Hallo zusammen, ich habe folgends Problem bzw. verstehe das Verhalten nicht so ganz. Wir haben bei einigen Windows Server 2019 Servern den SPN über den Netdom Befehl eingetragen. Das Auslesen des SPN über "netdom computername <server name> /enum" funktioniert dann manchmal mit dem Domänen Administrator und manchmal mit unseren "Server Admins". Die Fehlermeldung lautet dann einfach nur "Zugriff verweigert". Ein wirkliches Muster habe ich noch nicht rausgefunden. Beide User haben auf das Attribut "msDS-AdditionalDnsHostName" Leserechte. Soweit ich das verstehe, sollte das doch ausreichen um mit dem oben genannten Befehl den SPN auszulesen. Schreibrechte auf das Attribut brauche ich ja nur, wenn ich den SPN mit dem User setzen will. Aber auch das Rechte hätte der User. Oder was für Voraussetzungen müssen noch gegeben sein, damit man den SPN auslesen kann? Vielen Dank Grüße

Das richtige Tool nutzen Probiere es mal mit dem Tool für SPN -> setspn.exe setspn.exe -L home-srvmgmt01

Frage zum SPN / Netdom Befehl

Von phatair
13. November 2024 in Active Directory Forum

Abonnenten 4

Direkt zur Lösung Gelöst von MurdocX, 13. November 2024

Empfohlene Beiträge

daabm 1.375

Geschrieben Freitag um 18:14

- Melden
- Teilen

Geschrieben Freitag um 18:14

1. Den SPN mußt Du setzen für jeden Namen, den ein Client zum Zugriff verwendet. Interessante Aufgabe übrigens, wenn man CNAME verwendet. Je nach Client macht der gar keine Auflösung ("used as typed"), einmalige Auflösung (verwendet den ersten Record, den er findet), rekursive Auflösung (verwendet den A-Record Name) oder gar erst forward Lookup auf die IP, reverse Lookup auf den Hostname und den dann verwenden. Ein Heidenspaß...

2. Jeder SPN muss natürlich auch "irgendwie" per DNS erreichbar sein. Wie Du das erreichst, ist Deine Entscheidung :-)