Eu tenho o site do ASP.NET 2.0 configurado para executar a Segurança Integrada do Windows usando a delegação do Kerberos. Os servidores, incluindo o DC, estão sendo executados no Windows 2003 e a delegação é elevada para o nível do Windows 2003.
BTW, todos os servidores estão definidos para EST
A autenticação funciona bem e, de repente, o servidor grava um evento de aviso LsaSrv (evento id 40960) no log do sistema, que se queixa da diferença de tempo entre os servidores. Durante esse período, os clientes recebem uma mensagem 401.2 para todas as solicitações. Após 20-30 minutos, o auth começa a trabalhar "magicamente"
Eu executei um rastreio wireshark e fiddler e descobri que o registro de data e hora no cabeçalho de resposta está em GMT, embora o servidor esteja configurado em EST. Não tenho certeza de como isso é captado. alguma idéia?
Quaisquer outras sugestões são muito apreciadas.
Chris, Mike
Obrigado pela orientação. Abrimos uma ligação com a Microsoft e eles conseguiram reduzi-la ao bug de expiração do ticket do kerberos. A chamada foi aberta em 2/10 e o hotfix foi fornecido. Portanto, até agora nenhum problema foi relatado.
Abaixo está o link de suporte
obrigado novamente
GMT e EST não é provável o problema.
O Kerberos requer que todos os participantes tenham um relógio que esteja a 5 minutos um do outro. Eu suspeito que você precisa garantir que todos os servidores e clientes tenham um tempo dentro dessa janela.
Eu uso o NTP, pessoalmente, mesmo no Windows. Provavelmente existe um "modo windows".
O Kerberos é extremamente sensível ao tempo - você precisa verificar se a hora no servidor IIS corresponde ao tempo do seu controlador de domínio.
Este artigo Como funciona o Serviço de Tempo do Windows tem uma visão geral básica.
Primeiro, você precisa verificar se o horário do seu emulador de PDC está correto Como configurar um servidor de horário autoritativo no Windows Server
Em seguida, no IIS Server, defina-o para sincronizar com o domínio: Configure um computador cliente para sincronização automática de horário de domínio .
Isso deve ser feito.