自动设置 kerberos 委派

Question

我有一个使用一些后端服务器（UNC、HTTP 和 SQL）的 Web 应用程序。为了实现此功能，我需要为运行 IIS AppPool 的帐户配置 ServicePrincipalNames，然后允许将 kerberos 委派给后端服务。

我知道如何通过 AD 用户和计算机工具的“委派”选项卡进行配置。

但是，该应用程序将部署到许多 Active Directory 环境中。事实证明，手动配置委派很容易出错，并且调试错误配置导致的问题非常耗时。我想创建一个可以为我执行此操作的安装脚本或程序。

有谁知道如何在 AD 中编写脚本或以编程方式设置约束委派？

如果失败，我如何编写脚本读取用户允许的服务以验证其设置是否正确？

Answer 1

好吧，经过在互联网上的大量挖掘和一些测试后，我找到了前进的方向。

以下代码是c#。
可以通过 setspn 实用程序为用户或计算机设置 SPN。

或者，以下 C# 代码也可以执行相同的操作：

DirectoryEntry de = new DirectoryEntry("LDAP://"+usersDN);

if (!de.Properties["servicePrincipalName"].Contains(spnString))
{
    de.Properties["servicePrincipalName"].Add(spnString);
    de.CommitChanges();
}

设置约束委派：

if (!de.Properties["msDS-AllowedToDelegateTo"].Contains(backendSpnString))
{
    de.Properties["msDS-AllowedToDelegateTo"].Add(backendSpnString);
    de.CommitChanges();
}

如果用户已启用非约束委派，则您可能需要在启用约束之前将其关闭 - 但我没有完全测试此场景。