Workspace ONE Access Connector 上安裝 Kerberos 驗證服務之後,您會收到錯誤,指出 Kerberos 初始化失敗。

問題

Workspace ONE Access Connector 中安裝 Kerberos 驗證服務期間,如果您未選取您要以網域使用者帳戶的身分執行 Workspace ONE Access 服務嗎? 選項,或者您選取了選項但指定了在 Active Directory 中不具有「建立、刪除和管理使用者帳戶」權限的網域帳戶,便無法在安裝後初始化 Kerberos。在您嘗試設定 Kerberos 驗證配接器時,收到指出 Kerberos 初始化失敗的錯誤。

解決方案

使用具有較高權限的使用者帳戶來執行 setupkerberos.bat 指令碼。使用下列帳戶:

  • 網域使用者
  • 具有在 Active Directory 中「建立、刪除和管理使用者帳戶」的權限 (管理員使用者和帳戶操作員群組的成員具有這些權限)
  • Workspace ONE Access Connector 安裝所在的 Windows Server 上屬於管理員群組

具有較高權限的這個使用者帳戶僅需要用來暫時執行指令碼,不會儲存或再次用於連接器服務。在您執行指令碼之後,可以繼續使用原本使用的原始使用者帳戶來設定 Kerberos 驗證方法。

若要執行指令碼:

  1. 登入連接器 Windows 機器,並導覽至 InstallDir\Workspace_ONE_Access\Support\scripts 目錄。
  2. setupkerberos.bat 上按一下滑鼠右鍵,然後選取以系統管理員身分執行
  3. 輸入具有較高權限的使用者帳戶,如上所述。

    成功執行指令碼之後,隨即顯示確認訊息。

  4. 以您原本使用的原始使用者帳戶來登入 Workspace ONE Access 主控台,並設定 Kerberos 驗證方法。

關於 setupkerberos.bat 指令碼

setupkerberos.bat 指令碼會執行下列工作:

  1. 建立與機器帳戶相同名稱 (不含 $) 的服務帳戶
  2. 為帳戶設定隨機密碼
  3. 為帳戶產生 Keytab 檔案,儲存在 /usr/horizon/conf
  4. 將機器的指定主體對應為帳戶內的 SPN