![同名新服务器加入域后出现 Kerberos 问题](https://linux22.com/image/599825/%E5%90%8C%E5%90%8D%E6%96%B0%E6%9C%8D%E5%8A%A1%E5%99%A8%E5%8A%A0%E5%85%A5%E5%9F%9F%E5%90%8E%E5%87%BA%E7%8E%B0%20Kerberos%20%E9%97%AE%E9%A2%98.png)
环境:Windows Server 2012,2 个域控制器,1 个域。
- 名为 Sharepoint1 的服务器已加入域(使用 NTLM 运行 Sharepoint 2013)。
- 执行 Sharepoint1(OS 和 Sharepoint)的全新安装,并为 Kerberos 进行设置,并使用相同名称加入域。为帐户 SPFarm 添加了 HTTP/sharepoint1 和 HTTP/sharepoint1.somedomain.net 的两个 SPN。
- Active Directory 显示单个、非重复的计算机帐户,其中包含第一个服务器的创建日期和第二个服务器创建的修改日期。
- 域中还有一台单独的服务器,该服务器已添加到服务器管理器中的所有服务器中。此服务器在事件中显示本地错误,如下所示来自 Technet(Kerberos 错误 4 - KRB_AP_ERR_MODIFIED)。
问题:
有人能帮助我了解问题是否是:
- 计算机帐户仍然是旧帐户,并导致 Kerberos 票证不匹配(AD 中的某些管理功能可能会阻止这种情况发生)
- (以我对 Kerberos 和 SPN 的有限理解)用于 SPN 的 SPFarm 帐户与 Windows Server 2012 中的远程服务器管理工具服务发出的 HTTP 调用存在某种不匹配的情况
- 完全不同的东西?
我倾向于第一种,因为我在另一台服务器上测试了相同的 SPN,但似乎没有导致相同的问题。如果是这种情况,可以轻松安全地修复吗?是否有适当的方法来重置帐户,或者更好的方法是删除并重新添加帐户?虽然听起来很简单,只需使用一些 powershell 或在 AD 用户和计算机中单击即可,但我不确定这会对现有服务器(尤其是运行 SharePoint 的服务器)产生什么影响。最安全、最简单的方法是什么?
谢谢!
答案1
计算机帐户仍然是旧帐户,导致 Kerberos 票证不匹配
加入第二台服务器的用户有足够的权限来修改机器帐户。虽然机器帐户仍然是“旧帐户”,但它已被更改,并且不再适用于第一台服务器。
最安全和最简单的方法是什么?
我假设这台服务器没有投入生产;我之前已经通过断开/重新连接第一台服务器或任何你想保留的服务器来解决这个问题。你也可以尝试重置帐户,但我更成功的方法是完全重新加入。我不记得断开主机是否会让 SharePoint 不高兴(我已经有一段时间没有管理 SP 主机了),但应该没问题。第二台同名的服务器也需要断开并重新加入(使用新名称)。