Kerberos no Windows: klist, klist purge e setspn -L/-Q para diagnosticar problemas de SPN

Objetivo

Inspecionar e limpar os tickets Kerberos em cache em um cliente Windows e diagnosticar problemas de service principal name (SPN) que quebram a autenticação Kerberos em um serviço, no Windows Server 2016 e posterior / Windows 10 e posterior.

Pré-requisitos

Um prompt de comando no cliente para o klist (sem elevação para a sua própria sessão; o cache da conta de computador, klist -li 0x3e7, exige um prompt elevado); setspn, das ferramentas RSAT/AD DS. Consultar SPNs (-L, -Q, -X) funciona para qualquer usuário do domínio; adicioná-los ou removê-los exige Domain Admins ou acesso de escrita delegado ao atributo servicePrincipalName da conta.

Passos

1. Liste os tickets em cache da sessão de logon atual: klist. Ele mostra, para cada ticket, o principal do servidor, o principal do cliente e o período de validade.
2. Limpe o cache ao testar uma autenticação nova (por exemplo, após uma mudança de grupo ou de SPN): klist purge, que remove todos os tickets em cache da sessão atual, de modo que a próxima requisição force uma nova troca com o KDC.
3. Verifique quais SPNs existem para uma conta de serviço: setspn -L <accountname> lista todos os SPNs atualmente registrados nessa conta.
4. Verifique se um SPN já está registrado antes de adicioná-lo: setspn -Q <SPN>; setspn -X lista os SPNs duplicados, e setspn -S <SPN> <account> só adiciona um SPN depois de verificar duplicatas (a Microsoft recomenda esse comando em vez de -A).
5. Se um serviço não recebe um ticket Kerberos e recorre ao NTLM, a primeira verificação é setspn -Q HTTP/servername (ou a classe de serviço correspondente): se a consulta não retornar resultado, o SPN não existe; se retornar uma conta diferente da que executa o serviço, há um conflito de SPN duplicado, que o Kerberos trata como uma ambiguidade fatal em vez de escolher um deles.

Resultado esperado

Depois de registrar o SPN correto e limpar o cache de tickets do cliente com klist purge, uma nova conexão ao serviço faz o klist exibir um ticket para o SPN desse serviço, e o serviço autentica via Kerberos em vez de recorrer ao NTLM.

Limites e base de verificação

Por padrão, setspn -Q e -X pesquisam o domínio atual; adicione -F para consultar no nível da floresta (forest). Um SPN presente na conta errada (resquício de um serviço renomeado ou reinstalado) deve ser removido com setspn -D antes que o setspn -S possa adicioná-lo à conta certa. Assim como no Linux, o Kerberos no Windows também rejeita a autenticação quando os relógios do cliente e do controlador de domínio divergem além da diferença máxima configurada no domínio (5 minutos por padrão na política Kerberos do AD); isso aparece como falha de autenticação sem nenhum sintoma de SPN, portanto confira a sincronização de horário antes de gastar tempo com o setspn.