Einrichtung der Eingeschränkten Delegierung für den ID EFIX Server

Transkript

1 ID Information und Dokumentation im Gesundheitswesen GmbH & Co. KGaA Platz vor dem Neuen Tor Berlin Einrichtung der Eingeschränkten Delegierung für den ID EFIX Server Okt. 2015

2 Seite 2

3 Inhaltsverzeichnis 1 Eingeschränkte Delegierung Systemskizze Systemvoraussetzungen Delegierungskonfiguration über das Tool Configuration.exe Registrieren von SPNs über das Tool Configuration.exe Aktivieren der Eingeschränkten Delegierung Registrieren von SPNs für das Computerkonto Lokales System SQL Server Reporting Services SQL Server Analysis Services SQL Server Analysis Services (Standardinstanz) SQL Server Analysis Services (Benannte Instanz) Registrieren von SPNs für ein Domänenkonto SQL Server Dienst SQL Server Reporting Services Dienst SQL Server Analysis Services SQL Server Analysis Services (Standardinstanz) SQL Server Analysis Services (Benannte Instanz) Zusammenfassung Fehlerquellen SPNs einer benannten SQL Server Instanz können unter einem Windows Server 2003 Domänencontroller nicht hinzugefügt werden Trotz aktivierter Delegierung kann keine Verbindung zum Modul Reporting hergestellt werden Trotz aktivierter Delegierung kann keine Verbindung zum Modul Analyzer hergestellt werden Verbindungsprobleme zu den Modulen Analyzer, Reporting und MDK Glossar SPN (Service Principal Name) Ihre Notizen Seite 3

4 1 Eingeschränkte Delegierung Um eine Dezentrale Installation von ID EFIX in Betrieb zu nehmen, müssen Sie die Eingeschränkte Delegierung in Ihrer Domäne konfigurieren. Dies geschieht über die Configuration.exe, welche sich im ID EFIX Serververzeichnis befindet bzw. über das Kommandozeilentool setspn.exe. Danach muss die eingeschränkte Delegierung für das Computerkonto auf dem der ID EFIX Server installiert ist konfiguriert werden. Sollten Sie auf Probleme bei der Einrichtung stoßen schauen Sie sich bitte das Kapitel 5 genau an! 1.1 Systemskizze Die Kommunikation erfolgt über das Protokoll TCP/IP. Es muss sichergestellt werden, dass die Ports, die von den ID Produkten verwendet werden, nicht geblockt werden bzw. bereits in Benutzung sind. Seite 4

5 1.2 Systemvoraussetzungen Die SQL Server Dienste (SQL Server, SQL Server Reporting Services, SQL Server Analysis Services, SQL Browser Dienst) sollten unter dem Konto Lokalen System laufen Um SPNs registrieren zu können müssen Sie als Domänen-Administrator angemeldet sein Unter Windows Server 2003 müssen sie die Support Tools installieren welche sie hier herunterladen können 2 Delegierungskonfiguration über das Tool Configuration.exe 2.1 Registrieren von SPNs über das Tool Configuration.exe Die Registrierung der SPNs (Lokales Systemkonto / Domänenkonto) ist ab der ID EFIX Version über das Tool configuration.exe (im ID EFIX Server Ordner) möglich. Der Unterpunkt SPN ist nur sichtbar, wenn sich der ID EFIX und SQL Server auf unterschiedlichen Hosts befinden. Zur Registrierung der SPNs geben Sie bitte den Kontotyp an, unter dem die SQL Dienste laufen. Wird ein Domänenkonto verwendet geben Sie bitte auch die Domäne und das verwendete Konto an. Anschließend klicken Sie auf Registrieren. Seite 5

6 2.2 Aktivieren der Eingeschränkten Delegierung Rufen Sie auf dem Domänencontroller die Active Directory Benutzer- und Computerverwaltungs-konsole auf. Suchen Sie das Computerkonto, auf dem der ID EFIX Server installiert ist und lassen sich von diesem die Eigenschaften anzeigen. Wechseln Sie auf den Reiter Delegierung und wählen sie die Optionen Computer bei Delegierungen angegebener Dienste vertrauen sowie Beliebiges Authentifizierungsprotokoll verwenden aus. Klicken Sie auf Hinzufügen und anschließend auf Benutzer od. Computer. Suchen Sie anschließend das Computerkonto des SQL Servers bzw. das Domänenkonto unter dem die SQL Dienste ausgeführt werden. Seite 6

7 Es wird Ihnen nun eine Liste aller registrierten SPNs dieses Hosts angezeigt. Wählen sie nun die folgenden SPNs aus der Liste aus o MSSQLSvc/HOST.DOMÄNE o MSOLAPSvc.3/HOST.DOMÄNE o HTTP/HOST.DOMÄNE Handelt es sich bei Ihrem SQL Server um eine Benannte Instanz wählen sie bitte zusätzlich folgende SPNs hinzu: o MSSQLSvc/HOST.DOMÄNE:INSTANZ o MSO- LAPSvc.3/HOST.DOMÄNE:INSTANZ o MSOLAPDisco.3/ HOST.DOMÄNE Um die Änderungen in der Domäne wirksam werden zu lassen, führen sie bitte eine Synchronisierung der Domänencontroller durch. Seite 7

8 3 Registrieren von SPNs für das Computerkonto Lokales System 3.1 SQL Server Reporting Services Eine Ausführliche Anleitung von Microsoft für diese Arbeitsschritte finden Sie unter dem folgenden Link: Bitte registrieren Sie mittels setspn die folgenden SPNs: setspn.exe -A HTTP/HOST.DOMÄNE HOST setspn.exe -A HTTP/HOST HOST Für unser Haus würde dies konkret so aussehen: setspn.exe -A HTTP/idsv001.ID-BERLIN.local idsv001 setspn.exe -A HTTP/idsv001 idsv SQL Server Analysis Services Eine Ausführliche Anleitung von Microsoft für diese Arbeitsschritte finden Sie unter dem folgenden Links. Sind die SQL Server Analysis Services als Standardinstanz installiert so können sie mit dem Punkt fortfahren. Handelt es sich in Ihrem Haus um eine benannte Instanz, überspringen sie den Punkt und fahren mit dem Punkt fort SQL Server Analysis Services (Standardinstanz) Bitte registrieren Sie mittels setspn die folgenden SPNs: setspn.exe -A MSOLAPSvc.3/HOST.DOMÄNE HOST setspn.exe -A MSOLAPSvc.3/HOST HOST Für unser Haus würde dies konkret so aussehen (Local System - Konto): setspn.exe -A MSOLAPSvc.3/idsv001.ID-BERLIN.local idsv001 setspn.exe -A MSOLAPSvc.3/idsv001 idsv SQL Server Analysis Services (Benannte Instanz) Bitte registrieren Sie mittels setspn die folgenden SPNs: setspn.exe -A MSOLAPSvc.3/HOST.DOMÄNE:INSTANZ HOST setspn.exe -A MSOLAPSvc.3/HOST:INSTANZ HOST setspn.exe -A MSOLAPDisco.3/HOST.DOMÄNE HOST setspn.exe -A MSOLAPDisco.3/HOST HOST Seite 8

9 Für unser Haus würde dies konkret so aussehen (Local System - Konto): setspn.exe -A MSOLAPSvc.3/idsv001.ID-BERLIN.local:MSSQL2014 idsv001 setspn.exe -A MSOLAPSvc.3/idsv001:MSSQL2014 idsv001 setspn.exe -A MSOLAPDisco.3/idsv001.ID-BERLIN.local idsv001 setspn.exe -A MSOLAPDisco.3/idsv001 idsv001 4 Registrieren von SPNs für ein Domänenkonto 4.1 SQL Server Dienst Eine Ausführliche Anleitung von Microsoft für diesen Arbeitsschritt finden Sie unter dem folgendem Link. Öffnen Sie die Kommandozeile und gegen Sie bitte die nachfolgenden Kommandos ein. setspn.exe -A MSSQLSvc/HOST.DOMÄNE DOMÄNE\KONTO setspn.exe -A MSSQLSvc/HOST.DOMÄNE:PORT DOMÄNE\KONTO Bei einer benannten SQL Server Instanz ist zusätzlich folgender SPN zu registrieren: setspn.exe -A MSSQLSvc/HOST.DOMÄNE:INSTANZ DOMÄNE\KONTO Für unser Haus würde dies konkret so aussehen: setspn.exe -A MSSQLSvc/idsv001.ID-BERLIN.local ID-BERLIN\Demo setspn.exe -A MSSQLSvc/idsv001.ID-BERLIN.local:1433 ID-BERLIN\Demo setspn.exe -A MSSQLSvc/idsv001.ID-BERLIN.local:MSSQL2014 ID-BERLIN\Demo 4.2 SQL Server Reporting Services Dienst Eine Ausführliche Anleitung von Microsoft für diese Arbeitsschritte finden Sie unter dem folgenden Link: Bitte registrieren Sie mittels setspn die folgenden SPNs: setspn.exe -A HTTP/HOST.DOMÄNE DOMÄNE\KONTO setspn.exe -A HTTP/HOST DOMÄNE\KONTO Für unser Haus würde dies konkret so aussehen: setspn.exe -A HTTP/idsv001.ID-BERLIN.local ID-BERLIN\Demo setspn.exe -A HTTP/idsv001 ID-BERLIN\Demo Seite 9

10 4.3 SQL Server Analysis Services Eine Ausführliche Anleitung von Microsoft für diese Arbeitsschritte finden Sie unter dem folgenden Links. Sind die SQL Server Analysis Services als Standardinstanz installiert so können sie mit dem Punkt fortfahren und den Punkt überspringen. Handelt es sich in Ihrem Haus um eine benannte Instanz, überspringen sie den Punkt und fahren mit dem Punkt fort SQL Server Analysis Services (Standardinstanz) Bitte registrieren Sie mittels setspn die folgenden SPNs: setspn.exe -A MSOLAPSvc.3/HOST.DOMÄNE DOMÄNE\KONTO setspn.exe -A MSOLAPSvc.3/HOST DOMÄNE\KONTO Für unser Haus würde dies konkret so aussehen: setspn.exe -A MSOLAPSvc.3/idsv001.ID-BERLIN.local ID-BERLIN\Demo setspn.exe -A MSOLAPSvc.3/idsv001 ID-BERLIN\Demo SQL Server Analysis Services (Benannte Instanz) Bitte registrieren Sie mittels setspn die folgenden SPNs: setspn.exe -A MSOLAPSvc.3/HOST.DOMÄNE:INSTANZ DOMÄNE\KONTO setspn.exe -A MSOLAPSvc.3/HOST:INSTANZ DOMÄNE\KONTO setspn.exe -A MSOLAPDisco.3/HOST.DOMÄNE DOMÄNE\KONTO setspn.exe -A MSOLAPDisco.3/HOST DOMÄNE\KONTO Für unser Haus würde dies konkret so aussehen: setspn.exe -A MSOLAPSvc.3/idsv001.ID-BERLIN.local:MSSQL2008R2 ID- BERLIN\Demo setspn.exe -A MSOLAPSvc.3/idsv001:MSSQL2008R2 ID-BERLIN\Demo setspn.exe -A MSOLAPDisco.3/idsv001.ID-BERLIN.local ID-BERLIN\Demo setspn.exe -A MSOLAPDisco.3/idsv001 ID-BERLIN\Demo Seite 10

11 5. Zusammenfassung Schritt 1: SPNs über Configuration.exe oder CMD registrieren: (Host = SQL Server, Domänenkonto = Konto unter dem der SQL Server Dienst läuft) Lokales System Reporting Service setspn.exe -A HTTP/HOST.DOMÄNE HOST setspn.exe -A HTTP/HOST HOST Analysis Service - Standardinstanz setspn.exe -A MSOLAPSvc.3/HOST.DOMÄNE HOST setspn.exe -A MSOLAPSvc.3/HOST HOST Analysis Service - Benannte Instanz setspn.exe -A MSOLAPSvc.3/HOST.DOMÄNE:INSTANZ HOST setspn.exe -A MSOLAPSvc.3/HOST:INSTANZ HOST setspn.exe -A MSOLAPDisco.3/HOST.DOMÄNE HOST setspn.exe -A MSOLAPDisco.3/HOST HOST Domänenkonto SQL Server Dienst setspn.exe -A MSSQLSvc/HOST.DOMÄNE DOMÄNE\KONTO setspn.exe -A MSSQLSvc/HOST.DOMÄNE:PORT DOMÄNE\KONTO Bei einer benannten SQL Server Instanz ist zusätzlich folgender SPN zu registrieren: setspn.exe -A MSSQLSvc/HOST.DOMÄNE:INSTANZ DOMÄNE\KONTO Reporting Service setspn.exe -A HTTP/HOST.DOMÄNE DOMÄNE\KONTO setspn.exe -A HTTP/HOST DOMÄNE\KONTO Analysis Service - Standardinstanz setspn.exe -A MSOLAPSvc.3/HOST.DOMÄNE DOMÄNE\KONTO setspn.exe -A MSOLAPSvc.3/HOST DOMÄNE\KONTO Analysis Service - Benannte Instanz setspn.exe -A MSOLAPSvc.3/HOST.DOMÄNE:INSTANZ DOMÄNE\KONTO setspn.exe -A MSOLAPSvc.3/HOST:INSTANZ DOMÄNE\KONTO setspn.exe -A MSOLAPDisco.3/HOST.DOMÄNE DOMÄNE\KONTO setspn.exe -A MSOLAPDisco.3/HOST DOMÄNE\KONTO Schritt 2: Im AD das ID EFIX Computerkonto aufrufen Schritt 3. Delegierung für Computerkonto (SQL Server) od. Benutzerkonto aktivieren Seite 11

12 6 Fehlerquellen Im folgenden Abschnitt sind einige mögliche Fehlerquellen und Lösungswege beschrieben, die Ihnen helfen sollen die Eingeschränkte Delegierung erfolgreich zu Aktivieren. 6.1 SPNs einer benannten SQL Server Instanz können unter einem Windows Server 2003 Domänencontroller nicht hinzugefügt werden Bei einer benannten SQL Server Instanz müssen Sie wie oben beschrieben SPNs mit dem Instanz Namen registrieren. Wenn es sich bei Ihrem Domänencontroller um einen Windows Server 2003 handelt, können diese SPNs nicht in der Liste angezeigt werden (1.5). Es handelt sich hierbei um einen bekannten Bug seitens Microsoft der im Knowledge-Base-Artikel (KB936628) beschrieben ist. Sie erhalten dort Informationen wie sie die SPNs einer benannten SQL Server Instanz auch auf einem Windows Server 2003 registrieren und delegieren können. Bitte klicken Sie dazu auf folgenden Link: Trotz aktivierter Delegierung kann keine Verbindung zum Modul Reporting hergestellt werden. Wenn Sie trotz aktivierter Delegierung nach dieser Anleitung eine Fehlermeldung bei der Diagnose bekommen z.b. The request failed with HTTP status 401: Unauthorized. Ist eventuell der Authentifizierungstyp in den SQL Server Reporting Services nicht korrekt konfiguriert. Dies können Sie leicht in der Konfigurationsdatei, der SQL Server Reporting Services überprüfen. Die Konfigurationsdatei finden Sie unter dem folgenden Pfad: SQL Server 2014 <Installationsverzeichnis des SQL Server>\MSRS12.<INSTANZNAME>\Reporting Services\ReportServer\rsreportserver.config Öffnen sie die Datei mit einem Editor und durchsuchen sie die Datei nach der Zeichenfolge RSWindowsNegotiate. Wird diese Zeichen folge nicht gefunden suchen sie nach der Zeichenfolge AuthenticationTypes. Fügen Sie darunter vor <RSWindowsNTLM/> die Zeichenfolge <RSWindowsNegotiate/> ein. Danach starten Sie den SQL Server Reporting Services Dienst neu. Weitere Information von Microsoft zur Konfiguration der Windows-Authentifizierung in den SQL Server Reporting Services finden sie unter dem folgendem Link: Seite 12

13 6.3 Trotz aktivierter Delegierung kann keine Verbindung zum Modul Analyzer hergestellt werden. Dieser Fehler kann auftreten, wenn sie den ID EFIX Server und / oder den Microsoft SQL Server unter dem Betriebssystem Windows Server 2008 ausführen. Dabei handelt es sich um einen bekannten Bug im Windows Server 2008 und Windows Vista. Dieser wird im folgenden Knowledge Base Artikel beschrieben. Microsoft hat ein Hotfix für dieses Problem veröffentlicht, welches sie unter demselben Link herunterladen können. Bitte installieren sie das Hotfix auf dem Windows Server 2008 auf dem der den ID EFIX Server und / oder der Microsoft SQL Server ausgeführt wird. Sie müssen in jedem Fall die Server nach der Installation des Hotfix neustarten Verbindungsprobleme zu den Modulen Analyzer, Reporting und MDK Wenn es weiterhin zu Verbindungsproblemen kommt, öffnen sie den Konfigurationsmanager am ID EFIX Server. Dieser liegt im Installationsordner des ID EFIX Servers Configuration.exe. Wechseln Sie links im Navigationsbereich zum Menüpunkt Microsoft SQL Server. Tragen sie für den vorhanden Hostnamen / IP des SQL Servers, der Reporting und Analysis Services, den vollqualifizierten Domänennamen des SQL Server-Host ein. Danach starten Sie bitte den ID EFIX Server neu! 7 Glossar 7.1 SPN (Service Principal Name) Unter dem Service Principal Name versteht man den eindeutigen Namen eines Dienstes im Active Directory. Wenn ein Client versucht eine Ressource zu erreichen wird er ohne ein entsprechendes, gültiges Ticket abgewiesen. Bei der Anfrage an das Active Directory muss der Client angeben, für welches Ziel ein Ticket ausgestellt werden soll. Das Active Directory muss daher auf ein gültiges Dienstkonto zurückgreifen können, um das Ticket auszustellen. Seite 13

14 8 Ihre Notizen Seite 14

15 Kontakt ID Information und Dokumentation im Gesundheitswesen GmbH & Co. KGaA Platz vor dem Neuen Tor Berlin Telefon: +49 (30) info@id-berlin.de Support Telefon Fax +49 (30) (30) support@id-berlin.de Telefon Fax +41 (71) (71) support@id-suisse-ag.ch Urheberrechte Sämtliche Daten, die Software sowie die Benutzerführung von ID EFIX sind urheberrechtlich geschützt. Jede Verwertung ohne Zustimmung seitens der ID GmbH ist nicht zulässig und strafbar. Dies gilt insbesondere für Vervielfältigungen, Übersetzungen sowie Einspeicherung und Verarbeitung in andere elektronische Medien, und zwar sowohl für ID EFIX als Ganzes als auch für Auszüge / Teilkomponenten aus ID EFIX. Haftung und Datenschutz Hersteller, Autoren und die Redaktion haben große Sorgfalt darauf verwendet, dass die in ID EFIX und in den Publikationen der ID GmbH & Co. KGaA veröffentlichten Angaben dem derzeitigen Wissensstand entsprechen. Eine Haftung für die in ID EFIX bereitgestellter Inhalt ist jedoch ausgeschlossen. Die vorliegende Software wurde mit größter Sorgfalt hergestellt und getestet. Nach dem aktuellen Stand der Technik ist es jedoch nahezu ausgeschlossen, Software so zu erstellen, dass sie mit allen Hard- und / Softwarekombinationen fehlerfrei arbeitet. Daher kann die ID GmbH & Co. KGaA keine Gewährleistung dafür übernehmen, dass das Programmsystem alle Anforderungen des Nutzers erfüllt, bzw. für Fehler oder Schäden infolge Nutzung dieses Programms haftet. Seite 15