Kerberos en Windows: klist, klist purge y setspn -L/-Q para diagnosticar problemas de SPN

Objetivo

Inspeccionar y borrar los tickets Kerberos en cache de un cliente Windows, y diagnosticar los problemas de nombres principales de servicio (SPN) que impiden la autenticación Kerberos frente a un servicio, en Windows Server 2016 y posteriores / Windows 10 y posteriores.

Requisitos previos

Un símbolo del sistema en el cliente para klist (no requiere elevación para tu propia sesión; la cache de la cuenta de equipo, klist -li 0x3e7, necesita un símbolo del sistema elevado); setspn de las herramientas RSAT/AD DS. Consultar SPN (-L, -Q, -X) funciona con cualquier usuario del dominio; añadirlos o eliminarlos requiere pertenecer a Domain Admins o tener acceso de escritura delegado sobre el atributo servicePrincipalName de la cuenta.

Pasos

1. Lista los tickets en cache de la sesión de inicio de sesión actual con klist. Muestra, para cada ticket, el principal del servidor, el principal del cliente y el período de validez.
2. Borra la cache cuando quieras probar una autenticación nueva (por ejemplo, tras un cambio de grupo o de SPN): klist purge elimina todos los tickets en cache de la sesión actual, de modo que la siguiente solicitud fuerza un nuevo intercambio con el KDC.
3. Comprueba qué SPN existen para una cuenta de servicio: setspn -L <accountname> lista todos los SPN registrados actualmente en esa cuenta.
4. Antes de añadir un SPN, comprueba si ya está registrado: setspn -Q <SPN>; setspn -X lista los SPN duplicados, y setspn -S <SPN> <account> añade un SPN solo después de comprobar que no hay duplicados (Microsoft lo recomienda frente a -A).
5. Si un servicio no recibe un ticket Kerberos y la autenticación recurre a NTLM, la primera comprobación es setspn -Q HTTP/servername (o la clase de servicio que corresponda): si la consulta no devuelve ningún resultado, falta el SPN; si devuelve una cuenta distinta de la que ejecuta el servicio, hay un conflicto de SPN duplicado, que Kerberos trata como una ambigüedad fatal en lugar de elegir una de las cuentas.

Resultado esperado

Tras registrar el SPN correcto y borrar la cache de tickets del cliente con klist purge, una conexión nueva al servicio muestra en la salida de klist un ticket para el SPN de ese servicio, y el servicio se autentica mediante Kerberos en lugar de recurrir a NTLM.

Límites y base de verificación

setspn -Q y -X buscan por defecto en el dominio actual; añade -F para consultar a nivel de bosque. Un SPN presente en la cuenta equivocada (un resto de un servicio renombrado o reinstalado) debe eliminarse con setspn -D antes de que setspn -S permita añadirlo a la cuenta correcta. Igual que en Linux, Kerberos en Windows también rechaza la autenticación cuando los relojes del cliente y del controlador de dominio difieren más del desfase máximo configurado en el dominio (5 minutos por defecto en la directiva Kerberos de AD); esto se manifiesta como un fallo de autenticación sin ningún síntoma relacionado con los SPN, así que comprueba la sincronización horaria antes de dedicar tiempo a setspn.