Significado do valor do campo e-data do Kerberos

Question

Estou usando o Kerberos no Windows (o software não-Windows gera o token) e estou tentando depurar um problema. Em um rastreamento de rede, posso ver que o KRB5KRB_ERR_GENERIC está sendo retornado pelo servidor IIS. O campo e-data deve conter uma descrição do problema, mas contém apenas estes bytes:

30 0d a1 03 02 01 01 a2 06 04 04 33 01 00 c0

que são na maior parte não imprimíveis. Isso pode ser decifrado ou é específico da implementação?

    

Answer 1

Eu só posso falar pelo Windows. Nos dados eletrônicos, você normalmente verá o código de status estendido retornado pelo kerberos.

O traço que eu estou olhando agora tem uma resposta do KDC onde eu posso ver um bloco como 72 02 00 C0, que é convertido em c0000272. E usando uma ferramenta como err.exe do link para traduzir esses códigos de erro do Windows dá

# for hex 0xc0000272 / decimal -1073741198
  STATUS_NO_MATCH                                                ntstatus.h
# There was no match for the specified key in the index.
# as an HRESULT: Severity: FAILURE (1), FACILITY_NULL (0x0), Code 0x272
# for hex 0x272 / decimal 626
  ERROR_NO_MORE_MATCHES                                          winerror.h
# There are no more matches for the current index
# enumeration.
# 2 matches found for "c0000272"

Neste caso, é porque o SPN não estava na lista msds-allowedtodelegateto e, portanto, o KDC retorna esse erro para ver que não está na lista.

Não tenho certeza se o seu e-data está completo. Mas há o que parece um código de erro do Windows 33 01 00 c0.

Isso abaixo se aplica a você ou faz sentido?

# for hex 0xc0001033 / decimal -1073737677
  MSG_CI_IISADMIN_NOT_AVAILABLE                                  querymsg.h
# The IISADMIN service is not available, so virtual roots
# cannot be indexed.%1
# 1 matches found for "c0001033"

    

Answer 2

Tente ativar o registro Kerberos pelo registro primeiro (HKEY_LOCAL_MACHINE \ SYSTEM \ CurrentControlSet \ Control \ Lsa \ Kerberos \ Parâmetros, crie um novo DWORD de LogLevel com valor de 0x1) - veja se o seu erro KRB5KRB_ERR_GENERIC aparece no < em> System log in eventvwr.exe

Os campos e-data / e-text parecem ser específicos da implementação - sua melhor aposta para obter uma tradução é da boca do cavalo nos Registros de Eventos.