sql server 2008的双跳问题

Question

我正在尝试设置以下场景。我有3台服务器，它们都在同一个域中。

• 服务器 A 具有在（域）服务帐户 dom\web 下运行的 Web 应用程序。
• 服务器 B 有 SQL Server 2008 R2 的实例，它在（域）服务帐户 dom\sql 下运行。
• 服务器 C 有 SQL Server 2008 R2 的实例，它在（域）服务帐户 dom\sql 下运行。

服务器 B 和 C 位于 SQL 群集中。B 和 C 的实例是链接服务器。

当我从 A 运行 SQL Server Management Studio 并使用我的域帐户 (dom\usr) 连接到 B 时，我尝试执行从 B 和 C 中选择数据的查询并且它工作正常。

当我尝试尝试相同的 Web 应用程序时，出现错误：

用户“NT AUTHORITY\ANONYMOUS LOGON”登录失败。

我看到 SQL 中的连接对用户 dom\web 具有 auth_scheme KERBEROS，因此它不是 NTLM。

此外，dom\web 域帐户在 AD 中没有选择“帐户是敏感的，不能被委派”选项。

我还认为 SPN 设置正确，因为双跳在第一种情况下不起作用。

这是服务器 C 上的错误：

源登录

用户“NT AUTHORITY\ANONYMOUS LOGON”的消息登录失败。原因：基于令牌的服务器访问验证因基础结构错误而失败。检查以前的错误。[客户：10.65.10.53]

源登录

消息错误：18456，严重性：14，状态：11。

Answer 1

在服务器 B 和 C 上为 dom\web 创建登录名，并向新创建的登录名授予对数据库的访问权限。