Durante il monitoraggio dei log di sistema, è stato riscontrato un errore critico relativo al Key Distribution Center (KDC). L'errore segnalava la presenza di Service Principal Name (SPN) duplicati, un problema che può causare il downgrade dell'autenticazione da Kerberos a NTLM o il fallimento totale delle connessioni verso il database.
Log di Errore:
"The KDC encountered duplicate names while processing a Kerberos authentication request. The duplicate name is MSSQLSvc/ZXCSY.local:1433"
Analisi del Problema
In un ambiente Active Directory, un SPN deve essere univoco e associato a un solo account (utente o computer). Se lo stesso SPN è registrato su più oggetti, il protocollo Kerberos non è in grado di determinare quale chiave utilizzare per criptare il ticket di servizio, compromettendo la sicurezza della transazione.
In un ambiente Active Directory, un SPN deve essere univoco e associato a un solo account (utente o computer). Se lo stesso SPN è registrato su più oggetti, il protocollo Kerberos non è in grado di determinare quale chiave utilizzare per criptare il ticket di servizio, compromettendo la sicurezza della transazione.
Procedura Tecnica di Risoluzione
Step 1: Identificazione dei duplicati
Utilizzando lo strumento da riga di comando setspn con i flag -F (ricerca globale) e -Q (query), ho individuato gli account in conflitto: setspn -F -Q MSSQLSvc/ZXCSY.local:1433
L'output ha confermato che l'SPN era registrato sia sull'account computer ZXCSY sia su un account utente di servizio dedicato.
Step 2: Scelta dell'account corretto
Attraverso la console services.msc sul server SQL, è stato verificato che il servizio SQL Server era configurato per l'avvio tramite un Account Utente di Dominio. Pertanto, l'SPN registrato sull'account Computer risultava ridondante e causa del conflitto.
Step 3: Rimozione dell'SPN duplicato
Ho proceduto alla rimozione della voce errata dall'account computer utilizzando il parametro -D (Delete): setspn -D MSSQLSvc/ZXCSY.local:1433 ZXCSY
Conclusione e Verifica
Una successiva query di controllo ha confermato che l'SPN è ora associato esclusivamente all'account di servizio. La risoluzione ha ripristinato l'autenticazione Kerberos, eliminando i fallback non sicuri verso NTLM e stabilizzando l'accesso all'infrastruttura SQL.
Ho proceduto alla rimozione della voce errata dall'account computer utilizzando il parametro -D (Delete): setspn -D MSSQLSvc/ZXCSY.local:1433 ZXCSY
Conclusione e Verifica
Una successiva query di controllo ha confermato che l'SPN è ora associato esclusivamente all'account di servizio. La risoluzione ha ripristinato l'autenticazione Kerberos, eliminando i fallback non sicuri verso NTLM e stabilizzando l'accesso all'infrastruttura SQL.