IdentifiantMot de passe
Loading...
Mot de passe oublié ?Je m'inscris ! (gratuit)
Navigation

Inscrivez-vous gratuitement
pour pouvoir participer, suivre les réponses en temps réel, voter pour les messages, poser vos propres questions et recevoir la newsletter

Administration SQL Server Discussion :

Authentification kerberos SQL Server 2019


Sujet :

Administration SQL Server

  1. #1
    Candidat au Club
    Homme Profil pro
    Administrateur systèmes et réseaux
    Inscrit en
    février 2021
    Messages
    3
    Détails du profil
    Informations personnelles :
    Sexe : Homme
    Âge : 29
    Localisation : France, Bouches du Rhône (Provence Alpes Côte d'Azur)

    Informations professionnelles :
    Activité : Administrateur systèmes et réseaux
    Secteur : High Tech - Opérateur de télécommunications

    Informations forums :
    Inscription : février 2021
    Messages : 3
    Points : 3
    Points
    3
    Par défaut Authentification kerberos SQL Server 2019
    Bonjour à tous

    Je dois déployer une solution de sécurité pour mon entreprise, celle-ci utilise une base de données serveur SQL.

    J'ai installé un serveur sql autonome sur un serveur dédié, lors de l'installation j'ai choisi l'instance par défaut. Pour les comptes de service, j'ai créé un compte de domaine dédié dans Active Directory pour exécuter les services du moteur de base de données et pour le mode d'authentification, j'ai choisi "Mode mixte".

    À la fin de l'installation, mon compte utilisateur n'étant pas administrateur de domaine, j'ai donc enregistré le SPN pour le compte de service avec les commandes:

    Code : Sélectionner tout - Visualiser dans une fenêtre à part
    1
    2
    3
    setspn -A MSSQLSvc / myhost.redmond.microsoft.com: 1433 redmond \ accountname
     
    setspn -A MSSQLSvc / monhôte.redmond.microsoft.com redmond \ nom_compte
    J'ai vérifié dans ADSI le spn est bien enregistré

    Je me connecte à SQL Studio sur un poste client et j'exécute la requête SQL

    Code : Sélectionner tout - Visualiser dans une fenêtre à part
    SELECT auth_scheme FROM sys.dm_exec_connections WHERE session_id = @@ spid;
    Dans auth_scheme j'ai NTLM qui apparaît et non Kerberos. J'ai vérifié mon pare-feu (1433 ouvert), dans le gestionnaire de configuration du serveur SQL TCP / IP est activé

    Avez-vous une idée ?

    Merci à vous
    Images attachées Images attachées   

  2. #2
    Expert éminent sénior
    Avatar de mikedavem
    Homme Profil pro
    Administrateur de base de données
    Inscrit en
    août 2005
    Messages
    5 390
    Détails du profil
    Informations personnelles :
    Sexe : Homme
    Âge : 42
    Localisation : France, Ain (Rhône Alpes)

    Informations professionnelles :
    Activité : Administrateur de base de données
    Secteur : Distribution

    Informations forums :
    Inscription : août 2005
    Messages : 5 390
    Points : 12 719
    Points
    12 719
    Par défaut
    Que te donne la commande suivante:

    Code : Sélectionner tout - Visualiser dans une fenêtre à part
    setspn -L mydomain\sqlservice1
    ++

  3. #3
    Candidat au Club
    Homme Profil pro
    Administrateur systèmes et réseaux
    Inscrit en
    février 2021
    Messages
    3
    Détails du profil
    Informations personnelles :
    Sexe : Homme
    Âge : 29
    Localisation : France, Bouches du Rhône (Provence Alpes Côte d'Azur)

    Informations professionnelles :
    Activité : Administrateur systèmes et réseaux
    Secteur : High Tech - Opérateur de télécommunications

    Informations forums :
    Inscription : février 2021
    Messages : 3
    Points : 3
    Points
    3
    Par défaut
    Hello,

    la commande me retourne :

    Code : Sélectionner tout - Visualiser dans une fenêtre à part
    1
    2
    3
    4
    setspn -L lab\svc-dsmdb
     
    MSSQLSvc/<FQDNdemonserveur>
    MSSQLSvc/<FQDNdemonserveur>:1433
    En regardant dans les logs sql j'ai 2 erreurs :

    The SQL Server Network Interface library could not register the Service Principal Name (SPN) [ MSSQLSvc/<FQDNdemonserveur> ] for the SQL Server service. Windows return code: 0x2098, state: 15. Failure to register a SPN might cause integrated authentication to use NTLM instead of Kerberos. This is an informational message. Further action is only required if Kerberos authentication is required by authentication policies and if the SPN has not been manually registered.

    The SQL Server Network Interface library could not register the Service Principal Name (SPN) [ MSSQLSvc/<FQDNdemonserveur>:1433 ] for the SQL Server service. Windows return code: 0x2098, state: 15. Failure to register a SPN might cause integrated authentication to use NTLM instead of Kerberos. This is an informational message. Further action is only required if Kerberos authentication is required by authentication policies and if the SPN has not been manually registered.
    Ce que j'ai du mal à comprendre c'est que j'ai bien enregistrer le SPN (manuellement), et à chaque redémarrage des services SQL j'ai ces logs d'erreur

  4. #4
    Membre confirmé
    Profil pro
    Inscrit en
    novembre 2007
    Messages
    1 281
    Détails du profil
    Informations personnelles :
    Localisation : France

    Informations forums :
    Inscription : novembre 2007
    Messages : 1 281
    Points : 509
    Points
    509
    Par défaut
    Bonjour,

    Pour quoi le compte de domaine qui manage SQL doit être admin de domaine ?

    Code : Sélectionner tout - Visualiser dans une fenêtre à part
    À la fin de l'installation, mon compte utilisateur n'étant pas administrateur de domaine, j'ai donc enregistré le SPN pour le compte de service ....
    Par avance Merci.

    A+
    SDR.
    "ceux qui vivent, ce sont ceux qui luttent."

  5. #5
    Expert éminent sénior
    Avatar de mikedavem
    Homme Profil pro
    Administrateur de base de données
    Inscrit en
    août 2005
    Messages
    5 390
    Détails du profil
    Informations personnelles :
    Sexe : Homme
    Âge : 42
    Localisation : France, Ain (Rhône Alpes)

    Informations professionnelles :
    Activité : Administrateur de base de données
    Secteur : Distribution

    Informations forums :
    Inscription : août 2005
    Messages : 5 390
    Points : 12 719
    Points
    12 719
    Par défaut
    Citation Envoyé par thoms26 Voir le message
    Hello,

    la commande me retourne :

    Code : Sélectionner tout - Visualiser dans une fenêtre à part
    1
    2
    3
    4
    setspn -L lab\svc-dsmdb
     
    MSSQLSvc/<FQDNdemonserveur>
    MSSQLSvc/<FQDNdemonserveur>:1433
    Cela me parait correct du de loin d'autant plus que tu affirmes également que TCPIP est activé dans les protocoles réseaux.
    Ce que tu peux faire c'est aussi d'ajouter une entrée pour le nom NETBIOS pour voir.

    Code : Sélectionner tout - Visualiser dans une fenêtre à part
    1
    2
    3
    4
    5
    6
    7
    8
     
    -- FQDN
    MSSQLSvc/myserver.domain.com
    MSSQLSvc/myserver.domain.com:1433
     
    -- NETBIOS
    MSSQLSvc/myserver
    MSSQLSvc/myserver:1433
    Vérifie au passage que tes noms soient bien résolvables depuis les clients:

    Code : Sélectionner tout - Visualiser dans une fenêtre à part
    1
    2
    nslookup myserver.domain.com
    nslookup myserver
    En ultime recours tu peux aussi de tenter le vidage le cache des tickets Kerberos sur la machine client.

    Citation Envoyé par thoms26 Voir le message
    Ce que j'ai du mal à comprendre c'est que j'ai bien enregistrer le SPN (manuellement), et à chaque redémarrage des services SQL j'ai ces logs d'erreur
    Ce message est normal si tu utilises un compte de domaine pour le service SQL et si celui-ci n'a pas les droits nécessaires d'enregistrer le SPN au démarrage de l'instance (ce qui est le cas dans la plupart des configurations que j'ai pu voir). Cela ne veut pas dire que le SPN correspond n'existe pas et tu dois le faire à la main comme tu as déjà essayé de le faire.

  6. #6
    Candidat au Club
    Homme Profil pro
    Administrateur systèmes et réseaux
    Inscrit en
    février 2021
    Messages
    3
    Détails du profil
    Informations personnelles :
    Sexe : Homme
    Âge : 29
    Localisation : France, Bouches du Rhône (Provence Alpes Côte d'Azur)

    Informations professionnelles :
    Activité : Administrateur systèmes et réseaux
    Secteur : High Tech - Opérateur de télécommunications

    Informations forums :
    Inscription : février 2021
    Messages : 3
    Points : 3
    Points
    3
    Par défaut
    Citation Envoyé par agdid04 Voir le message
    Pour enregistrer le SPN automatiquement, le compte utilisé doit être administrateur du domaine.


    Bon après plusieurs essais, je suis finalement reparti de 0. Puis j'ai suivi cet article : http://www.alexandreviot.net/2014/09...ipal-name-spn/

    Connexion avec SSMS à partir d'un client, j'ai KERBEROS dans auth_scheme

    Citation Envoyé par mikedavem Voir le message
    Je te confirme que ça fonctionne maintenant ! Merci pour ta réponse .

+ Répondre à la discussion
Cette discussion est résolue.

Discussions similaires

  1. Réponses: 1
    Dernier message: 25/09/2018, 09h48
  2. Formulaire d'authentification (VB - SQL server)
    Par Luffy76380 dans le forum VB.NET
    Réponses: 6
    Dernier message: 23/05/2012, 15h56
  3. page d'authentification avec sql server
    Par alicia26 dans le forum ASP.NET
    Réponses: 11
    Dernier message: 14/05/2009, 18h19
  4. formulaire authentification avec SQL server et VB.net
    Par riderfun dans le forum Accès aux données
    Réponses: 10
    Dernier message: 28/05/2008, 13h54
  5. Authentification Windows/SQL Server
    Par dily0403 dans le forum MS SQL Server
    Réponses: 7
    Dernier message: 11/06/2007, 13h22

Partager

Partager
  • Envoyer la discussion sur Viadeo
  • Envoyer la discussion sur Twitter
  • Envoyer la discussion sur Google
  • Envoyer la discussion sur Facebook
  • Envoyer la discussion sur Digg
  • Envoyer la discussion sur Delicious
  • Envoyer la discussion sur MySpace
  • Envoyer la discussion sur Yahoo