将应用程序池作为具有SPN注册域的gMSA运行后，Kerberos不再工作

Question

我有一个在IIS中为Windows身份验证配置的应用程序，以前在作为本地应用程序池标识运行时分发Kerberos票证。

因为我可能想在Amazon ELB后面的多个服务器上运行该应用程序，所以我做了以下事情：

• 注册了一个群组管理服务帐户
• aspnet_regiis -GA
• 修改了应用程序池以作为该组托管服务帐户运行
• 为FQDN添加了SPN，即http/mysite.mydomain.test和https/mysite.mydomain.test，并验证了它们是否存在

但是，当我尝试立即进行身份验证时，我只会在响应中获得Authorization: NTLM而不是Authorization: Negotiate ...

我的问题是：如何调试为什么会发生这种情况，即为什么IIS不再发回Kerberos票证？

Answer 1

您是否已将SPN添加到群组托管服务帐户？

检查重复的SPN？ （setspn -x）

转到您网站上的Windows身份验证提供程序，然后将Negotiate移到NTLM之上，或者只删除NTLM。要么它会起作用，要么你会得到一个错误，可以帮助你追踪它。