Устранение неполадок с проверкой подлинности Windows для субъектов Microsoft Entra в Управляемом экземпляре SQL Azure

  • Статья

В этой статье содержатся действия по устранению неполадок при реализации субъектов проверки подлинности Windows в идентификаторе Microsoft Entra (ранее — Azure Active Directory).

Примечание.

Идентификатор Microsoft Entra ранее был известен как Azure Active Directory (Azure AD).

Проверка кэширования билетов

Используйте команду klist для вывода списка кэшированных билетов Kerberos.

Команда klist get krbtgt должна возвращать билет из локальной области определения приложения Active Directory.

klist get krbtgt/kerberos.microsoftonline.com

Команда klist get MSSQLSvc должна возвращать билет из области kerberos.microsoftonline.com с именем субъекта-службы (SPN) в MSSQLSvc/<miname>.<dnszone>.database.windows.net:1433.

klist get MSSQLSvc/<miname>.<dnszone>.database.windows.net:1433

Ниже приведены некоторые хорошо известные коды ошибок.

  • 0x6fb: имя субъекта-службы SQL не найдено . Убедитесь, что вы ввели допустимое имя субъекта-службы. Если вы реализовали поток проверки подлинности на основе доверия, вернитесь к инструкциям по созданию и настройке доверенного объекта домена Microsoft Entra Kerberos, чтобы убедиться, что вы выполнили все действия по настройке.

  • 0x51F — эта ошибка, скорее всего, связана с конфликтом с инструментом Fiddler. Чтобы решить эту проблему, выполните следующие действия.

    1. Выполнить netsh winhttp reset autoproxy
    2. Выполнить netsh winhttp reset proxy
    3. В реестре Windows найдите Computer\HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\iphlpsvc\Parameters\ProxyMgr и удалите все вложенные элементы, имеющие конфигурацию с портом. :8888
    4. Перезапустите компьютер и повторите попытку с помощью проверки подлинности Windows

  • 0x52f. Указывает, что указанная ссылка на имя пользователя и сведения о проверке подлинности действительны, но некоторые ограничения учетной записи пользователя не позволили успешно выполнить проверку подлинности. Это может произойти, если настроена политика условного доступа Microsoft Entra. Чтобы устранить проблему, необходимо исключить приложение Управляемый экземпляр SQL Azure субъекта-службы (именованное<instance name> principal) в правилах условного доступа.

Изучение ошибок потока сообщений

Используйте Wireshark или анализатор сетевого трафика, чтобы отслеживать трафик между клиентом и локальным центром распространения ключей Kerberos (KDC).

При использовании Wireshark ожидается следующее:

  • AS-REQ: Client => локальный KDC => возвращает локальный TGT.
  • TGS-REQ: Client => локальный KDC => возвращает ссылку kerberos.microsoftonline.com.

Следующие шаги

Дополнительные сведения о реализации проверки подлинности Windows для субъектов Microsoft Entra в Управляемый экземпляр SQL Azure: