Сеанс PowerShell credSSP с использованием IP
Мне нужно открыть удаленный сеанс Powershell с использованием аутентификации credSSP с сервера A на B. Однако сервер A не может разрешить имя B. CredSSP включен на A для передачи учетных данных (в "Разрешить делегирование свежих учетных данных" включен WSMAN/xxx.xxx.xxx.xxx) к B, B настроен на получение делегированных учетных данных. Можно ли как-нибудь открыть credssp, используя IP-адреса вместо имени хоста /FQDN?
PS C:\Windows\system32> New-PSSession xxx.xxx.xxx.xxx -Authentication Credssp -Credential user
New-PSSession : [xxx.xxx.xxx.xxx] Connecting to remote server xxx.xxx.xxx.xxx failed with the following error message : The WinRM c
lient cannot process the request. A computer policy does not allow the delegation of the user credentials to the target
computer because the computer is not trusted. The identity of the target computer can be verified if you configure the
WSMAN service to use a valid certificate using the following command: winrm set winrm/config/service '@{CertificateThu
mbprint="<thumbprint>"}' Or you can check the Event Viewer for an event that specifies that the following SPN could no
t be created: WSMAN/<computerFQDN>. If you find this event, you can manually create the SPN using setspn.exe . If the
SPN exists, but CredSSP cannot use Kerberos to validate the identity of the target computer and you still want to allow
the delegation of the user credentials to the target computer, use gpedit.msc and look at the following policy: Comput
er Configuration -> Administrative Templates -> System -> Credentials Delegation -> Allow Fresh Credentials with NTLM-o
nly Server Authentication. Verify that it is enabled and configured with an SPN appropriate for the target computer. F
or example, for a target computer name "myserver.domain.com", the SPN can be one of the following: WSMAN/myserver.domai
n.com or WSMAN/*.domain.com. Try the request again after these changes. For more information, see the about_Remote_Trou
bleshooting Help topic.
At line:1 char:1
+ New-PSSession xxx.xxx.xxx.xxx -Authentication Credssp -Credential user
1 ответ
"credssp" требует настройки SPN в групповой политике "AllowFreshCredentials"
"Параметр политики" Разрешить делегирование новых учетных данных (AllowFreshCredentials) "должен быть включен на клиенте WinRM, а в политику должно быть добавлено имя участника-службы (SPN) с префиксом WSMAN".
https://msdn.microsoft.com/en-us/library/ee309365%28v=vs.85%29.aspx?f=255&MSPPError=-2147217396
Синтаксис SPN требует полного доменного имени или имени NetBIOS, а не IP-адреса.
https://msdn.microsoft.com/en-us/library/ms677601(v=vs.85).aspx