KERBEROS Y SPN

KERBEROS Y SPN

AUTENTICACIÓN WINDOWS.

Se divide en dos tipos de autenticación NTLM y Kerberos (delegate)

NTLM. Permite autenticación entre un cliente y un servidor. Directorio activo. Permite realizar una validación de quien está diciendo quien debe ser, esto se da a través de el password y se lleva de manera plana, DA lo toma y genera un KEY o token (combinación de password+usuario)) con este es que se empieza a comunicar con los demás siempre en este ciclo.

Esta autenticación se da siempre entre servidor servidor

Es una instalación cliente servidor, ósea un salto cada que varié de un nodo a otro AD le asigna un toque diferente.

KERVEROS. KDC. Toquen de encripción para un usuario específico. Entrega una clave publica y una privada. Permite enviar credenciales bajo un toque único para todos los dispositivos que lo requieren a diferencia de NTLM. Kerveros entre varios nodos envía un token para cada salto de nodo que se requiere.

NUESTRO ESCENARIO.

Teniendo por ejemplo un escenario

Cliente-> IIS -> IIs -> SQL SERVER

Como requiero pasar por varios saltos con el mismo token, requiero configurar kerveros.

Pasos que se deben tener en cuenta en un ambiente de kerberos

1. Habilitar kerberos en las aplicaciones

2. Creamos los SPN. Solo un servicio se debe autenticar con sola una cuenta. Esto se utiliza para que se validen adecuamente con todos sus tokens.

3. Configurar kerberos en las aplicaciones.

4. Marcar cuentas servicios como Trusted for delegation -> AD

5. Policies Local -> Trusted for delegation -> AD

6. Windows+Kerberos -> Se configure en SharePoint

7. A nivel de Código. Delegation = Tipo authentication -> SharePoint

8. A nivel de IIS hay que configurar Use App Pool Credentials=Toke igualmente ApplicationHosts.config

9. Se configuran todos los ASPN.NET en los web.config

Validación a nivel de AD.

Se visualiza que los spn esten bien.

setspn -l NETVM-PSPF01

setspn -l EPMTELCO\WSSFarmUAT

setspn -l EPMTELCO\netsqlservice

Validar que las cuentas esten bien.

que tengan kerberos habilitados

• EPMTELCO\WSSFarmPROD

• EPMTELCO\BiztalkIsolatedHostP

• EPMTELCO\netsqlservice

oscar.quintero@une.com.co

Para los servidores:

• NETVM-PBIZ01-01

• NETVM-PBIZ01-02

• NETVM-PSPF01

Se crean los spn por el 8081

Setspn -A HTTP/NETVM-PSPF01.EPMTELCO.COM.CO:8081 EPMTELCO\WSSFarmPROD

Setspn -A HTTP/NETVM-PSPF01:8081 EPMTELCO\WSSFarmPROD

...