主页 / dba / 问题 / 222873
Accepted
paulH
Asked: 2018-11-20 04:46:37 +0800 CST

SQL Server - 注册服务主体名称而不重新启动服务？

  • 772

我有一个没有注册 SPN 的实时 SQL Server 2012 环境 - 这以前不是问题，因为不需要 Kerberos 身份验证。但现在它是必需的。

我已经正确配置了所有内容，但是在进行了这些更改之后，我想确保 SQL Server 可以成功注册 SPN——最好不要重新启动服务，因为这是一个实时环境。

有没有办法做到这一点？

PS 我知道我可以手动注册 SPN，但我想确保它们可以自动注册。

sql-server kerberos

1 个回答

  1. Best Answer

    快速回答

    问题：

    我已经正确配置了所有内容，但是在进行了这些更改之后，我想确保 SQL Server 可以成功注册 SPN——最好不要重新启动服务，因为这是一个实时环境。

    有没有办法做到这一点？

    回答：

    不。

    解释

    来自官方文档Register a Service Principal Name for Kerberos Connections

    服务主体名称 (SPN) 必须在 Active Directory 中注册，它在 Windows 域中担任密钥分发中心的角色。SPN 在注册后会映射到启动 SQL Server 实例服务的 Windows 帐户。如果 SPN 注册尚未执行或失败，则 Windows 安全层无法确定与 SPN 关联的帐户，并且不会使用 Kerberos 身份验证。

    和

    如果服务器无法自动注册 SPN，则必须手动注册 SPN。请参阅手动 SPN 注册。

    在“自动 SPN 注册”部分的下方，您可以找到

    当 SQL Server 数据库引擎的实例启动时，SQL Server 会尝试为 SQL Server 服务注册 SPN。当实例停止时，SQL Server 会尝试注销 SPN。对于 TCP/IP 连接，SPN 以 MSSQLSvc/: 格式注册。命名实例和默认实例都注册为 MSSQLSvc，依靠值来区分实例。

    概括

    SQL Server 服务本质上是在服务启动时自动注册 SPN。如果您无法启动 SQL Server 服务，则必须手动执行此任务。

    注意事项

    确保允许启动 SQL Server 服务的服务帐户读取和写入 SPN。

    为此，您必须为 Active Directory 目录服务中的 SQL Server 服务帐户授予以下访问控制设置：

    • 读取 servicePrincipalName
    • 写 servicePrincipalName

    参考：如何在 SQL Server 中使用 Kerberos 身份验证（Microsoft 支持）

    • 3

相关问题