Dela via

Så här konfigurerar du SPN

Kommandoradsverktyget setspn används för att läsa, ändra och ta bort spN-katalogegenskapen (Service Principal Name) för ett Active Directory-tjänstkonto (AD). SPN:er är viktiga för att hitta ett målhuvudnamn som är associerat med en tjänst. Med setspnkan du visa befintliga SPN:er, återställa ett kontos standard-SPN och lägga till eller ta bort ytterligare SPN efter behov.

Det är inte nödvändigt att ändra SPN manuellt eftersom de konfigureras automatiskt när en dator ansluter till en domän eller när tjänster installeras. SPN-information kan dock bli inaktuell i vissa fall. Om en dators namn till exempel ändras måste de SPN:er som är knutna till dess tjänster uppdateras för att matcha det nya namnet. Dessutom kan vissa tjänster och program kräva manuella uppdateringar av ett tjänstkontos SPN-inställningar för att säkerställa korrekt autentisering.

I AD är attributet servicePrincipalName ett flervärdesattribut som inte är länkat från DNS-värdnamnet (Domain Name System). SPN används för ömsesidig autentisering mellan klienten och servern som är värd för en tjänst. Klienten letar upp ett datorkonto med hjälp av SPN för den tjänst som den försöker ansluta till.

SPN-format

När du ändrar SPN med setspnmåste SPN anges i rätt format. Formatet för ett SPN är serviceclass/host:port/servicename, där varje objekt representerar ett namn eller värde. Såvida inte tjänstnamnet och porten inte är standard behöver du inte ange dem när du använder setspn. Standard-SPN:erna för en server med namnet WSRV2022 som tillhandahåller fjärrskrivbordstjänster (RDP) via standardporten TCP 3389 registrerar till exempel följande två SPN i sitt eget AD-datorobjekt:

TERMSRV/WSRV2022

TERMSRV/WSRV2022.contoso1.com

Om du behöver ange en icke-standard-SPN-konfiguration kan du läsa Namnformat för unika SPN-.

Förutsättningar

  • Rollen Active Directory Domain Services (AD DS) måste vara installerad på enheten. Mer information finns i Installera eller avinstallera roller, rolltjänster eller funktioner.

  • Enheterna i din miljö måste vara domänanslutna.

  • Du måste vara medlem i gruppen Domänadministratörer eller Företagsadministratörer.

    • Om du inte är medlem i grupperna Domänadministratörer eller Företagsadministratörer måste du ha läsa och skriva behörigheter för objektets servicePrincipalName attribut i AD.

Hantera SPN:er

Du kan konfigurera SPN i din miljö med en upphöjd kommandotolk eller ett upphöjt PowerShell-fönster. Se följande steg när du konfigurerar SPN för din miljö.

Metod för kommandotolken

Om du vill lägga till ett SPN kör du följande kommando. Ersätt tjänst/namn med det SPN som du vill lägga till och värdnamn med värdnamnet för det datorobjekt som du vill uppdatera:

setspn -S <service/name> <hostname>

Om det till exempel finns en AD DC med värdnamnet server1.contoso.com som kräver ett SPN för Lightweight Directory Access Protocol (LDAP) skriver du:

setspn -S ldap/server1.contoso.com server1

PowerShell-metod

I PowerShell används Set-ADUser-cmdleten för användarkonton och Set-ADComputer för datornamnet.

Om du vill lägga till ett SPN kör du följande kommando. Ersätt UserName, ComputerNameoch $spn = " " med lämpliga värden för användarkontot eller datornamnet:

$userID = "UserName"
$spn = "HTTP/webserver.domain.com"

Set-ADUser -Identity $userID -Add @{ServicePrincipalName=$spn}

$computerID = "ComputerName"
$spn = "HTTP/computerserver.domain.com"

Set-ADComputer -Identity $computerID -Add @{ServicePrincipalName=$spn}

Bevilja SPN-behörigheter till icke-administratörer

För användare som inte ingår i gruppen Domänadministratörer eller Företagsadministratörer behöver de rätt behörigheter för att ändra SPN:erna. Att bevilja dessa behörigheter kan utföras via Active Directory-användare och datorer (ADUC) eller PowerShell. Se följande steg.

  1. I Serverhanterarenväljer du Verktygoch väljer sedan Active Directory-användare och datorer.

  2. Välj fliken Visa och välj sedan Avancerade funktioner.

  3. I den vänstra rutan högerklickar du på domänen där du vill tillåta ett osammanhängande namnområde och väljer sedan Egenskaper.

  4. Välj fliken Säkerhet och välj Avancerat.

  5. Under fliken Behörigheter väljer du Lägg till.

  6. Välj Välj ett huvudnamnunder Ange de objektnamn som ska väljas, skriv det grupp- eller användarkontonamn som du vill delegera behörighet till och välj sedan OK.

    Om du vill visa alla tillgängliga grupper och användarkonton i domänen väljer du Avanceratoch väljer sedan Hitta nu.

  7. Under Gäller för, markera datorobjekt som är underordnade.

  8. Under Behörighetermarkerar du kryssrutan Verifierad skrivning till tjänstens huvudnamn och väljer sedan OK i de tre öppna dialogrutorna för att tillämpa ändringarna.

Se även