Help Center> FOUNDATION Help

Gilt für:

  • Winshuttle Foundation

Kerberos-Konfiguration

Zurück zu

Kerberos-Konfiguration

Diese Anweisungen zeigen Ihnen, wie Kerberos als Authentifizierungsprotokoll für Ihre Version von SharePoint 2010 Server konfiguriert werden kann, auf der Winshuttle Central, Winshuttle Workflow, Winshuttle Designer und Winshuttle Server Dienste ausgeführt werden.

Zum Beispiel sind nachfolgend SharePoint, Winshuttle Central und Winshuttle Workflow auf einem Server installiert (zum Beispiel SPServer), während der Winshuttle Server auf einem anderen Server installiert ist (WSServer).

Konfigurieren von DNS für Winshuttle-Server:

Zurück zum Anfang
  1. Erstellen Sie ein neues DNS „WinshuttleSvr“, das in der WSServer-IP aufgelöst wird.
  2. Im DNS erstellen Sie einen Datensatz für die IP-Adresse Ihrer Winshuttle Website (unten angezeigt).

Konfigurieren von Active Directory

Zurück zum Anfang
  1. Erstellen Sie zwei Benutzerkonten, die auf beiden Computern konfiguriert werden:
    • SharePoint-Dienstanwendung Dienstkonten: „mydomain\spuser1“
    • Winshuttle Serveranwendung Dienstkonten: „mydomain\wsuser1“
  2. Konfigurieren Sie jede Webanwendung so, dass sie ihren eigenen IIS-Anwendungspool mit eigenem Sicherheitskontext ausführt (Anwendungs-Pool-ID).

Webanwendung

Identität des IIS-Anwendungspools

SharePoint mit Central

mydomain\spuser1

Winshuttle Server

mydomain\wsuser1

Konfigurieren von Dienstprinzipalnamen (SPNs):

Konfigurieren Sie für jedes Dienstkonto einen Satz an Dienstprinzipalnamen (SPNs), welche den DNS-Hostnamen zugeordnet sind, die jeder Webanwendung zugewiesen sind.

Wichtige Hinweise:

  • Für eine Netzwerk-Lastausgleichumgebung (Software oder Hardware) müssen Sie die SPNs auf den Namen des Lastausgleichs oder des Clusters anstatt der einzelnen Servernamen einstellen.
  • Das SPN-Konto an dem Standardport ist Pflicht, selbst wenn die Anwendung an einem anderen Port läuft.

DNS-Host

Identität des IIS-Anwendungspools

Dienstprinzipalnamen (SPNs)

SPServer.mydomain

mydomain\spuser1

HTTP/SPServer

HTTP/SPServer.mydomain

WinshuttleSyr.mydomain

mydomain\wsuser1

HTTP/WinshuttleSvr

HTTP/WinshuttleSvr.mydomain

Um Dienstprinzipalnamen zu erstellen, führen Sie folgende Befehle aus:

SetSPN -S HTTP/SPServer mydomain\spuser1

SetSPN -S HTTP/SPServer.mydomain mydomain\spuser1

SetSPN -S HTTP/WinshuttleSvr mydomain\wsuser1

SetSPN -S HTTP/WinshuttleSvr.mydomain mydomain\wsuser1

Hinweis:Der Befehl SetSPN setzt voraus, dass beide Dienste auf dem Standardport ausgeführt werden. Wenn eine Anwendung auf einem anderen Port ausgeführt wird, so muss dieser zum Befehl „setspn“ hinzugefügt werden. Beispiel: Wenn Winshuttle Server an Port 8033 ausgeführt wird, dann sollte folgender Befehl verwendet werden, um SPNs zu erstellen:

SetSPN -S HTTP/WinshuttleSvr mydomain\wsuser1

SetSPN -S HTTP/WinshuttleSvr.mydomain mydomain\wsuser1

SetSPN -S HTTP/WinshuttleSvr:8033 mydomain\wsuser1

SetSPN -S HTTP/WinshuttleSvr.mydomain:8033 mydomain\wsuser1

Konfigurieren Sie die eingeschränkte Kerberos-Delegierung für Computer und Dienstkonten.

Zurück zum Anfang

Konfigurieren Sie den Benutzer „spuser1“ für die Delegierung unter Dienstprinzipalnamen

Prinzipaltyp

Prinzipalname

Delegierung zu Dienst

Benutzer

Spuser1

HTTP/WinshuttleSyr

HTTP/WinshuttleSyr.mydomain

Konfigurieren der Delegierung:

  1. Öffnen Sie den Active Directory-Benutzer und das Computer-Snap-in.
  2. Wählen Sie für den Benutzer spuser1 „Benutzer bei Delegierungen angegebener Dienste vertrauen“ und „Nur Kerberos verwenden“.
  3. Klicken Sie auf „Hinzufügen“, um Dienste für diesen Benutzer (Dienstkonto) hinzuzufügen, an die er delegieren darf. Um einen SPN auszuwählen, schlagen Sie das Objekt nach, auf das der SPN angewendet wurde. In diesem Beispiel wird versucht, an einen HTTP-Dienst zu delegieren, was bedeutet, das nach dem Dienstkonto „wsuser1“ gesucht werden muss.
  4. Klicken Sie im Dialogfenster Benutzer oder Computer auswählen auf Benutzer und Computer, suchen Sie nach dem IIS-Anwendungspool-Dienstkonto (in diesem Beispiel mydomain\wsuser1) und klicken Sie anschließend auf OK. Sie werden daraufhin aufgefordert, die Dienste, die den Objekten zugeordnet wurden, nach Dienstprinzipalnamen auszuwählen.
  5. Klicken Sie im Dialogfenster Dienste hinzufügen auf Alle und anschließend auf OK.

    Hinweis: Wenn Sie zum Delegierungsdialogfeld zurückkehren, werden nicht automatisch alle ausgewählten SPNs angezeigt. Um alle SPNs anzuzeigen, wählen Sie das Kontrollkästchen „Erweitert“ in der linken unteren Ecke.

Konfigurieren des SharePoint Servers

Zurück zum Anfang
  1. Erstellen Sie einen Webdienst auf SPServer, der für Central und Workflow verwendet wird. In diesem Beispiel wurde diese Anwendung an dem Standardport erstellt, da SPNs an dem Standardport erstellt werden. Die Einstellungen werden in folgender Tabelle angegeben.

    Element

    Einstellung

    Einstellung

    http://SPServer Webanwendung

    Authentifizierung

    Klassischer Modus

    IIS-Website

    Name: SharePoint - Portal - 80

    Port: 80

    Sicherheitseinstellungen

    Authentifizierungsanbieter: Verhandeln

    Anonym zulassen: Nein

    Secure Socket Layer (SSL) verwenden: Nein

    Anwendungspool

    Name: SharePoint - Portal80

    Sicherheitskonto: mydomain\spuser1

  2. Erstellen Sie eine neue Websitesammlung für Central und installieren Sie Workflow auf dieser Website.