Help Center > Foundation Help

S’applique à :

  • Winshuttle Foundation

Configuration de Kerberos

Revenir à

Configuration de Kerberos

Ces instructions expliquent comment configurer Kerberos comme protocole d’authentification pour le serveur SharePoint 2010 qui exécute Winshuttle Central, Winshuttle Workflow et les services Winshuttle Designer et Winshuttle Server.

À titre de référence, dans l’exemple suivant, SharePoint, Winshuttle Central et Winshuttle Workflow sont installés sur un serveur (SPServer, par exemple), et Winshuttle Server est installé sur un autre serveur (WSServer).

Configuration de DNS pour Winshuttle Server :

Retour au début
  1. Créez un service DNS « WinshuttleSvr » dont la résolution est l'adresse WSServer.
  2. Dans le service DNS, créer un enregistrement A pour votre adresse IP du site Winshuttle (voir ci-dessous).

Configuration d’Active Directory

Retour au début
  1. Créez deux comptes utilisateur à configurer sur les deux machines :
    • Comptes de service de l’application SharePoint : "mondomaine\spuser1"
    • Comptes de service de l’application Winshuttle : "mondomaine\wsuser1"
  2. Configurez chaque application Web pour qu'elle exécute son propre pool d'applications IIS avec son propre contexte de sécurité (identité du pool d'applications).

Application Web

Identité du pool d'applications IIS

SharePoint avec Central

mondomaine\spuser1

Serveur Winshuttle

mondomaine\wsuser1

Configuration des noms SPN (Service Principal Name)

Pour chaque compte de service, définissez un groupe de noms principaux de service associés aux noms d'hôte DNS affectés à chaque application Web.

Remarques importantes :

  • Pour un environnement NLB (Network Load Balanced) (logiciel ou matériel), vous devez définir des noms SPN pour le nom NLB ou du cluster et non pas des noms de serveur individuels.
  • Le compte SPN sur le port par défaut est obligatoire, même si l’application s’exécute sur un port différent.

Hôte DNS

Identité du pool d'applications IIS

Noms principaux de service

SPServer.mydomain

mydomain\spuser1

HTTP/SPServer

HTTP/SPServer.mondomaine

WinshuttleSyr.mondomaine

mondomaine\wsuser1

HTTP/WinshuttleSvr

HTTP/WinshuttleSvr.mondomaine

Pour créer les noms principaux de service, exécutez les commandes suivantes :

SetSPN -S HTTP/SPServer mydomain\spuser1

SetSPN -S HTTP/SPServer.mydomain mydomain\spuser1

SetSPN -S HTTP/WinshuttleSvr mydomain\wsuser1

SetSPN -S HTTP/WinshuttleSvr.mydomain mydomain\wsuser1

Remarque : la commande SetSPN suppose que les deux services s’exécutent sur le port par défaut. Si une application s'exécute sur un port différent, il doit être inclus dans la commande setspn. Par exemple, si Winshuttle s'exécute sur le port 8033, utilisez la commande suivante pour créer le nom principal de service :

SetSPN -S HTTP/WinshuttleSvr mydomain\wsuser1

SetSPN -S HTTP/WinshuttleSvr.mydomain mydomain\wsuser1

SetSPN -S HTTP/WinshuttleSvr:8033 mydomain\wsuser1

SetSPN -S HTTP/WinshuttleSvr.mydomain:8033 mydomain\wsuser1

Configurer la délégation Kerberos contrainte pour les ordinateurs et les comptes de service

Retour au début

Définir l'utilisateur spuser1 pour la délégation sous les noms principaux de service

Type principal

Nom principal

Délègue au service

Utilisateur

Spuser1

HTTP/WinshuttleSyr

HTTP/WinshuttleSyr.mydomain

Configuration de la délégation

  1. Ouvrez le module enfichable Utilisateurs et ordinateurs Active Directory.
  2. Pour l'utilisateur spuser1, sélectionnez N’approuver cet utilisateur que pour la délégation aux services spécifiés et Utiliser Kerberos uniquement.
  3. Cliquez sur Ajouter pour ajouter les services auxquels l'utilisateur (compte utilisateur) sera autorisé à déléguer. Pour sélectionner un nom SPN, reportez-vous à l'objet auquel le nom SPN est appliqué. Dans cet exemple, nous essayons de déléguer à un service HTTP, ce qui implique que nous recherchons le compte de service "wsuser1".
  4. Dans la boîte de dialogue Sélectionner les utilisateurs ou les ordinateurs, cliquez sur Utilisateurs et ordinateurs, recherchez les comptes de service du pool d'applications IIS (mondomaine\wsuser1, dans l'exemple) et cliquez sur OK. Le système demande de sélectionner les services affectés aux objets par nom principal de service.
  5. Dans la boîte de dialogue Ajouter des services, cliquez sur Sélectionner tout et cliquez sur OK.

    Remarque : lorsque vous revenez dans la boîte de dialogue de délégation, tous les noms SPN sélectionnés peuvent ne pas apparaître automatiquement. Pour afficher les noms SPN, cochez la case Développé dans l’angle inférieur gauche.

Configuration de SharePoint Server

Retour au début
  1. Créez une application Web sur SPServer, qui sera utilisée pour Central et Workflow. Dans cet exemple, nous avons créé cette application sur le port par défaut, car les noms SPN sont créés en fonction du port par défaut. Les paramètres sont répertoriés dans le tableau suivant.

    Élément

    Paramètre

    Paramètre

    http://SPServer Web Application

    Authentification

    Mode classique

    Site Web IIS

    Nom : SharePoint - Portail - 80

    Port : 80

    Configuration de la sécurité

    Fournisseur d’authentification : négocier

    Autoriser les utilisateurs anonymes : non

    Utiliser le protocole SSL (Secure Socket Layer) : non

    Pool d'applications

    Nom : SharePoint - Portal80

    Compte de sécurité : mydomain\spuser1

  2. Créez une nouvelle collection de sites pour Central et installez Workflow sur ce site.