Kerberos

Kerberos spielt in der Windows-Welt seit 200 eine wichtige Rolle. Jeder Domaincontroller ist ein "Kerberos Distribution Center" und jeder Client kann sich ein Ticket für den Zugriff auf eine Ressource besorgen. Wann immer möglich, sollten Sie Kerberos den Vorzug gegenüber NTLM geben. Die folgenden Seiten gehen genauer auf die Funktion von Kerberos ein.

Hinweis: Wenn ein Benutzer in der Gruppe "Protected Users" ist, können sich diese nur noch per Kerberos anmelden.

• Warum Kerberos besser ist
  Die wichtigsten Argumente auf einer Seite
• Kerberos Grundlagen
  Eine nicht zu technische Beschreibung, wie ein Anwender zu seinem Ticket kommt und was der SPN damit zu tun hat.
• Service Principal Name
  Was ist der SPN und woher weiß der KDC, welche Tickets er wie ausstellen muss ?
• KRBTGT Key Rollover
  Das domänenweite Dienstkonto sollte ab und an ein neues Kennwort bekommen
• Ticketsize und Gruppen
  Warum viele Gruppenmitgliedschaften Probleme machen
• Constraint Delegation
  Im Auftrag eines Benutzers zugreifen und das leidige "Double Hop"-Problem bei Webanwendungen.
• Kerberos und Browser
  Tücken und Tricks beim Einsatz mit Internet Browsers
• Kerberos mit SQL Server
  SQL Server und Pflege der SPNs
• SPN Rechte
  Berechtigung zum Update des SPN
• Kerberos mit Linux und AD
  Integration von Linux-Diensten über Kerberostickets eines lokalen AD
• mit anderen Systemen
  z.B. wie kann ich ein Kerberos-Ticket mit einem Apache verwenden
• Kerberos Debugging
  Wie kann ich Fehler finden
• E2010 CAS und Kerberos
  Kerberos beim CAS-Array aktivieren
  
• DumpSPN
  Ausgabe der Service Principal Names und Meldung bei Dubletten
• Dump-Ticketsize
  PowerShell-Script zum Auslesen der Gruppenmitgliedschaften und Kerberos Ticketgröße
• Kerberos RC4 Abschaltung
  DES ist weg und RC4 will auch keiner mehr haben. Weckruf durch Nov 2022 Updates
• Kerberos Wireshark
  Ein paar Beispiele mit Wireshark und Windows Kerberos
• Kerberos Lockscreen
  Was passiert mit Tickets, wenn Sie den PC sperren?
• Kerberos Encryption
  DES,RC4,AES - Wie greifen die SupportedEncryptiontypes ineinander?
• Kerberos Password setzen (KPASSWD)
  Kennworte per Kerberos mit KPASSWD ändern und AES Zwang

Weitere Links

• Zeitsynchronisation in Netzwerken
  Kerberos ist von korrekten Zeitdaten abhängig
• Windows Gruppen und Berechtigungen
  Kerberos Ticketsize mit Anzahl der Gruppenmitgliedschaften
• Frontend/Backend Konstellation
  Frontend nutzt Kerberos zum Backend
• CASProxy 2007
  Exchange 2007 CAS nutzt Kerberos zum Backend
• ActiveSync Fehlercodes
  ActiveSync nutzt Kerberos zum Backend Server
• DNS
  _kerberos-Einträge im DNS
• Kerberos für the Busy Admin
  http://blogs.technet.com/b/askds/archive/2008/03/06/kerberos-for-the-busy-admin.aspx
• NTLM Beschreibung
  http://davenport.sourceforge.net/ntlm.html
• Configuring Kerberos Authentication für Load-Balanced Client Access Servers
  http://technet.microsoft.com/en-us/library/ff808312.aspx
• Troubleshooting Kerberos Errors
  http://www.microsoft.com/technet/prodtechnol/windowsserver2003/technologies/security/tkerberr.mspx
• Kerberos Authentication problems – Service Principal Name (SPN) issues - Part 1
  http://blogs.technet.com/askds/archive/2008/05/29/kerberos-authentication-problems-service-principal-name-spn-issues-part-1.aspx
• 264921 How IIS authenticates browser clients
• Kerberos in einer SharePoint Farm einrichten
  http://weblogs.mysharepoint.de/fabianm/archive/2007/10/28/kerberos-in-einer-sharepoint-farm-einrichten.aspx
• 832769 How to configure a Windows SharePoint Services virtual server to use Kerberos authentication and how to switch from Kerberos authentication back to NTLM authentication
• 327825 New resolution für problems with Kerberos authentication when Users belong to many groups
• 269643 Internet Explorer Kerberos authentication does not work because of an insufficient buffer connecting to IIS
• 927265 Authentication fails when client computers use Internet Explorer 7 to authenticate with an upstream ISA Server computer through a downstream ISA Server computer that does not require authentication
• 927612 You are repeatedly prompted to enter your credentials when you try to connect to an Exchange mailbox by using Outlook 2007
• 152526 Changing the Default Interval für User Tokens in IIS
  Per Default 15 Min werden Tokens von angemeldeten Usern gecached. Ein User kann also so lange auch nach einer KennwortÄnderung weiter mit dem alten Kennwort arbeiten.
• 927612 You are repeatedly prompted to enter your credentials when you try to connect to an Exchange mailbox by using Outlook 2007
• Kerbtray
  Win2003 http://www.microsoft.com/Downloads/details.aspx?FamilyID=9d467a69-57ff-4ae7-96ee-b18c4790cffd&displaylang=en
  Win2000 http://www.microsoft.com/downloads/details.aspx?familyid=4E3A58BE-29F6-49F6-85BE-E866AF8E7A88&displaylang=en
• ExBPA Der Parameter „IIS 6.0 MaxFieldLength“ wurde nicht ordnungsgemäß festgelegt
  http://technet.microsoft.com/de-de/library/aa996475(EXCHG.80).aspx
• 820129 INF: Http.sys Registry Settings für IIS
• Kerberos auf http://www.computerbase.de/
  http://de.wikipedia.org/wiki/Kerberos_(Informatik)
• Replacing NIS with Kerberos and LDAP HOWTO
  http://aput.net/~jheiss/krbldap/howto.html
• Configuring Kerberos für SharePoint
  http://www.hezser.de/blog/archive/2008/04/16/configuring-kerberos-for-sharepoint.aspx
• RFC1510 - The Kerberos Network Authentication Service (V5)
  http://www.faqs.org/rfcs/rfc1510.html
• How Kerberos Authentication - Tickets
  http://technet.microsoft.com/en-us/library/cc961966.aspx
• IIS (Internet Information Services) and Kerberos FAQ
  IIS and Kerberos Part 1 - What is Kerberos and how does it work?
  IIS and Kerberos Part 2 - Service Principal Names (SPNs)
  IIS and Kerberos Part 3 - A simple scenario
  IIS and Kerberos Part 4 - A simple delegation scenario
  IIS and Kerberos Part 5 - Protocol Transition, Constrained Delegation, S4u2S and S4u2P
  IIS and Kerberos Part 6 - What's new in IIS 7
  IIS and Kerberos Part 7 - A simple cross Forest scenario
  IIS and Kerberos Part 8 - A simple cross Forest/Domain scenario delegation scenario
  IIS and Kerberos Part 9 - Cross Forest Delegation scenario with UPN suffix routing