Re: Авторизация Kerberos на AD 2003 Server SP2 + Outlook

От: Sergey Sakirkin <CGatePro_at_mx_ru>
Дата: Tue 10 Jun 2008 - 13:22:25 MSD

Добрый день.

так проблема разрешилась.
Краткая выжимка из истории болезни.
Клиент Outlook 2003/2007 успешно залогинился через Kerberos, на следующих установках кейтаба:
ktpass -princ imap/domm.ru@AIRPORT.LAN -mapuser cgatepro -pass cgatepro -out keytab-1.data -crypto RC4-HMAC-NT -ptype KRB5_NT_SRV_INST -kvno 4 В параметрах AD для cgatepro явно выставлено delegation -> trust this user for delegation specificities service -> use any authentication protocol -> add.... imap\domm.ru

Но все равно в параметрах Kerberos: domm.LAN (3)imap/domm.ru 01-Янв-70 4 RC4-HMAC По заверению саппорта на "01-Янв-70" это можно забить. В принципе работает.

---

Успехов. Может кому и поможет.

• Original Message ----- From: "Sergey Sakirkin" <CGatePro@mx.ru> To: "CommuniGate Pro Russian Discussions" <CGatePro@mx.ru> Sent: Thursday, May 29, 2008 6:39 PM Subject: [CGP] Авторизация Kerberos на AD 2003 Server SP2 + Outlook

> Добрый день.
> Я так понимаю что тема Kerberos-а и Outlook-а здесь достаточно избита, но
> прочтение документации и доступных источников , к сожаление, мне помогла
> мало.
> Итак ситуация:
> Домен-контролеры развернуты Windows 2003SP2. Домен и лес также работает на
> уровне 2003.
> Платформа где работает CGP: Microsoft Windows 2003, CGP: 5.2.3, MAPI:
> 1.51.16.4 Сервер является членом локального домена.
> Начинал согластно документации CGP п.п. "Интеграция с Microsoft Active
> Directory" (не помогло)
> Позже нашел статью http://unixgeek.nm.ru/krbsetup.html
> Как я понимаю, проблема вознкла на этапе интеграции ключа в CGP.
> Все мои попытки предложить ключ CGP заканчивались неудачей:
> (3)imap/domm.ru _01-Янв-70_
> В логах кроме
> 16:46:11.205 2 DOMAIN(*) domain settings updated by postmaster
> Никаких событий связанных с ключами больше нет, запуск сервера
> производился с ключем --LogAll .
> Перезапуск сервера/CGP ситуацию не изменяет.
> Подскажите где и в чем я не прав.
>
>
> Билет создавался с разными уровнем principal (как на пользователя, ност, и
> сервис) и моделью шифрования, серийный номер брался как по дефолту так и
> +1
>
> ------------
> Targeting domain controller: dc-2.doom.lan
> Successfully mapped imap/testcgp.airkhv.ru to cgatepro.
> WARNING: pType and account type do not match. This might cause problems.
> Key created.
> Output keytab to keytab-1.data:
> Keytab version: 0x502
> keysize 61 imap/testcgp.dommm.ru@dooom.LAN ptype 2 (KRB5_NT_SRV_INST) vno
> 5 etype 0x3 (DES-CB
> C-MD5) keylength 8 (0x2cd3c480973e0416)
> Account cgatepro has been set for DES-only encryption.
> -----------------------------------
> Targeting domain controller: dc-2.doom.lan
> Successfully mapped imap/testcgp.dommm.ru to cgatepro.
> Key created.
> Output keytab to keytab-1.data:
> Keytab version: 0x502
> keysize 61 imap/testcgp.dommm.ru@dooom.LAN ptype 1 (KRB5_NT_PRINCIPAL) vno
> 5 etype 0x3 (DES-CBC-MD5) ke
> ylength 8 (0x2cd3c480973e0416)
> Account cgatepro has been set for DES-only encryption.
>
> ##################################################################
> Вы получили это сообщение потому, что подписаны на список рассылки
> <CGatePro@mx.ru>.
>
> Чтобы отписаться, отправьте сообщение на адрес <CGatePro-off@mx.ru>
> Чтобы переключиться в режим дайджеста - mailto:<CGatePro-digest@mx.ru>
> Чтобы переключиться в индексный режим - mailto:<CGatePro-index@mx.ru>
> Для административных запросов адрес <CGatePro-request@mx.ru>
> Архив списка: http://mx.demos.su/lists/cgp-russian/
>
>
>
>
Получено Tue Jun 10 09:22:47 2008