Des Erreurs SQL Server 2008 18452 La connexion à partir d'un domaine non approuvé et ne peut pas être utilisé avec l'authentification Windows

Je suis à essayer de comprendre ce qui se passe. Voici notre programme d'installation:
Nous avons quatre serveurs SQL qui sont à la réplication avec les uns des autres.

Nous ajouter un nouvel utilisateur de Windows Active Directory et les ajouter à un groupe qui est dans SQL Server qui nous ont été en utilisant des âges.

Le nouvel utilisateur, lorsque l'on essaie de s'authentifier à l'aide de Windows authenication retourne cette erreur dans la ligne d'objet. Mais, tous les utilisateurs qui étaient auparavant dans Active directory fonctionne correctement.

À un moment, j'avais obtenu SQL Server "rattrapé" becauuse nous avons eu un groupe d'utilisateurs qui ne pouvais pas se connecter à cause de cette erreur. J'ai fait quelques changements à la Spn et a fini par faire cela afin que personne ne pouvait se connecter. Puis j'ai réalisé combien les noms principaux de service étaient censés regarder et il fixe. Alors je pense que la magie s'est passé et que ces utilisateurs ont été en mesure de s'authentifier. Je pensais que c'était réglé, mais il n'est évidemment pas que nous avons dû ajouter un nouvel utilisateur, et ils ne peuvent pas s'authentifier.

Ce qui est intéressant, c'est que l'utilisateur peut s'authentifier avec trois des quatre Serveurs SQL. C'est ce serveur qui fonctionne mal. J'ai mis en place deux noms principaux de service pour le Service SQl sur ce serveur sql.

Ils ressemblent à -

MSSQLSvc/[nomserveur].[domaine].local:1433

MSSQLSvc/[nomserveur]:1433

Ces sont inscrits au compte de Service que nous utilisons pour les Serveurs SQL. Ce qui est intéressant, c'est que je ne peux pas trouver les noms principaux de service pour les serveurs qui sont à travailler n'importe où.

Toute aide serait appréciée!

Edit: Aussi, un autre point à noter est que si j'essaie d'ajouter l'utilisateur directement comme une connexion à SQL server. Je clic droit sur Connexions et cliquez sur Ajouter une Connexion, puis cliquez sur rechercher. Je puis tapez [Domaine]\[nom d'utilisateur] et cliquez sur vérifier les noms. Il valide le nom comme étant correcte. Puis je clique sur OK. Et puis de nouveau sur OK, et il donne l'Erreur d'utilisateur Windows NT ou le groupe "[Domaine]\[nom d'utilisateur] " introuvable. Vérifiez à Nouveau le nom.

InformationsquelleAutor bigphildogg86 | 2012-06-15
  1. 3

    Je pensais que c'était réglé, mais il n'est évidemment pas que nous avons dû ajouter une
    nouvel utilisateur et ils ne peuvent pas s'authentifier.

    L'utilisateur doit se reconnecter afin de ramasser le nouveau groupe. Sinon, c'est ticket kerberos utilise toujours l'ancien groupe d'appartenance de l'information dans son PAC

    Ces sont inscrits au compte de Service que nous utilisons pour
    les Serveurs SQL. Ce qui est intéressant, c'est que je ne peux pas trouver les noms principaux de service pour
    les serveurs de travailler de n'importe où.

    Je pense que ce qui arrive est que vous avez un Serveur SQL avec SPN correctement le programme d'installation tandis que les trois autres Serveurs SQL avec pas de nom principal de service d'installation à tous. Donc, vous allez à l'utilisation de Kerberos sur ce serveur alors que NTLM sur les trois autres.

    Comme mentionné précédemment, lorsque vous êtes à l'aide de Kerberos, vous devez purger le billet à l'aide de certains outils ou vous devez vous reconnecter afin de ramasser le nouveau groupe d'appartenance. Vous pouvez aussi essayer de verrouiller l'écran, puis le déverrouiller. Si je me souviens bien, cela devrait également actualiser le billet.

    Contrairement à Kerberos, NTLM ne porte pas le groupe memberhsip de données. Après SQL Server authentifié l'utilisateur à l'aide de l'authentification NTLM, il va trouver de l'utilisateur authentifié de l'appartenance à un groupe, y compris le nouveau groupe que vous venez d'ajouter.

    • Alors que ce n'était pas exactement la réponse qu'il a fait me diriger dans la bonne direction. Il m'a indiqué qu'il était d'essayer d'utiliser une autre façon de s'authentifier. Donc, tout ce que j'avais à faire était dans active directory j'ai Permis à cette sql server à être approuvé pour la délégation pour l'authentification kerberos. J'ai été en mesure d'ajouter un nouvel utilisateur, connectez-vous comme eux, et à authentifier avec SQL Server immédiatement. Merci!
    • Merci de bien vouloir accepter ma réponse. Veux juste clarifier une chose. L'octroi de SQL Server à être approuvé pour la délégation kerberos signifie que vous permet à SQL server à usurper l'identité de l'utilisateur final et le serveur SQL est permis d'utiliser le jeton d'emprunt d'identité de parler à un autre serveur sur le réseau. Peut-être, je n'ai pas encore tout à fait comprendre votre situation. Vous n'avez pas besoin de cette subvention pour SQL Server normalement. Habituellement, cela est requis sur le serveur web car le serveur web a besoin d'emprunter l'identité de l'utilisateur final et l'utilisation de l'utilisateur final l'identité de contacter le Serveur SQL.
    • Oh...Hm, intéressant. Vous ne savez pas ce qui se passait. Mais ouais à partir de l'original de votre réponse j'avais ajouté l'utilisateur connecté en tant qu'eux et il n'était toujours pas de travail. C'était le fait qu'il semblait que ce Serveur SQL n'était pas d'obtenir une mise à jour de la liste des utilisateurs. Dans le journal des événements, il était curieux, mais parce que le nom d'utilisateur serait vide quand il a échoué. Comme il ne reconnaissent même pas qui j'étais en train d'ajouter. La seule chose que je peux penser est que ce serveur est dans le domaine mais de toute façon il est corrompu dans le setup?
    • Une chose qui me vient à l'esprit est que vous pouvez avoir un domaine avec plusieurs contrôleurs de domaine. Les informations d'appartenance au groupe n'est pas répliqué à un autre contrôleur de domaine pourtant. Donc, même si vous reconnecter, il ne peut toujours pas prendre le nouveau groupe de l'information. Cependant, à partir de ce que vous dites, il ne sonne comme du temps sensible. Je crois qu'il n'est pas lié à la "délégation pour kerberos" paramètres". C'est juste après avoir passé quelques heures de toucher à ce paramètres et des réglages, l'appartenance à un groupe a finalement obtenu répliqué.
    • Je crois que nous avons deux contrôleurs de domaine. Mais je pense que notre SQL Serveur, à l'aide de la primaire pas le secondaire comme tous les autres Serveurs SQL doit être en utilisant.
    • Pour moi, j'avais changé mon mot de passe de domaine le matin, et je pense que j'étais toujours connecté à distance sur certaines machines avec mon ancien mot de passe. Je sais que ce n'est pas logique, mais quand je me suis déconnecté de la connexion à distance, et au redémarrage de ma machine encore une fois, tout a été trié. J'ai passé beaucoup de temps à essayer de régler ce un un, mais le redémarrage de la trie.

    InformationsquelleAutor Harvey Kwok