Comprobar que la autenticación de modo kernel esté deshabilitada

Temas relacionados

Para comprobar que la autenticación de modo kernel esté deshabilitada en ambos servidores:

Abra el Administrador de IIS.
Seleccione el sitio web de IIS que se va a comprobar.
En la vista Características de IIS, haga doble clic en el icono Autenticación.
Seleccione Autenticación de Windows y asegúrese de que esté habilitada.
Haga clic en Configuración avanzada.
Compruebe que tanto EAP como la autenticación de modo kernel estén deshabilitadas.

Asegurarse de que los clientes puedan conectarse a los puertos de Kerberos en el rol de Active Directory

Volver al principio

Para utilizar la autenticación Kerberos, los clientes tendrán que solicitar vales de concesión de vales (TGT) y vales de servicio (ST) al Centro de distribución de claves (KDC) a través del puerto 88 de UDP o TCP. De forma predeterminada, al instalar el rol de Active Directory en Windows Server 2008 y posterior, el rol configurará las siguientes reglas de entrada para permitir esta comunicación de forma predeterminada:

Centro de distribución de claves Kerberos – PCR (TCP de entrada)
Centro de distribución de claves Kerberos – PCR (UDP de entrada)
Centro de distribución de claves Kerberos (TCP de entrada)
Centro de distribución de claves Kerberos (UDP de entrada)

Asegúrese de que estas reglas estén habilitadas en su entorno y de que los clientes puedan conectar con el KDC (controlador de dominio) a través del puerto 88.

Probar la autenticación del explorador

Volver al principio

Después de haber configurado Active Directory, DNS y SharePoint Server, puede probar si la autenticación Kerberos está configurada correctamente explorando las aplicaciones web. Al realizar las pruebas en el explorador, asegúrese de que se cumplan las siguientes condiciones:

El usuario de prueba ha iniciado sesión en un equipo Windows XP, Windows Vista o Windows 7 unido al dominio en el que está instalado SharePoint Server o el usuario de prueba ha iniciado sesión en un dominio de confianza del dominio de SharePoint Server.
El usuario de prueba utiliza Internet Explorer 7.0 o posterior (Internet Explorer 6.0 ya no se admite en SharePoint Server 2010). Consulte Planeación de exploradores admitidos (SharePoint Server 2010).
La autenticación integrada de Windows está habilitada en el explorador. En el menú Herramientas de Internet Explorer, haga clic en Opciones de Internet. Haga clic en la pestaña Opciones avanzadas y asegúrese de que Habilitar autenticación integrada de Windows* en la sección Seguridad:
La intranet local está configurada para iniciar sesión en los clientes de forma automática. En el menú Herramientas de Internet Explorer, haga clic en Opciones de Internet. Haga clic en la pestaña Seguridad, haga clic en el icono Intranet local y haga clic en Nivel personalizado. Desplácese hacia abajo y asegúrese de haber seleccionado Inicio de sesión automático solo en la zona de intranet.
Nota: Se puede configurar el inicio de sesión automático en otras zonas, pero el tema de prácticas recomendadas para zonas de seguridad de IE está fuera del ámbito de esta guía. En este ejemplo se utilizará la zona de intranet para todas las pruebas.
Asegúrese de haber seleccionado Detectar redes intranet automáticamente. En el menú Herramientas de Internet Explorer, haga clic en Opciones de Internet. Haga clic en la pestaña Seguridad, haga clic en Intranet local y, a continuación, en Sitios.
Si utiliza nombres de dominio completos (FQDN) para tener acceso a las aplicaciones web de SharePoint Server, asegúrese de que los FQDN estén incluidos en la zona de intranet, ya sea explícitamente o mediante inclusión con caracteres comodín (por ejemplo, «*.vmlab.local»).

Una vez que se cumplan las condiciones anteriores, la forma más fácil de determinar si se está utilizando la autenticación Kerberos es iniciar sesión en una estación de trabajo de pruebas y navegar al sitio web en cuestión. Si no se le solicitan las credenciales al usuario y el sitio se presenta correctamente, puede suponer que la autenticación integrada de Windows funciona. El paso siguiente es determinar si se ha usado el protocolo de negociación para negociar la autenticación Kerberos como el proveedor de autenticación de la solicitud. Esto puede llevarse a cabo mediante la comprobación de los registros de seguridad del servidor de la siguiente manera:

Ver los registros de seguridad

Volver al principio

Si la autenticación Kerberos funciona correctamente, verá eventos de inicio de sesión en los registros de eventos de seguridad de los servidores front-end web con id. de evento = 4624.

En la información general de estos eventos, debería ver el id. de seguridad que inicia sesión en el equipo, así como el proceso de inicio de sesión utilizado, que debería ser Kerberos.

Ahora, Kerberos debería estar completamente autenticado e incluido en su entorno.

¿Necesita ayuda?

Volver al principio

Si tras añadir Kerberos a su entorno, Central y Workflow no funcionan correctamente, póngase en contacto con el equipo de soporte de Winshuttle en info@winshuttle.com.