probleme mit IIS 6.0 kerberos spn falsch gesetzt

[boerner 10]

hi board,

 

wir haben ein kleines problem.

wir haben unseren iis an einen anderen standort umgezogen und gleich auch einen neuen server dafeur genommen, also auch gleich neuer name etc.

im dns sind pointer und alias records mit dem alten namen des iis-servers gesetzt, die auf die neue ip zeigen.

nun haben wir folgendes problem in unserem intranet.

unsere user melden sich an ueber die integrierte autentifizierung und koennen auch erstmal arbeiten, nach 30 minuten fragt der ie allerdings erneut nach der autorisierung und zwar ueber den netbios name und nicht ueber den fqdn. fuer den netbios namen ist allerdings kein spn gesetzt und deshalb kommt die autentifizierung nicht durch.

meine frage nun: unter welchem account auf dem iis setze ich den spn im ad neu ?

ich hab mir schon mit der setspn.exe ein wenig angelesen finde da aber keine eindeutigen aussagen mit denen ich ein produktiv system eingreifen will.

 

danke schon einmal fuer euer hilfe

[Velius 10]

Hi

 

 

....unter welchem account auf dem iis setze ich den spn im ad neu

 

Mit dem Account, unter welchem der IIS läuft, also üblicherweise 'local System', was bedeutet der lokale Computer.

Aber eigentlich ist die Frage falsch: Du musst lediglich den IIS-SPN für den Computer der den IIS beherbergt im AD neu setzen - that's it (natürlich muss der zu gebrauchende Account SPN schreibrechte auf das Computer Objekt in AD haben - ein Domain Admin hat sowas).

 

 

cheers

Velius

[boerner 10]

also kann ich auf dem iis mit meinem account (domadmin) mit hilfe der setspn die spn´s fuer fqdn und netbios neu setzen ?

[Velius 10]

Ja, müsste klappen.

 

 

Mach aber noch ne Sicherung vom IIS & AD falls du dir nicht sicher bist.

[boerner 10]

sicher bin ich mir schon was ich setzen muss nur unter welchem account halt nicht ;)

da auf dem system nen paar tausend leute arbeiten werde ich mich nochmal direkt bei ms schlau machen.

 

aber erstmal danke fuer deine hilfe

[Velius 10]

Wie gesagt, der Account ist eigentlich wurst - das macht den SPN nicht 'anders'. Er muss bloss genug Rechte dafür haben.