Für das Forum möchte ich die Problemstellung etwas ausführlicher darstellen. Vielleicht ergibt sich eine Konvergenz.
Wir haben eine 3-Tier-Umgebung mit Client, MS-SQL AlwayOn Cluster und einem Applikationsserver für das ERP MS Dynamics 2009 SP1, welcher gleichzeitig auch den Webservice für Dynamics NAV stellt. Der Webservice selbst ist rudimentär - kein IIS oder PHP -
und wird via Dynamics NAV konfiguriert.
Bei einem Zugriff auf die Webapplikation, sehe ich mit netmon auf Clientseite das Aushandeln des Tickets mit dem KDC1 (Domaincontroller 1), der dem Client ein valides Ticket ausstellt, mit dem er den Applikationsserver anfragt (Hop 1): Authorization: Negotiate
YII...... Der Applikationsserver bzw. Webservice handelt nach dem HTTP GET über den KDC2 (Domaincontroller 2) anschließend mit dem SQL-Server eine Autorisierung aus (Hop 2): Kerberos: TGS Request Realm: MYDOMAIN.LOCAL
Sname: MSSQLSvc/SQLCLUSTER.mydomain.local:1433
Als Antwort bekomme ich das folgende Kerberos Paket mit badoption. Die Autorisierung geht dann mit NTLM weiter, welche richtigerweise am SQL als anonymer Loginversuch fehl schlägt.
192.168.235.26 = KDC2 / 192.168.235.32 = Applikations- bzw. Webservice
Frame: Number = 879, Captured Frame Length = 202, MediaType = ETHERNET
+ Ethernet: Etype = Internet IP (IPv4),DestinationAddress:[00-50-56-B2-AF-80],SourceAddress:[00-50-56-B2-7B-8B]
+ Ipv4: Src = 192.168.235.26, Dest = 192.168.235.32, Next Protocol = TCP, Packet ID = 27091, Total IP Length = 188
+ Tcp: Flags=...AP..., SrcPort=Kerberos(88), DstPort=61716, PayloadLen=148, Seq=1333524216 - 1333524364, Ack=547410901, Win=8212 (scale factor 0x8) = 2102272
- Kerberos: KRB_ERROR - KDC_ERR_BADOPTION (13)
- Length: Length = 144
Reserved: (0...............................) Must be Zero (Incorrect formatter specifier for type: %d)
Length: (.0000000000000000000000010010000) (144)
- KrbError: KRB_ERROR (30)
+ ApplicationTag:
+ SequenceHeader:
+ Tag0:
+ PvNo: 5
+ Tag1:
+ MsgType: KRB_ERROR (30)
+ Tag4:
+ Stime: 12/29/2020 18:42:23 UTC
+ Tag5:
+ SuSec: 403837
+ Tag6:
- ErrorCode: KDC_ERR_BADOPTION (13)
- Value: 13
- AsnIntegerHeader:
- AsnId: Integer type (Universal 2)
+ LowTag:
- AsnLen: Length = 1, LengthOfLength = 0
Length: 1 bytes, LengthOfLength = 0
AsnInt: 13 (0xD)
+ Tag9:
+ Realm: MYDOMAIN.LOCAL
+ TagA:
- Sname: MSSQLSvc/SQLCLUSTER.mydomain.local:1433
- SequenceHeader:
+ AsnId: Sequence and SequenceOf types (Universal 16)
+ AsnLen: Length = 49, LengthOfLength = 0
- Tag0:
+ AsnId: Context Specific Constructed Tag (0)
+ AsnLen: Length = 3, LengthOfLength = 0
- NameType: NT-SRV-INST (2)
- AsnIntegerHeader:
+ AsnId: Integer type (Universal 2)
+ AsnLen: Length = 1, LengthOfLength = 0
AsnInt: 2 (0x2)
+ Tag1:
+ SequenceOfHeader:
+ NameString: MSSQLSvc
+ NameString: SQLCLUSTER.mydomain.local:1433
+ TagC:
+ EData:
Eingestellt ist für den Applikationsserver Trust this computer to any services (Kerberos only).
Stelle ich dann um auf constrained delgation - Trust this computer for delegation to specified services only | Use any authentication protocol und trage auf dem Applikationsserver über den AD-Serviceuser des SQL-Clusters alle MSSQLSvc-Ressourcen ein,
klappt es zwar sofort mit der Webservicedelegierung, dagegen verliere ich dann aber alle übrigen Netzressourcen. Nach dem Eintrag ist bspw. kein Zugriff auf jeglichen Netshare mehr möglich. Ab dann bekomme ich hierfür ein Kerberos badoption z.B. für cifs
