![在 Win/AD 中,kerberos 身份验证是否要求服务帐户相同?](https://linux22.com/image/559391/%E5%9C%A8%20Win%2FAD%20%E4%B8%AD%EF%BC%8Ckerberos%20%E8%BA%AB%E4%BB%BD%E9%AA%8C%E8%AF%81%E6%98%AF%E5%90%A6%E8%A6%81%E6%B1%82%E6%9C%8D%E5%8A%A1%E5%B8%90%E6%88%B7%E7%9B%B8%E5%90%8C%EF%BC%9F.png)
我正在尝试找出在 WireShark 跟踪中看到的 KRB5KDC_ERR_BADOPTION (13) 的原因。
我已设置 SPN,将 xxx/server.fqdn:port 与 xxx 服务在目标服务器上运行的域帐户关联(我们称之为 domain\target)。将充当委托人的服务器服务在不同的服务帐户(例如 domain\delegate)上运行。这允许吗?还是所有服务都需要在同一个服务帐户下运行(即,目标服务和中间人服务所使用的服务帐户使用同一个 AD 服务帐户运行,并为与同一个 AD 服务帐户关联的两个服务设置适当的 SPN)