使用 setspn.exe 创建 SPN - 访问权限不足

Question

在 Windown Server 2008 域控制器上，我尝试将服务主体名称 (SPN) 添加到用户帐户“Postmaster”，以便从 Communigate 电子邮件服务器启用 Kerberos 身份验证。我使用的命令行是以下形式：

setspn -a imap/email-domain.com windows-domain\postmaster

当我运行这个命令时，我得到了结果：

Registering ServicePrincipalNames for CN=Postmaster,OU=Users,DC=windows-domain,DC=com
    imap/email-domain.com
Failed to assign SPN on account 'CN=Postmaster,OU=Users,DC=windows-domain,DC=com', error 0x2098/8344 ->
Insufficient access rights to perform the operation.

这是最奇怪的，因为我以域管理员组中的用户身份登录。我检查了此帐户的有效权限，我看不到任何未包含的权限。我还尝试了不同的管理员帐户，结果相同。

只是为了排除它，我还将用户 Postmaster 添加到域管理员，但结果没有变化。

我直接在域控制器实例上运行此命令。我可以毫无困难地查询 SPN，只是我似乎无法编写它们。

我还尝试使用 ktpass 间接设置所需用户的 SPN，但收到警告：

WARNING: Unable to set SPN mapping data.

...我认为这是同样访问不足问题的症状。

什么可能导致此错误？

Answer 1

您是否从提升的命令提示符运行（右键单击，以管理员身份运行）？如果不是，那将解释错误。