2020-09-24 17:43发布
点击此处---> 群内免费提供SAP练习系统（在群公告中）加入QQ群：457200227（SAP S4 HANA技术交流） 群内免费提供SAP练习系统（在群公告中）大家好， 我需要您的建议。 我... 显示全部
加入QQ群：457200227（SAP S4 HANA技术交流） 群内免费提供SAP练习系统（在群公告中）
大家好，
我需要您的建议。 我们有一个具有多个AD域的客户，他们彼此信任（双向信任）。 因此，假设我们在顶层具有 corporation.com 作为资源域（根），并且我们获得了 corporate.de 以及 corporation.uk 和 corporation .fr 作为德国，英国和法国的子域。
我们现在需要针对该客户的SAP环境，基于Kerberos（和Web的SPNEGO）设置SNC。
问题：
我们是否需要为每个域创建一个密钥表，还是仅为根域中的每个SAP系统创建一个服务帐户并仅在根域中注册SPN就足够了？
想法：
对于SAP系统上的SNC，我们将创建一个 SAPSNCSKERB.pse ，其中仅包含 ServiceAccount @ CORPORATION的一个密钥标签。 COM ，然后将SPN设置为 SAP/
我认为来自 CORPORATION.DE 的用户将能够连接到SAP 也可以通过以下方式通过SNC进行系统：
那行得通吗？
谢谢，卡斯滕
嗨！
按照承诺，我们现在已经对此进行了测试，这就是结果。
在具有双向林信任或具有多个子域（传递信任）的一个林环境的情况下，只需创建服务帐户并在林根中注册SPNego和SNC的SPN 域。 即使对于SNC，我们也仅使用目录林根域中的Keytab创建了SAPSNCSKERB.pse。
但是，为了允许来自不同可信AD林的客户端请求可信林根域中Kerberos服务（SPN）的服务票证，您需要确保将域名添加到SNC-Name 在SAP登录中。
示例：p：CN = @ FORESTROOTDOMAIN.TLD
即使您在同一林中还是在不同林中都有客户，他们也可以通过SLC通过询问全局编录服务器来获取服务票证。
希望我的贡献可以帮助其他客户和合作伙伴成功地管理多域/多林实施，同时使用户和SPN创建的工作量降到最低。
当然，这仅适用于受信任的林/域。
如果没有这种信任，则只需为每个域创建一个单独的服务用户和SPN。 只需从SAP登录中的SNC名称中剪切域，这将强制SLC添加用户的当前USERDNSDOMAIN。 示例：p：CN =
SAP管理员将自己的snc/identity/定义为X.509 DN也很常见，例如p：CN = ，O = Organization，C = Country
不要惊慌，上述解决方案在这种情况下也适用，因为SLC只是负责CN部分。
信息：唯一的例外适用于我之前提到的多林/域解决方案。 使用登录组（消息服务器）时，将从相应应用程序服务器的配置文件参数动态获取SNC名称。 在这种情况下，您需要确保将snc/identity/as设置为p：CN = @ FORESTROOTDOMAIN.TLD
干杯，Carsten
最多设置5个标签!
{var%20f='http://v.t.sina.com.cn/share/share.php?appkey=1515056452',u=z||d.location,p=['&url=',e(u),'&title=',e(t||d.title),'&source=',e(r),'&sourceUrl=',e(l),'&content=',c||'gb2312','&pic=',e(p||'')].join('');function%20a(){if(!window.open([f,p].join(''),'mb',['toolbar=0,status=0,resizable=1,width=440,height=430,left=',(s.width-440)/2,',top=',(s.height-430)/2].join('')))u.href=[f,p].join('');};if(/Firefox/.test(navigator.userAgent))setTimeout(a,0);else%20a();})(screen,document,encodeURIComponent,'','','http://www.easysap.com/data/attach/logo/logo.png', '推荐 无敌了 的问题《在具有双向信任的多域多林环境中将Kerberos用于SNC》','https://www.easysap.com/answer/101808/274446.html','页面编码gb2312|utf-8默认gb2312'));){kind=link}
嗨！
按照承诺，我们现在已经对此进行了测试，这就是结果。
在具有双向林信任或具有多个子域（传递信任）的一个林环境的情况下，只需创建服务帐户并在林根中注册SPNego和SNC的SPN 域。 即使对于SNC，我们也仅使用目录林根域中的Keytab创建了SAPSNCSKERB.pse。
但是，为了允许来自不同可信AD林的客户端请求可信林根域中Kerberos服务（SPN）的服务票证，您需要确保将域名添加到SNC-Name 在SAP登录中。
示例：p：CN = @ FORESTROOTDOMAIN.TLD
即使您在同一林中还是在不同林中都有客户，他们也可以通过SLC通过询问全局编录服务器来获取服务票证。
希望我的贡献可以帮助其他客户和合作伙伴成功地管理多域/多林实施，同时使用户和SPN创建的工作量降到最低。
当然，这仅适用于受信任的林/域。
如果没有这种信任，则只需为每个域创建一个单独的服务用户和SPN。 只需从SAP登录中的SNC名称中剪切域，这将强制SLC添加用户的当前USERDNSDOMAIN。 示例：p：CN =
SAP管理员将自己的snc/identity/定义为X.509 DN也很常见，例如p：CN =，O = Organization，C = Country
不要惊慌，上述解决方案在这种情况下也适用，因为SLC只是负责CN部分。
信息：唯一的例外适用于我之前提到的多林/域解决方案。 使用登录组（消息服务器）时，将从相应应用程序服务器的配置文件参数动态获取SNC名称。 在这种情况下，您需要确保将snc/identity/as设置为p：CN = @ FORESTROOTDOMAIN.TLD
干杯，Carsten
一周热门 更多>