如果我也为 A 记录创建了 SPN，kerberos 是否可以与 CNAME 一起使用？

Question

我们目前正在建立一个 SQL 2012 环境，它将用于存储将由 SSRS 在共享点集成模式下访问的数据。我们将使用 Kerberos 进行身份验证。

我们希望能够做的是为 sql 服务器使用 cnames。我们使用的是默认实例，每台服务器只需要一个实例。

我担心的是 kerberos、IE/.NET 和 CNAME 的已知问题。我想知道只要我确保为 SQL 服务器的 CNAME 和 A 记录正确设置了 SPN，此配置是否有效？

Answer 1

起初我很想说不，你不能这样做，但转念一想，还是去做吧。

\n\n

\n

"\xe2\x80\x9c您必须为所有新的 DNS 别名 (CNAME) 记录注册 Kerberos 服务主体名称 (SPN)、主机名和完全限定域名 (FQDN)。如果您这样做如果不这样做，对 DNS 别名 (CNAME) 记录的 Kerberos 票证请求可能会失败并返回错误代码 KDC_ERR_S_SPRINCIPAL_UNKNOWN。\xe2\x80\x9d

\n

\n\n

http://blogs.msdn.com/b/karang/archive/2009/12/12/why-do-we-need-spn-for-file-server-nas-ras-file-share-system-dna-别名-cname.aspx

\n\n

\n

为了后续工作，我可以确认 kerberos 连接是否已正确建立。感谢您提供的链接，因为它确认只要为 SQL 群集名称创建 SPN，就只需要\n CNAME。

\n

\n\n

http://social.msdn.microsoft.com/Forums/en/sqldatabaseengine/thread/fa0a38ef-106a-4521-b4f3-a62c60f89a99

\n\n

\n

从技术上讲，由于 SQL Server SPN 包含实例名称（如果您在同一计算机上使用第二个命名的实例），因此您可以将群集的 DNS 主机注册为 CNAME 别名并避免 CNAME 问题附录 A，Kerberos 配置已知问题 (SharePoint Server 2010) 中所述。但是，如果您选择使用 CNAME，则必须使用 CNAME 别名的 DNS (A) 记录主机名来注册 SPN。

\n

\n\n

http://msdn.microsoft.com/en-us/library/gg502606.aspx

\n