Kerberos - Alptraum oder Zusammenspiel?

Transkript

1 Kerberos - Alptraum oder Zusammenspiel? SQL Server, SharePoint, ein Client und der Doppelhopp Mark A. Kuschel

2 Organizer SQLSaturday Rheinland 2015

3 Bronze Sponsor SQLSaturday Rheinland 2015

4 Silver Sponsor SQLSaturday Rheinland 2015

5 Gold Sponsor SQLSaturday Rheinland 2015

6 You rock! SQLSaturday Rheinland 2015

7 Quelle: Club Kerberos?

8 Serveranmeldung: Klassisch GET Default.aspx HTTP 401

9 Serveranmeldung: Klassisch Du kommst hier net rein! WWW-Authenticate HTTP 403

10 Basic / NTLM Authentifizierung Direktes Versenden der Anmelde-informationen von Client und Server Häufig unverschlüsselte Übermittlung (Basic) NTLM ist über einen Hash ein wenig sicherer Abgreifen / Fälschen der Informationen über Man-In-The-Middle Attacken ist einfach möglich Alle Dienste müssen auf dem selben Server Installiert sein

11 Mit Kerberos geht es sicher Server und Dienste misstrauen sich standardmäßig gegenseitig Der Benutzer erhält bei der Anmeldung am Active Directory ein Kerberos Token und einen Sitzungsschlüssel für die Authentifizierung sowie Verschlüsselung des Datenverkehrs

12 Kerberos ist nicht Microsoft spezifisch! Definiert in RFC 4120 (Version 5, July 2005) Ursprünglich RFC 1510 (September 1993) Active Directory ist am weitesten verbreitete Implementierung (Microsoft Security Support Provider Interface = SSPI) Weitere: MIT Kerberos (Unix / Linux) Heimdal Kerberos (Unix, Linux, Mac) GNU Shishi (Unix / Linux)

13 Vertrauen und Delegierung Das Kerberos Token kann nur zwischen Servern und Diensten weitergereicht werden, welche sich explizit gegenseitig vertrauen Jeder Server und Dienst muss mit Server Prinzipal Namen (SPN) registriert werden Um das weiterreichen zu Erlauben muss eine Delegierung eingerichtet werden

14 Kerberos im SSPI Kontext

15 Kerberos Tickets

16 WinLogon

17 Beispiele für SPNs MSSQLSvc/MeinSQLServer ADVENTUREWORKS\SQLService http/meinsharepointserver ADVENTUREWORKS\SPWebService Definiert die Dienste, diese vertrauen sich aber noch nicht SharePoint SQL-Server

18 Delegierung definieren Kein Kommandozeilen- Befehl verfügbar Eigenschaften des Dienstkontos Delegierung auf Zielserver, Dienst und Protokoll definieren

19 DEMO SPN im AD, SetSPN und Delegierungen

20 Authentifizierung per Excel-Client (ROLAP) MDX SQL Analysis Services SQL-Server

21 Das Zusammenspiel mit SharePoint HTTP HTTP SQL? SharePoint Berichtsserver SQL-Server

22 Und was ist mit diesen Geräten? Können sich nicht am Active Directory anmelden Kein Kerberos

23 Claims to Windows Token Service (C2WTS) Fragt ein Kerberos Token am Domänencontroller an, nach Anmeldung per Web Benötigt spezielle Servereinstellungen (lokale Sicherheitsrichtlinie) Einsetzen als Teil des Betriebssystems Als Dienst anmelden Annehmen der Clientidentität nach Authentifizierung Muss im SharePoint als Service Application eingerichtet werden

24 Der Anmeldevorgang im Detail HTTP HTTP SQL www Auth SharePoint Berichtsserver SQL-Server C2WTS

25 Demo C2WTS

26 SPNs SQL Server MSSQLSvc/MeinSQLServer:1433 ADV\SQLService MSSQLSvc/MeinSQLServer.dev.local:1433 ADV\SQLService MSOLAPDisco.3/MeinSSASServer ADV\SSASService MSOLAPSvc.3/MeinSSAServer.adventureworks.local ADV\SSASService MSOLAPSvc.3/MeinSSASServer ADV\SSASService MSOLAPDisco.3/MeinSSASServer. adventureworks.local ADV\SSASService MSOLAPSvc.3/MeinSSASServer. adventureworks.local:1433 ADV\SSASService MSOLAPSvc.3/MeinSSASServer:1433 ADV\SSASService

27 SPNs SQL Server seit 2012 R2 MSSQLSvc/MeinSQLServer:1433 ADV\SQLService MSSQLSvc/MeinSQLServer.dev.local:1433 ADV\SQLService MSOLAPDisco.3/MeinSSASServer ADV\SSASService MSOLAPSvc.3/MeinSSAServer.adventureworks.local ADV\SSASService MSOLAPSvc.3/MeinSSASServer ADV\SSASService MSOLAPDisco.3/MeinSSASServer. adventureworks.local ADV\SSASService MSOLAPSvc.3/MeinSSASServer. adventureworks.local:1433 ADV\SSASService MSOLAPSvc.3/MeinSSASServer:1433 ADV\SSASService NEU FQDN ist ausreichend

28 SPNs SharePoint & SSRS SP/C2WTS ADV\C2WTS http/intranet ADV\SPService http/intranet.adventureworks.local ADV\SPService http/reporting ADV\SSRSService http/reporting.adventureworks.local ADV\SSRSService

29 Alles klar? Oder eher nicht?

30 Hilfe! Kerberos funktioniert nicht Registry & Eventlog Microsoft Message Analyzer

31 Save the date!