Kerberos unter Windows: klist, klist purge und setspn -L/-Q bei SPN-Problemen

Ziel

Gecachte Kerberos-Tickets auf einem Windows-Client einsehen und löschen sowie Probleme mit Service Principal Names (SPN) diagnostizieren, die die Kerberos-Authentifizierung gegenüber einem Dienst verhindern. Gilt für Windows Server 2016 und neuer bzw. Windows 10 und neuer.

Voraussetzungen

Eine Eingabeaufforderung auf dem Client für klist (für die eigene Sitzung ist keine Administratorberechtigung nötig; der Cache des Computerkontos, klist -li 0x3e7, erfordert eine Eingabeaufforderung mit erhöhten Rechten); setspn aus den RSAT-/AD-DS-Tools. SPNs abfragen (-L, -Q, -X) kann jeder Domänenbenutzer; zum Hinzufügen oder Entfernen sind Domänen-Admins oder delegierte Schreibrechte auf das Attribut servicePrincipalName des Kontos erforderlich.

Schritte

1. Gecachte Tickets der aktuellen Anmeldesitzung auflisten: klist. Die Ausgabe zeigt für jedes Ticket den Server-Principal, den Client-Principal und den Gültigkeitszeitraum.
2. Den Cache leeren, wenn eine frische Authentifizierung getestet werden soll (zum Beispiel nach einer Änderung an Gruppen oder SPNs): klist purge entfernt alle gecachten Tickets der aktuellen Sitzung, sodass die nächste Anfrage einen neuen Austausch mit dem KDC erzwingt.
3. Prüfen, welche SPNs für ein Dienstkonto existieren: setspn -L <accountname> listet alle SPNs auf, die aktuell für dieses Konto registriert sind.
4. Vor dem Hinzufügen prüfen, ob ein SPN bereits registriert ist: setspn -Q <SPN>; setspn -X listet doppelte SPNs auf, und setspn -S <SPN> <account> fügt einen SPN erst nach einer Prüfung auf Duplikate hinzu (Microsoft empfiehlt dies gegenüber -A).
5. Erhält ein Dienst kein Kerberos-Ticket und fällt stattdessen auf NTLM zurück, ist setspn -Q HTTP/servername (bzw. mit der jeweiligen Dienstklasse) die erste Prüfung: Liefert die Abfrage kein Ergebnis, fehlt der SPN; liefert sie ein anderes Konto als dasjenige, unter dem der Dienst läuft, liegt ein Konflikt durch doppelte SPNs vor. Kerberos behandelt dies als nicht auflösbare Mehrdeutigkeit und wählt nicht einfach einen der Einträge aus.

Erwartetes Ergebnis

Nachdem der korrekte SPN registriert und der Ticket-Cache des Clients mit klist purge geleert wurde, zeigt die Ausgabe von klist nach einer neuen Verbindung zum Dienst ein Ticket für den SPN dieses Dienstes, und die Authentifizierung am Dienst erfolgt über Kerberos, statt auf NTLM zurückzufallen.

Grenzen und Prüfbasis

setspn -Q und -X durchsuchen standardmässig die aktuelle Domäne; mit -F wird auf Gesamtstrukturebene (Forest) abgefragt. Ein SPN auf dem falschen Konto (etwa als Überbleibsel eines umbenannten oder neu installierten Dienstes) muss zuerst mit setspn -D entfernt werden, bevor setspn -S ihn dem richtigen Konto hinzufügen kann. Wie unter Linux weist Kerberos unter Windows die Authentifizierung auch ab, wenn die Uhren von Client und Domänencontroller stärker voneinander abweichen als die in der Domäne konfigurierte maximale Zeitabweichung (standardmässig 5 Minuten in der Kerberos-Richtlinie von AD). Das zeigt sich als Authentifizierungsfehler ganz ohne SPN-Symptom; daher zuerst die Zeitsynchronisation prüfen, bevor Zeit in setspn investiert wird.