kerberos - setspn コマンドはどこで実行しますか?

Question

Windows認証に使用している以下のコマンドでサービスプリンシパル名を追加しようとしています。

setspn –a HTTP/Kerberos.com domain\username

ドメインコントローラーマシンに接続されたWindows 2008サーバーで実行されているIISサーバーで実行されているサイトがあります。

setspnIIS サーバーまたはドメイン コントローラーでコマンドを実行する必要がありますか?

Answer 1

ログインに特権があれば、どちらのマシンでも実行できます。唯一の違いは、ネットワークを介して伝播するのにかかる時間です。

ドメイン コントローラ マシン- ネットワーク経由でより速く伝播するのに役立ちますが、IIS サーバー マシンが変更をすぐに認識しない可能性があることを意味します。したがって、SPN に変更を加えた後、サーバーを再起動する前に、30 分ほど待たなければならない場合があります。

-- 推奨-- IIS サーバー マシン- ここで SPN を変更すると、引き続きサービスを使用できます。ネットワークの残りの部分が変更を認識するまでに最大 30 分かかりますが、通常は問題になりません。