Möglicherweise treten Probleme beim Konfigurieren von Certificate-to-Kerberos oder SAML-to-Kerberos in Ihrer Umgebung auf. Sie können diese Probleme anhand mehrerer Verfahren diagnostizieren und korrigieren.

Überwachung des KDC-Server-Zustands und des Back-End-Anwendungsservers

Über die Verwaltungsoberfläche für die Edge-Einstellungen können Sie schnell erkennen, ob die von Ihnen bereitgestellten Dienste konfiguriert und gestartet sind und erfolgreich ausgeführt werden.

Abbildung 1. Integritätsprüfung – Reverse-Proxy-Einstellungen

Vor dem Dienst wird ein Kreis angezeigt. Die Farbcodierung hat die nachfolgende Bedeutung.

  • Roter Kreis: Der Status „Rot“ kann auf Folgendes hinweisen:

    • Konnektivitätsprobleme zwischen Unified Access Gateway und Active Directory

    • Port zwischen Unified Access Gateway und Active Directory blockiert.

      Hinweis:

      Stellen Sie sicher, dass auf dem Active Directory-Computer TCP- und UDP-Port 88 geöffnet ist.

    • Anmeldedaten aus Prinzipalname und Kennwort in der hochgeladenen Keytab-Datei sind möglicherweise nicht korrekt.

  • Grüner Kreis: Der Status „Grün“ bedeutet, dass Unified Access Gateway sich bei Active Directory mit den Anmeldedaten in der Keytab-Datei anmelden kann.

Fehler beim Erstellen von Kerberos-Kontext: Zeitversatz zu groß

Die Fehlermeldung 

ERROR:"wsportal.WsPortalEdgeService[createKerberosLoginContext: 119][39071f3d-9363-4e22-a8d9-5e288ac800fe]: Error creating kerberos context. 
Identity bridging may not work
javax.security.auth.login.LoginException: Clock skew too great"

wird angezeigt, wenn die Zeit von Unified Access Gateway und die AD-Serverzeit sehr asynchron sind. Setzen Sie die Zeit auf dem AD-Server zurück, damit sie mit der genauen UTC-Zeit auf Unified Access Gatewayübereinstimmt.

Fehler beim Erstellen von Kerberos-Kontext: Name bzw. Dienst nicht bekannt

Die Fehlermeldung 

wsportal.WsPortalEdgeService[createKerberosLoginContext: 133][]: Error creating kerberos context. 
Identity bridging may not work 
javax.security.auth.login.LoginException: Name or service not known

wird angezeigt, wenn Unified Access Gateway den konfigurierten Bereich nicht erreichen kann oder mit den in der Keytab-Datei angegebenen Benutzerdaten keine Verbindung zu KDC herstellen kann. Überprüfen Sie Folgendes:

  • Die Keytab-Datei wird mit dem korrekten Kennwort für das SPN-Benutzerkonto generiert und zu Unified Access Gateway hochgeladen.

  • Die IP-Adresse der Back-End-Anwendung und der Hostname werden in Hosteinträgen korrekt hinzugefügt.

Fehler beim Empfangen des Kerberos-Tokens für den Benutzer: [email protected], Fehler: Kerberos-Delegierungsfehler: Methodenname: Gss_acquire_cred_impersonate_name: Nicht spezifizierter GSS-Fehler. Minor-Code kann weitere Informationen bereitstellen.

"Kerberos Delegation Error: Method name: gss_acquire_cred_impersonate_name: Server not found in Kerberos database"

Wenn diese Meldung angezeigt wird, überprüfen Sie, ob:

  • die Vertrauenseinstellung zwischen den Domänen funktioniert.

  • Der Ziel-SPN-Name richtig konfiguriert ist.