativo Web de Meu Site.

Antes de começar

Este artigo está direcionado ao pessoal de nível administrativo com os seguintes conhecimentos:

• Windows Server 2008

• Active Directory

• IIS (Serviços de Informações da Internet) 6.0 (ou IIS 7.0)

• SharePoint Foundation 2010

• Windows Internet Explorer

• Autenticação Kerberos, implementada no AD DS (Serviços de Domínio Active Directory) para o Windows Server 2008

• NLB (Balanceamento de Carga de Rede) no Windows Server 2008

• Contas de computador em um domínio do Active Directory

• Contas de usuário em um domínio do Active Directory

• Sites do IIS e suas associações e configurações de autenticação

• Identidades de pool de aplicativos do IIS para sites do IIS

• O Assistente de Configuração de Produtos do SharePoint

• Aplicativos Web do SharePoint Foundation 2010

• Páginas da Administração Central

• SPNs (nomes de entidade de serviço) e como configurá-los em um domínio do Active Directory

Este artigo não proporciona um exame detalhado da autenticação Kerberos. O Kerberos é um método de autenticação padrão do setor implementado no AD DS.

Este artigo não oferece instruções detalhadas e passo a passo para a instalação do SharePoint Foundation 2010 ou para o uso do Assistente de Configuração de Produtos do SharePoint.

Este artigo não oferece instruções detalhadas e passo a passo para o uso da Administração Central com o objetivo de criar aplicativos Web do SharePoint Foundation 2010.

Requisitos de versão de software

A orientação oferecida neste artigo e os testes executados para confirmar essa orientação se baseiam nos resultados do uso de sistemas que estejam executando o Windows Server 2008 e o Internet Explorer com as atualizações mais recentes aplicadas a partir do site Windows Update (https://go.microsoft.com/fwlink/?linkid=101614&clcid=0x416). As seguintes versões de software foram instaladas:

• Windows Server 2008, com as atualizações mais recentes no site Windows Update (https://go.microsoft.com/fwlink/?linkid=101614&clcid=0x416)

• Internet Explorer

• A última versão do SharePoint Foundation 2010

Verifique também se os seus controladores de domínio do Active Directory estão executando o Windows Server 2008 com as atualizações mais recentes aplicadas a partir do site Windows Update (https://go.microsoft.com/fwlink/?linkid=101614&clcid=0x416).

Problemas conhecidos

O SharePoint Foundation 2010 pode rastrear aplicativos Web configurados para usar a autenticação Kerberos se estes estiverem hospedados em servidores virtuais do IIS associados a portas padrão (porta TCP 80 e porta SSL 443). No entanto, a Pesquisa do SharePoint Foundation 2010 não conseguirá rastrear aplicativos Web do SharePoint Foundation 2010 configurados para usar a autenticação Kerberos se esses aplicativos Web estiverem hospedados em servidores virtuais do IIS associados a portas não padrão (portas diferentes da porta TCP 80 e da porta SSL 443). Atualmente, a Pesquisa do SharePoint Foundation 2010 só pode rastrear aplicativos Web do SharePoint Foundation 2010 hospedados em servidores virtuais do IIS associados a portas não padrão que estejam configuradas para usar a autenticação NTLM ou a autenticação Básica.

Para acesso de usuários finais usando a autenticação Kerberos, se você precisar implantar aplicativos Web que só possam ser hospedados em servidores virtuais do IIS que estejam associados a portas não padrão e se você quiser que os usuários finais obtenham resultados da consulta de pesquisa:

• Os mesmos aplicativos Web devem ser hospedados em outros servidores virtuais do IIS em portas não padrão.

• Os aplicativos Web devem ser configurados para usar a autenticação NTLM ou Básica.

• A Indexação de Pesquisa deve rastrear os aplicativos Web usando a autenticação NTLM ou Básica.

Este artigo oferece orientação para:

• Como configurar o aplicativo Web da Administração Central usando a autenticação Kerberos hospedada em um servidor virtual do IIS associado a portas não padrão.

• Como configurar aplicativos de portal e Meu Site usando a autenticação Kerberos hospedada em servidores virtuais do IIS associados a portas padrão e com uma associação de cabeçalho de host do IIS.

• Como verificar se a Indexação de Pesquisa rastreia com sucesso aplicativos Web do SharePoint Foundation 2010 usando a autenticação Kerberos.

• Como verificar se os usuários que estão acessando aplicativos Web autenticados por Kerberos conseguem obter resultados da consulta de pesquisa para esses aplicativos Web.

Histórico adicional

É importante compreender que, quando você usa a autenticação Kerberos, a funcionalidade de autenticação precisa dependerá em parte do comportamento do cliente que esteja tentando autenticar-se usando Kerberos. Em uma implantação de farm do SharePoint Foundation 2010 usando a autenticação Kerberos, o SharePoint Foundation 2010 não é o cliente. Antes de implantar um farm de servidores que esteja executando o SharePoint Foundation 2010 usando a autenticação Kerberos, é preciso compreender o comportamento dos seguintes clientes:

• O navegador (no contexto deste artigo, o navegador sempre será o Internet Explorer)

• O Microsoft .NET Framework

O navegador é o cliente usado para navegação até uma página da Web em um aplicativo Web do SharePoint Foundation 2010. Quando o SharePoint Foundation 2010 executa tarefas como o rastreamento das fontes de conteúdo locais do SharePoint Foundation 2010, o .NET Framework funciona como o cliente.

Para que a autenticação Kerberos funcione corretamente, é necessário criar SPNs no AD DS. Se os serviços aos quais esses SPNs correspondem estiverem escutando em portas não padrão, os SPNs deverão incluir números de porta. Isso serve para garantir que os SPNs sejam significativos e também é necessário para impedir a criação de SPNs duplicados.

Quando um cliente tenta acessar um recurso usando a autenticação Kerberos, ele deve criar um SPN a ser usado como parte do processo da autenticação Kerberos. Se o cliente não criar um SPN que corresponda ao SPN configurado no AD DS, a autenticação Kerberos falhará, normalmente com um erro de "Acesso negado".

Existem versões do Internet Explorer que não criam SPNs com números de porta. Se você estiver usando aplicativos Web do SharePoint Foundation 2010 associados a números de porta não padrão no IIS, talvez seja necessário direcionar o Internet Explorer de forma a incluir números de porta nos SPNs criados por ele. Em um farm que esteja executando o SharePoint Foundation 2010, o aplicativo Web da Administração Central é hospedado, por padrão, em um servidor virtual do IIS associado a uma porta não padrão. Portanto, este artigo trata dos sites do IIS associados por porta e dos sites do IIS associados a cabeçalhos de host.

Por padrão, em um farm que esteja executando o SharePoint Foundation 2010, o .NET Framework não cria SPNs com números de porta. É por isso que a Pesquisa não consegue rastrear aplicativos Web usando a autenticação Kerberos caso esses aplicativos Web estejam hospedados em servidores virtuais do IIS associados a portas não padrão.

Topologia do farm de servidores

Este artigo refere-se à seguinte topologia de farm de servidores do SharePoint Foundation 2010:

• Dois computadores executando o Windows Server 2008 que estejam atuando como servidores Web front-end com o Windows NLB configurado.

• Três computadores executando o Windows Server 2008 que estejam atuando como servidores de aplicativos. Um dos servidores de aplicativos hospeda o aplicativo Web da Administração Central. O segundo servidor de aplicativos está executando a Consulta de Pesquisa, enquanto o terceiro está executando a Indexação de Pesquisa.

• Um computador executando o Windows Server 2008 usado como o host SQL para o farm executando o SharePoint Foundation 2010. Para o cenário descrito neste artigo, você pode usar qualquer Microsoft SQL Server 2008.

Serviços de Domínio Active Directory, nomenclatura de computador e convenções NLB

O cenário descrito neste artigo usa o Active Directory, a nomenclatura de computador e as convenções NLB a seguir:

Função de servidor	Nome do domínio
Serviços de Domínio Active Directory	mydomain.net
Um servidor Web front-end executando o SharePoint Foundation 2010	wssfe1.mydomain.net
Um servidor Web front-end executando o SharePoint Foundation 2010	wssfe2.mydomain.net
Administração Central do SharePoint Foundation 2010	wssadmin.mydomain.net
Indexação de Pesquisa executando o SharePoint Foundation 2010	wsscrawl.mydomain.net
Consulta de Pesquisa executando o SharePoint Foundation 2010	wssquery.mydomain.net
Host do SQL Server que executa o SharePoint Foundation 2010	wsssql.mydomain.net

Um NLB VIP é atribuído a wssfe1.mydomain.net e a wssfe2.mydomain.net como resultado da configuração do NLB nesses sistemas. Um conjunto de nomes de host DNS apontando para esse endereço é registrado no seu sistema DNS. Por exemplo, se o NLB VIP for 192.168.100.200, você terá um conjunto de registros DNS que resolverá os seguintes nomes de DNS para esse endereço IP (192.168.100.200):

• kerbportal.mydomain.net

• kerbmysite.mydomain.net

Convenções de conta de domínio do Active Directory

O exemplo neste artigo usa as convenções de nomenclatura listadas na tabela a seguir para contas de serviço e identidades de pool de aplicativos usadas no farm que executa o SharePoint Foundation 2010.

Conta de domínio ou identidade do pool de aplicativos	Nome
Conta de administrador local Em todos os servidores que executam o SharePoint Foundation 2010 (mas não no computador host que executa o SQL Server) Para a instalação do SharePoint Foundation 2010 e para o usuário Executar como do Assistente de Configuração de Produtos do SharePoint	mydomain\pscexec
Conta de administrador local no computador host do SQL Server	mydomain\sqladmin
A conta de serviço do SQL Server usada para executar o serviço SQL Server	mydomain\wsssqlsvc
Conta de administrador do farm do SharePoint Foundation 2010	mydomain\wssfarmadmin Usada como a identidade do pool de aplicativos da Administração Central e como a conta de serviço do Serviço de Timer do SharePoint.
A identidade do pool de aplicativos do SharePoint Foundation 2010 para o aplicativo Web do site de portal	mydomain\portalpool
A identidade do pool de aplicativos do SharePoint Foundation 2010 para o aplicativo Web Meu Site	mydomain\mysitepool
Conta do serviço de pesquisa do SharePoint Foundation 2010	mydomain\wsssearch
Conta de acesso ao conteúdo de pesquisa do SharePoint Foundation 2010	mydomain\wsscrawl
Conta do serviço de pesquisa do SharePoint Foundation 2010	mydomain\wsssearch
Conta de acesso ao conteúdo do SharePoint Foundation 2010	mydomain\wsscrawl

Requisitos de configuração preliminar

Antes de instalar o SharePoint Foundation 2010 nos computadores do farm de servidores, verifique se você executou os seguintes procedimentos:

• Todos os servidores usados no farm, incluindo o host SQL, estão configurados com o Windows Server 2008, incluindo as últimas atualizações aplicadas a partir do site Windows Update (https://go.microsoft.com/fwlink/?linkid=101614&clcid=0x416).

• Todos os servidores no farm têm o Internet Explorer (e as últimas atualizações para esse programa) instaladas no site Windows Update (https://go.microsoft.com/fwlink/?linkid=101614&clcid=0x416).

• O SQL Server 2008 está instalado e em execução no computador host SQL, e o serviço SQL Server está sendo executado como a conta mydomain\sqlsvc. Uma instância padrão do SQL Server está instalada e escutando na porta TCP 1433.

• O usuário Executar como do Assistente de Configuração de Produtos do SharePoint foi adicionado:

  • Como Logon do SQL no host SQL.

  • À função DBCreators do SQL Server no host SQL.

  • À função Administradores de Segurança do SQL Server no host SQL.

Configurar a autenticação Kerberos para comunicações SQL

Configure a autenticação Kerberos para comunicações SQL antes de instalar e configurar o SharePoint Foundation 2010 nos servidores em executam o SharePoint Foundation 2010. Isso é necessário porque a autenticação Kerberos para comunicações SQL precisa ser configurada e ter o seu funcionamento confirmado para que os computadores que executam o SharePoint Foundation 2010 possam se conectar ao SQL Server.

O processo de configurar a autenticação Kerberos para qualquer serviço instalado em um computador host que execute o Windows Server 2008 inclui a criação de um SPN para a conta de domínio usada para executar o serviço no host. SPNs são formados pelas seguintes partes:

• Um Nome de Serviço (por exemplo, MSSQLSvc ou HTTP)

• Um nome de host (real ou virtual)

• Um número de porta

A lista a seguir contém exemplos de SPNs para uma instância padrão do SQL Server em execução em um computador chamado wsssql e que escuta na porta 1433:

• MSSQLSvc/wsssql:1433

• MSSQLSvc/wsssql.mydomain.com:1433

Esses são os SPNs que você criará para a instância do SQL Server no host SQL que será usado pelo farm descrito neste artigo. Você sempre deve criar SPNs que tenham um nome NetBIOS e um nome DNS completo para um host na rede.

Há métodos diferentes que você pode usar para definir um SPN para uma conta no domínio do Active Directory. Um deles é usar o utilitário SETSPN.EXE, que faz parte das ferramentas do kit de recursos para o Windows Server 2008. Outro método é usar o snap-in ADSIEDIT.MSC no controlador de domínio do Active Directory. Este artigo aborda o uso do snap-in ADSIEDIT.MSC.

Há duas etapas principais para a configuração da autenticação Kerberos para o SQL Server:

• Crie SPNs para a sua conta de serviço do SQL Server.

• Confirme se a autenticação Kerberos é usada para conectar servidores que executam o SharePoint Foundation 2010 a servidores que executam o SQL Server.

Criar os SPNs para a sua conta de serviço do SQL Server

1. Faça logon no controlador de domínio do Active Directory usando as credenciais de um usuário que tenha permissões administrativas de domínio.

2. Na caixa de diálogo Executar, digite ADSIEDIT.MSC.

3. Na caixa de diálogo Console de Gerenciamento, expanda a pasta Contêiner de Domínio.

4. Expanda a pasta Contêiner que contém as contas dos usuários, por exemplo, CN=Users.

5. Localize o contêiner da conta Serviço SQL Server; por exemplo, CN=wsssqlsvc.

6. Clique com o botão direito do mouse nessa conta e clique em Propriedades.

7. Percorra a lista de propriedades na caixa de diálogo Conta de serviço do SQL Server até encontrar servicePrincipalName.

8. Selecione a propriedade servicePrincipalName e clique em Editar.

9. No campo Valor a Adicionar, na caixa de diálogo Editor de Cadeia de Caracteres com Valores Múltiplos, digite o SPN MSSQLSvc/wsssql:1433 e clique em Adicionar. Em seguida, digite o SPN MSSQLSvc/wsssql.mydomain.com:1433 nesse campo e clique em Adicionar.

10. Clique em OK na caixa de diálogo Editor de Cadeia de Caracteres com Valores Múltiplos e clique em OK na caixa de diálogo Propriedades da conta de serviço do SQL Server.

Confirme se a autenticação Kerberos é usada para conectar servidores que executam o SharePoint Foundation 2010 ao SQL Server

Instale as Ferramentas de Cliente SQL em um dos servidores que executam o SharePoint Foundation 2010 e use as ferramentas para se conectar a partir do servidor que executa o SharePoint Foundation 2010 aos servidores que executam o SQL Server. Esse artigo não aborda as etapas de instalação das Ferramentas de Cliente SQL em um dos servidores que executam o SharePoint Foundation 2010. Os procedimentos de confirmação se baseiam nas seguintes suposições:

• Você está usando o SQL Server 2008 no host SQL.

• Você se conectou a um dos servidores que executam o SharePoint Foundation 2010 usando a conta mydomain\pscexec e instalou as Ferramentas de Cliente SQL 2005 no servidor que executa o SharePoint Foundation 2010.

1. Execute o SQL Server 2005 Management Studio.

2. Quando a caixa de diálogo Conectar ao Servidor for exibida, digite o nome do computador host do SQL (neste exemplo, esse computador é wsssql) e clique em Conectar para se conectar ao computador host do SQL.

3. Para confirmar se a autenticação Kerberos foi usada para essa conexão, execute o visualizador de eventos no computador host SQL e examine o log de eventos de Segurança. Você deve ver um registro de Auditoria com Êxito para um evento de categoria de Logon/Logoff semelhante aos dados mostrados nas seguintes tabelas:

   Tipo de Evento	Auditoria com Êxito
   Origem do Evento	Segurança
   Categoria do Evento	Logon/Logoff
   ID do Evento	540
   Data	31.10.07
   Hora	16:12:24
   Usuário	MYDOMAIN\pscexec
   Computador	WSSQL
   Descrição

   Um exemplo de um logon de rede bem-sucedido está descrito na tabela a seguir.

   Nome do Usuário	pscexec
   Domínio	MYDOMAIN
   ID de Logon	(0x0,0x6F1AC9)
   Tipo de Logon	3
   Processo de Logon	Kerberos
   Nome da Estação de Trabalho
   GUID de Logon	{36d6fbe0-2cb8-916c-4fee-4b02b0d3f0fb}
   Nome do Usuário Chamador
   Domínio do Chamador
   ID de Logon do Chamador
   ID de Processo do Chamador
   Serviços Transitados
   Endereço de Rede de Origem	192.168.100.100
   Porta de Origem	2465

Examine a entrada de log para confirmar se:

1. O nome do usuário está correto. A conta mydomain\pscexec foi conectada pela rede ao host SQL.

2. O tipo de logon é 3. Um logon do tipo 3 é um logon de rede.

3. O processo de logon e o pacote de autenticação usam a autenticação Kerberos. Isso confirma se o servidor que executa o SharePoint Foundation 2010 está usando a autenticação Kerberos para se comunicar com o host SQL.

4. O Endereço de Rede de Origem corresponde ao endereço IP do computador a partir do qual a conexão foi feita.

Se a sua conexão com o host SQL falhar com uma mensagem de erro semelhante a Não é possível gerar contexto SSPI, é provável que haja um problema com o SPN usado para a sua instância do SQL Server. Para solucionar o problema e corrigir isso, consulte o artigo sobre como solucionar a mensagem de erro "Não é possível gerar contexto SSPI" (https://go.microsoft.com/fwlink/?linkid=76621&clcid=0x416), na Base de Dados de Conhecimento Microsoft.

Criar nomes da entidade de serviço para os aplicativos Web usando a autenticação Kerberos

No que diz respeito à autenticação Kerberos, não há nada de especial em relação aos aplicativos Web do SharePoint Foundation 2010 baseados no IIS: a autenticação Kerberos trata esses aplicativos como qualquer outro site do IIS.

Esse processo requer conhecimento dos seguintes itens:

• A Classe de Serviço do SPN (no contexto desse artigo, para aplicativos Web do SharePoint Foundation 2010, essa classe é sempre HTTP).

• A URL de todos os aplicativos Web do SharePoint Foundation 2010 que usam a autenticação Kerberos.

• A parte do nome de host do SPN (real ou virtual; este artigo aborda as duas opções).

• A parte do número de porta do SPN (no cenário descrito neste artigo, são usados aplicativos Web do SharePoint Foundation 2010 baseados na porta do IIS e no cabeçalho de host).

• As contas do Windows Active Directory para as quais é necessário criar SPNs.

A tabela a seguir lista as informações do cenário descrito neste artigo:

URL	Conta do Active Directory	SPN
http://wssadmin.mydomain.net:10000	wssfarmadmin	HTTP/wssadmin.mydomain.net:10000 HTTP/wssadmin.mydomain.net:10000
http://kerbportal.mydomain.net	portalpool	HTTP/kerbportal.mydomain.net HTTP/kerbportal
http://kerbmysite.mydomain.net	mysitepool	HTTP/kerbmysite.mydomain.net HTTP/kerbmysite

Observações sobre esta tabela:

• A primeira URL listada acima é da Administração Central e usa um número de porta. Você não precisa usar a porta 10000. Este é apenas um exemplo utilizado para manter a consistência neste artigo.

• As duas URLs seguintes destinam-se ao site do portal e ao Meu Site, respectivamente.

Use as diretrizes fornecidas acima para criar os SPNs necessários no AD DS para dar suporte à autenticação Kerberos para seus aplicativos Web do SharePoint Foundation 2010. Você precisa fazer logon em um controlador de domínio no seu ambiente usando uma conta que tenha permissões administrativas de domínio. Para criar os SPNs, use o utilitário SETSPN.EXE ou o snap-in ADSIEDIT.MSC mencionados antes. Se estiver usando o snap-in ADSIEDIT.MSC, consulte as instruções fornecidas anteriormente neste artigo sobre a criação de SPNs. Certifique-se de criar os SPNs corretos para as contas certas no AD DS.

Implantar o farm de servidores

A implantação do farm de servidores inclui as seguintes etapas:

1. Instale o SharePoint Foundation 2010 em todos os servidores que executam o SharePoint Foundation 2010.

2. Execute o Assistente de Configuração de Produtos do SharePoint e crie um novo farm. Essa etapa inclui a criação de um aplicativo Web da Administração Central do SharePoint Foundation 2010 que será hospedado em um servidor virtual do IIS associado a uma porta não padrão e que usará a autenticação Kerberos.

3. Execute o Assistente de Configuração de Produtos do SharePoint e ingresse os outros servidores no farm.

4. Configure Serviços nos Servidores do farm para:

   • Serviço de Pesquisa do SharePoint Foundation 2010

   • Indexação de Pesquisa do SharePoint Foundation 2010

   • Consulta de Pesquisa do SharePoint Foundation 2010

5. Crie aplicativos Web que sejam usados para o site de portal e Meu Site, usando a autenticação Kerberos.

6. Crie um conjunto de sites usando o modelo Portal de Colaboração no aplicativo Web do site de portal.

7. Confirme o acesso bem-sucedido aos aplicativos Web usando a autenticação Kerberos.

8. Confirme a funcionalidade de Indexação de Pesquisa correta.

9. Confirme a funcionalidade de Consulta de Pesquisa correta.

Instalar o SharePoint Foundation 2010 em todos os servidores

Este é o processo direto de execução da configuração do SharePoint Foundation 2010 para instalar os binários do SharePoint Foundation 2010 nos servidores que executam o SharePoint Foundation 2010. Faça logon em todos os computadores que executam o SharePoint Foundation 2010 usando a conta mydomain\pscexec. Nenhuma instrução passo a passo é fornecida para isso. Para o cenário descrito neste artigo, execute uma instalação Completa do SharePoint Foundation 2010 em todos os servidores que exijam o SharePoint Foundation 2010.

Criar um novo farm

Para o cenário descrito neste artigo, primeiro execute o Assistente de Configuração de Produtos do SharePoint no servidor de Indexação de Pesquisa, WSSADMIN, para que o WSSADMIN hospede o aplicativo Web da Administração Central no SharePoint Foundation 2010.

No servidor chamado WSSCRAWL, quando a instalação estiver concluída, uma caixa de diálogo Instalação Concluída será apresentada, contendo uma caixa de seleção marcada para executar o Assistente de Configuração de Produtos do SharePoint. Mantenha a caixa de seleção marcada e feche a caixa de diálogo de instalação para poder executar o Assistente de Configuração de Produtos do SharePoint.

Ao executar o Assistente de Configuração de Produtos do SharePoint neste computador, siga estas etapas para criar um novo farm:

• Forneça o nome do servidor de banco de dados (neste artigo, este é o servidor chamado WSSSQL).

• Forneça um nome de banco de dados de configuração (você pode usar o padrão ou estipular um nome de sua escolha).

• Forneça as informações da conta (administrador de farm) de acesso ao banco de dados. Usando o cenário deste artigo, essa conta é a mydomain\wssfarmadmin.

• Forneça as informações necessárias para o aplicativo Web da Administração Central do SharePoint Foundation 2010. Usando o cenário neste artigo, essas informações são as seguintes:

  • Número de porta do aplicativo Web da Administração Central: 10000

  • Método de autenticação: Negociar

Depois que você fornecer todas as informações necessárias, o Assistente de Configuração de Produtos do SharePoint será concluído com êxito. Se esse for o caso, confirme se você pode acessar a home page do aplicativo Web da Administração Central do SharePoint Foundation 2010 usando a autenticação Kerberos. Para fazer isso, siga estas etapas:

1. Faça logon em um servidor diferente que execute o SharePoint Foundation 2010 ou em outro computador do domínio mydomain como mydomain\pscexec. Você não deve verificar o comportamento de autenticação Kerberos correto diretamente no computador que hospeda o aplicativo Web da Administração Central do SharePoint Foundation 2010. Isso deve ser feito em outro computador do domínio.

2. Inicie o Internet Explorer nesse servidor e tente ir até a URL: http://wssadmin.mydomain.net:10000. A home page da Administração Central será renderizada.

3. Para confirmar se a autenticação Kerberos foi usada para acessar a Administração Central, volte ao computador chamado WSSADMIN, execute o visualizador de eventos e examine o log de segurança. Você verá um registro Auditoria de Êxitos, cuja aparência é similar à seguinte tabela:

   Tipo de Evento	Auditoria com Êxito
   Origem do Evento	Segurança
   Categoria do Evento	Logon/Logoff
   ID do Evento	540
   Data	01.11.07
   Hora	14:22:20
   Usuário	MYDOMAIN\pscexec
   Computador	WSSADMIN
   Descrição

   Um exemplo de um logon de rede bem-sucedido está descrito na tabela a seguir.

   Nome do Usuário	pscexec
   Domínio	MYDOMAIN
   ID de Logon	(0x0,0x1D339D3)
   Tipo de Logon	3
   Processo de Logon	Kerberos
   Pacote de Autenticação	Kerberos
   Nome da Estação de Trabalho
   GUID de Logon	{fad7cb69-21f8-171b-851b-3e0dbf1bdc79}
   Nome do Usuário Chamador
   Domínio do Chamador
   ID de Logon do Chamador
   ID de Processo do Chamador
   Serviços Transitados
   Endereço de Rede de Origem	192.168.100.100
   Porta de Origem	2505

O exame desse registro de log mostra o mesmo tipo de informação da entrada de log anterior:

• Confirme se o nome do usuário está correto; trata-se da conta mydomain\pscexec conectada pela rede ao servidor que executa o SharePoint Foundation 2010 e que está hospedando a Administração Central.

• Confirme se o tipo de logon é 3; um tipo de logon 3 é um logon de rede.

• Confirme se o processo de logon e o pacote de autenticação usam a autenticação Kerberos. Isso confirma se a autenticação Kerberos está sendo usada para acessar o aplicativo Web da Administração Central.

• Confirme se o Endereço de Rede de Origem corresponde ao endereço IP do computador a partir do qual a conexão foi feita.

Se a home page da Administração Central não for renderizada e uma mensagem de erro não autorizado for exibida, significa que a autenticação Kerberos está falhando. Em geral, há apenas duas causas para essa falha:

• O SPN do AD DS não foi registrado para a conta correta. Ele deveria ter sido registrado para mydomain\wssfarmadmin.

• O SPN no AD DS não corresponde ao SPN que está sendo criado pelo Internet Explorer ou é inválido de alguma forma. Talvez você tenha omitido o número de porta do SPN registrado no AD DS. Verifique se essa informação está correta e se a Administração Central está funcionando, usando a autenticação Kerberos, antes de continuar.

Ingresse os outros servidores no farm

Agora que o farm foi criado e você pode acessar com êxito a Administração Central usando a autenticação Kerberos, é necessário executar o Assistente de Configuração de Produtos do SharePoint e ingressar os outros servidores no farm.

Em cada um dos quatro servidores que executam o SharePoint Foundation 2010 (wssfe1, wssfe2, wssquery e wsscrawl), a instalação do SharePoint Foundation 2010 deve estar concluída, e a caixa de diálogo de conclusão da instalação deve ser apresentada com a caixa de seleção Assistente de Configuração de Produtos do SharePoint marcada. Mantenha a caixa de seleção marcada e feche a caixa de diálogo de conclusão da instalação para poder executar o Assistente de Configuração de Produtos do SharePoint. Execute o procedimento para ingressar cada um desses servidores no farm.

Depois de concluir o Assistente de Configuração de Produtos do SharePoint em cada servidor adicionado ao farm, verifique se cada um deles pode renderizar a Administração Central que está em execução no servidor WSSADMIN. Se algum deles não conseguir renderizar a Administração Central, tome as providências necessárias para resolver o problema antes de continuar.

Configurar serviços nos servidores do farm

Configure serviços específicos do SharePoint Foundation 2010 para execução em servidores específicos que executem o SharePoint Foundation 2010 no farm, usando as contas indicadas nas próximas seções.

Acesse a Administração Central e execute as seguintes etapas para configurar os serviços nos servidores indicados, usando as contas especificadas.

Pesquisa do Windows SharePoint Services

Na página Serviços no Servidor da Administração Central:

1. Selecione o servidor WSSQUERY.

2. Na lista de serviços exibida, próximo ao meio da página, localize o serviço de Pesquisa do SharePoint Foundation 2010 e clique em Iniciar na coluna Ação.

3. Na página seguinte, forneça as credenciais da conta do serviço de pesquisa do SharePoint Foundation 2010 e da conta de Acesso ao Conteúdo do SharePoint Foundation 2010. No cenário deste artigo, a conta do serviço de pesquisa do SharePoint Foundation 2010 é mydomain\wsssearch, e a conta de acesso ao conteúdo do SharePoint Foundation 2010 é mydomain\wsscrawl. Digite os nomes das contas e as senhas nos locais apropriados na página e clique em Iniciar.

Servidor de indexação

Na página Serviços no Servidor da Administração Central:

1. Selecione o servidor WSSCRAWL.

2. Na lista de serviços exibida, próximo ao meio da página, localize o serviço de Pesquisa do SharePoint Foundation 2010 e clique em Iniciar na coluna Ação.

Na página subsequente, marque a caixa de seleção Use este servidor para indexação de conteúdo e depois forneça as credenciais da conta de serviço de pesquisa do SharePoint Foundation 2010. No cenário deste artigo, a conta de serviço de pesquisa do SharePoint Foundation 2010 é mydomain\wsssearch. Digite os nomes das contas e as senhas nos locais apropriados na página e clique em Iniciar.

Servidor de consulta

Na página Serviços no Servidor da Administração Central:

1. Selecione o servidor WSSQUERY.

2. Na lista de serviços exibida, próximo ao meio da página, localize o serviço de Pesquisa do SharePoint Foundation 2010 e clique no nome do serviço na coluna Serviço.

Na página seguinte, marque a caixa de seleção Usar este servidor para fazer consultas de pesquisa e clique em OK.

Criar aplicativos Web usando a autenticação Kerberos

Nesta seção, crie aplicativos Web usados para o site de portal e um Meu Site no farm.

Criar o aplicativo Web do site de portal

1. Na página Gerenciamento de Aplicativos na Administração Central, clique em Criar ou estender aplicativo Web.

2. Na página seguinte, clique em Criar um novo aplicativo Web.

3. Na página seguinte, verifique se a opção Criar um novo site do IIS está selecionada.

   • No campo Descrição, digite PortalSite.

   • No campo Porta, digite 80.

   • No campo Cabeçalho de Host, digite kerbportal.mydomain.net.

4. Verifique se a opção Negociar está selecionada como o provedor de autenticação desse aplicativo Web.

5. Crie esse aplicativo Web na zona Padrão. Não modifique a zona desse aplicativo Web.

6. Verifique se a opção Criar novo pool de aplicativos está selecionada.

   • No campo Nome do Pool de Aplicativos, digite PortalAppPool.

   • Verifique se a opção Configurável está selecionada. No campo Nome de usuário, digite a conta mydomain\portalpool.

7. Clique em OK.

8. Confirme se o aplicativo Web foi criado com êxito.

Criar o aplicativo Web Meu Site

1. Na página Gerenciamento de Aplicativos na Administração Central, clique em Criar ou estender aplicativo Web.

2. Na página seguinte, clique em Criar um novo aplicativo Web.

3. Na página seguinte, verifique se a opção Criar um novo site do IIS está selecionada.

   • No campo Descrição, digite MySite.

   • No campo Porta, digite 80.

   • No campo Cabeçalho de Host, digite kerbmysite.mydomain.net.

4. Verifique se a opção Negociar está selecionada como o provedor de autenticação desse aplicativo Web.

5. Crie esse aplicativo Web na zona Padrão. Não modifique a zona desse aplicativo Web.

6. Verifique se a opção Criar novo pool de aplicativos está selecionada.

   • No campo Nome do Pool de Aplicativos, digite MySiteAppPool.

   • Verifique se a opção Configurável está selecionada. No campo Nome de usuário, digite a conta mydomain\mysitepool.

7. Clique em OK.

8. Confirme se o aplicativo Web foi criado com êxito.

Criar um conjunto de sites usando o modelo Portal de Colaboração no aplicativo Web do site de portal

Nesta seção, você cria um conjunto de sites no site de portal do aplicativo Web que criou para esse propósito.

1. Na página Gerenciamento de Aplicativos da Administração Central, clique em Criar conjunto de sites.

2. Na página seguinte, selecione o aplicativo Web correto. Para o exemplo neste artigo, selecione http://kerbportal.mydomain.net.

3. Forneça o título e a descrição que você deseja usar para esse conjunto de sites.

4. Deixe o endereço do site inalterado.

5. Na seção Seleção de Modelo, em Selecionar um Modelo, clique na guia Publicação e selecione o modelo Portal de Colaboração.

6. Na seção Administrador Principal do Conjunto de Sites, digite mydomain\pscexec.

7. Especifique o Administrador do Conjunto de Sites Secundário que você deseja usar.

8. Clique em OK.

9. Confirme se o conjunto de sites do portal foi criado com êxito.

Confirmar o acesso bem-sucedido aos aplicativos Web usando a autenticação Kerberos

Confirme se a autenticação Kerberos está funcionando para os aplicativos Web recém-criados. Comece com o site de portal.

Para fazer isso, siga estas etapas:

1. Faça logon em um servidor que executa o SharePoint Foundation 2010, em vez de em um dos dois servidores Web front-end configurados para NLB como mydomain\pscexec. Você não deve verificar o comportamento da autenticação Kerberos correto diretamente em um dos computadores que hospedam sites com balanceamento de carga usando a autenticação Kerberos. Isso deve ser feito em outro computador do domínio.

2. Inicie o Internet Explorer nesse outro sistema e tente acessar a seguinte URL: http://kerbportal.mydomain.net.

A home page do site do portal com autenticação Kerberos deve ser renderizada.

Para confirmar se a autenticação Kerberos foi usada para acessar o site de portal, acesse um dos servidores Web front-end com balanceamento de carga, execute o visualizador de eventos e examine o log de segurança. Você deverá ver um registro de Auditoria com Êxito, semelhante à tabela a seguir, em um dos servidores Web front-end. Observe que talvez seja necessário examinar os dois servidores Web front-end antes de encontrar essas informações, dependendo do sistema que administrou a solicitação de balanceamento de carga.

Tipo de Evento	Auditoria com Êxito
Origem do Evento	Segurança
Categoria do Evento	Logon/Logoff
ID do Evento	540
Data	01.11.07
Hora	17:08:20
Usuário	MYDOMAIN\pscexec
Computador	wssfe1
Descrição

Um exemplo de um logon de rede bem-sucedido está descrito na tabela a seguir.

Nome do Usuário	pscexec
Domínio	MYDOMAIN
ID de Logon	(0x0,0x1D339D3)
Tipo de Logon	3
Processo de Logon	Autenticação Kerberos
Nome da Estação de Trabalho
GUID de Logon	{fad7cb69-21f8-171b-851b-3e0dbf1bdc79}
Nome do Usuário Chamador
Domínio do Chamador
ID de Logon do Chamador
ID de Processo do Chamador
Serviços Transitados
Endereço de Rede de Origem	192.168.100.100
Porta de Origem	2505

O exame desse registro de log mostra o mesmo tipo de informação da entrada de log anterior:

• Confirme se o nome do usuário está correto; trata-se da conta mydomain\pscexec conectada pela rede ao servidor Web front-end que executa o SharePoint Foundation 2010 e que está hospedando o site de portal.

• Confirme se o tipo de logon é 3; um tipo de logon 3 é um logon de rede.

• Confirme se o processo de logon e o pacote de autenticação usam a autenticação Kerberos. Isso confirma se a autenticação Kerberos está sendo usada para acessar o site de portal.

• Confirme se o Endereço de Rede de Origem corresponde ao endereço IP do computador a partir do qual a conexão foi feita.

Se a home page do site de portal não for renderizada e exibir uma mensagem de erro “não autorizado”, significa que a autenticação Kerberos está falhando. Em geral, há apenas algumas causas para isso:

• O SPN no AD DS não foi registrado para a conta correta. Ele deveria ter sido registrado para mydomain\portalpool, para o aplicativo Web do site de portal.

• O SPN no AD DS não corresponde ao SPN que está sendo criado pelo Internet Explorer ou é inválido por outro motivo. Nesse caso, como você está usando cabeçalhos de host do IIS sem explicitar números de porta, o SPN registrado no AD DS é diferente do cabeçalho de host do IIS especificado quando você estendeu o aplicativo Web. É necessário corrigir isso para fazer a autenticação Kerberos funcionar.

Quando a autenticação Kerberos estiver funcionando no site de portal, acesse Meu Site com autenticação Kerberos, usando a seguinte URL:

• http://kerbmysite.mydomain.net

Isso deve funcionar corretamente. Se isso não acontecer, consulte as etapas de solução de problemas anterior.

Confirmar a funcionalidade de Indexação de Pesquisa correta

Confirme se a Indexação de Pesquisa está rastreando com êxito o conteúdo hospedado nesse farm. Essa é a etapa que você deve executar antes de confirmar os resultados da consulta de Pesquisa para os usuários que acessam os sites usando a autenticação Kerberos.

Você deve concluir um rastreamento completo dos aplicativos Web com autenticação Kerberos antes de continuar.

Confirmar a funcionalidade de Consulta de Pesquisa correta

Para confirmar se a Consulta de Pesquisa retorna resultados para os usuários que acessam o site de portal que utiliza a autenticação Kerberos:

1. Inicie o Internet Explorer em um sistema em mydomain.net e acesse http://kerbportal.mydomain.net.

2. Quando a home page do site de portal for renderizada, digite uma palavra-chave de pesquisa no campo Pesquisar e pressione ENTER.

3. Confirme se os resultados da Consulta de Pesquisa são retornados. Se não forem, confirme se a palavra-chave inserida é válida na sua implantação, se a Indexação de Pesquisa está sendo executada corretamente, se o serviço de Pesquisa está sendo executado nos servidores de Indexação de Pesquisa e de Consulta de Pesquisa e se não há problemas com a propagação de pesquisa do seu servidor de Indexação de Pesquisa para o servidor de Consulta de Pesquisa.

Limitações de configuração

A parte do nome de host dos SPNs com novo formato (que são criados) corresponde ao nome do NetBIOS do host que executa o serviço; por exemplo: MSSP/kerbtest4:56738/SSP1. Isso ocorre porque os nomes de host são buscados no banco de dados de configuração do SharePoint Foundation 2010 e somente os nomes de computador do NetBIOS são armazenados nesse banco de dados do SharePoint Foundation 2010. Em alguns cenários, isso pode ser ambíguo.

Recursos adicionais e diretrizes para a solução de problemas

Produto/tecnologia	Recurso
SQL Server	Artigo sobre como assegurar que você esteja usando a autenticação Kerberos ao criar uma conexão remota com uma instância do SQL Server 2005 (https://go.microsoft.com/fwlink/?linkid=85942&clcid=0x416)
SQL Server	Artigo sobre como solucionar a mensagem de erro "Não é possível gerar contexto SSPI" (https://go.microsoft.com/fwlink/?linkid=82932&clcid=0x416)
.NET Framework	Artigo sobre a propriedade AuthenticationManager.CustomTargetNameDictionary (https://go.microsoft.com/fwlink/?linkid=120460&clcid=0x416)
Internet Explorer	Artigo sobre a Mensagem de erro no Internet Explorer quando você tenta acessar um site que requer a autenticação Kerberos em um computador com Windows XP: "Erro HTTP 401 - Não autorizado: acesso negado devido a credenciais inválidas" (https://go.microsoft.com/fwlink/?linkid=120462&clcid=0x416)
Autenticação Kerberos	Artigo de referência técnica da autenticação Kerberos (https://go.microsoft.com/fwlink/?linkid=78646&clcid=0x416)
Autenticação Kerberos	Artigo sobre solução de problemas para erros Kerberos (https://go.microsoft.com/fwlink/?linkid=93730&clcid=0x416)
Autenticação Kerberos	Artigo sobre a transição do protocolo Kerberos e delegação restrita (https://go.microsoft.com/fwlink/?linkid=100941&clcid=0x416)
IIS	Artigo sobre como configurar cabeçalhos de host SSL (IIS 6.0) (https://go.microsoft.com/fwlink/?linkid=120463&clcid=0x416)