Você pode enfrentar dificuldades ao configurar o Certificado para Kerberos ou o SAML para Kerberos no seu ambiente. Você pode usar vários procedimentos para diagnosticar e corrigir esses problemas.
Monitorando a integridade do servidor KDC e do servidor de aplicativos de back-end.
É possível observar rapidamente que os serviços implantados estão configurados e operando com sucesso a partir da IU do administrador para as configurações de borda.
Figura 1. Verificação de integridade - configurações de proxy reverso
É exibido um círculo antes do serviço. O código de cores é o seguinte:
Círculo vermelho: se o status for vermelho, isso poderá significar uma das opções a seguir.
Problemas de conectividade entre o Active Directory e o Unified Access Gateway
Problemas de bloqueio de portas entre o Active Directory e o Unified Access Gateway.
Observação: Certifique-se de que a porta 88 TCP e UDP esteja aberta na máquina do Active Directory.
As credenciais de nome e senha da entidade de segurança podem estar incorretas no arquivo keytab carregado.
Círculo verde: se o status for verde, isso significará que o Unified Access Gateway é capaz de fazer logon no Active Directory com as credenciais fornecidas no arquivo keytab.
Erro ao criar contexto do Kerberos: distorção muito grande do relógio
Esta mensagem de erro:
ERROR:"wsportal.WsPortalEdgeService[createKerberosLoginContext: 119][39071f3d-9363-4e22-a8d9-5e288ac800fe]: Error creating kerberos context.
Identity bridging may not work
javax.security.auth.login.LoginException: Clock skew too great"
é exibida quando o horário do Unified Access Gateway e o horário do servidor AD estão significativamente fora de sincronia. Redefina o horário no servidor AD para coincidir com a hora UTC exata do Unified Access Gateway.
Erro ao criar contexto do Kerberos: nome ou serviço não conhecido
Esta mensagem de erro:
wsportal.WsPortalEdgeService[createKerberosLoginContext: 133][]: Error creating kerberos context.
Identity bridging may not work
javax.security.auth.login.LoginException: Name or service not known
é exibida quando o
Unified Access Gateway não pode acessar o território configurado ou não pode conectar-se ao KDC com os detalhes do usuário no arquivo keytab. Confirme o seguinte:
o arquivo keytab foi gerado com a senha de conta de usuário SPN correta e foi carregado no Unified Access Gateway
o endereço IP do aplicativo de back-end e o nome do host foram adicionados corretamente nas entradas de host.
Erro no recebimento do token Kerberos para o usuário: [email protected], erro: erro de delegação de Kerberos: nome do método: gss_acquire_cred_impersonate_name: falha de GSS não especificado. Códigos menores podem fornecer mais informações
"Kerberos Delegation Error: Method name: gss_acquire_cred_impersonate_name: Server not found in Kerberos database"
Se esta mensagem for exibida, verifique se:
A relação de confiança entre os domínios está funcionando.
O nome SPN de destino está configurado corretamente.