{"id":11896,"date":"2025-04-23T16:29:57","date_gmt":"2025-04-23T07:29:57","guid":{"rendered":"https:\/\/chat-messenger.com\/?p=11896"},"modified":"2026-03-02T01:32:20","modified_gmt":"2026-03-01T16:32:20","slug":"windowsauthentication-setspn","status":"publish","type":"post","link":"https:\/\/chat-messenger.com\/id\/blog\/windowsauthentication-setspn","title":{"rendered":"Konfigurasi IIS untuk keberhasilan otentikasi Windows terintegrasi dalam lingkungan load balancer L4."},"content":{"rendered":"

ringkasan<\/h2>\n\n\n\n

Artikel berikut menjelaskan cara mengkonfigurasi Otentikasi Windows Terintegrasi (IWA) di IIS dalam lingkungan load balancer L4 + terminasi SSL.<\/p>\n\n\n

\t\t\t
\n\t\t\t\t
\n\t\t\t\t\tKonferensi web, Obrolan & Messenger<\/span>\n\t\t\t\t\t
\"\"<\/figure><\/div>\t\t\t\t\t
\n\t\t\t\t\t\tMengonfigurasi Otentikasi Windows Terintegrasi IIS untuk Menerapkan Lingkungan Load Balancer + SSL dengan Sukses | Konferensi Web Chat&Messenger<\/a>\n\t\t\t\t\t\tTentang Otentikasi Windows Terintegrasi: Otentikasi Windows Terintegrasi secara otomatis mengotentikasi pengguna ketika IIS dan pengguna tersebut berada dalam domain Active Directory yang sama\u2026<\/span>\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t<\/div>\n\t\t<\/div>\n\n\n

Saat mengkonfigurasi metode ini, autentikasi sering kali gagal karena pengaturan SPN (Service Principal Name) yang salah atau duplikat.<\/p>\n\n\n\n

Artikel ini memberikan penjelasan komprehensif tentang pendaftaran SPN dan prosedur yang diperlukan.<\/p>\n\n\n\n

Contoh struktur dalam artikel ini<\/h2>\n\n\n\n
   [Browser Klien] | | Akses HTTPS v [Load Balancer L4 (TCP 443)] | | vv [Server1 (IIS)] [Server2 (IIS)]<\/code><\/pre>\n\n\n\n
  • FQDN: sso.chat-messenger.com<\/code><\/li>
  • Nama host IIS: Server1<\/code>, Server2<\/code><\/li>
  • Akun layanan bersama:CAMTEST\\cam-svc<\/code><\/li><\/ul>\n\n\n\n
    Masalah: Kesalahan duplikasi SPN<\/h2>\n\n\n\n
    Dalam autentikasi Windows terintegrasi, klien mencari SPN untuk FQDN dari layanan yang diaksesnya dan memperoleh tiket Kerberos untuk akun layanan yang sesuai.<\/p>\n\n\n\n
    setspn -S HTTP\/sso.chat-messenger.com Server1$ setspn -S HTTP\/sso.chat-messenger.com Server2$<\/code><\/pre>\n\n\n\n
    Seperti yang disebutkan di atas, FQDN yang sama (sso.chat-messenger.com<\/code>Saat mendaftarkan SPN untuk host yang berbeda (Server1, Server2), terjadi kesalahan berikut:<\/p>\n\n\n\n
    SPN duplikat ditemukan, operasi dibatalkan.<\/code><\/pre>\n\n\n\n
    Solusi: Daftarkan SPN ke akun layanan bersama.<\/h2>\n\n\n\n
    Saat menggunakan FQDN yang sama di beberapa host, hanya satu SPN yang perlu didaftarkan di akun layanan bersama.<\/p>\n\n\n\n
    Membuat akun layanan bersama<\/h3>\n\n\n\n
    \n
    \n
    Meskipun akun layanan yang berjalan di kumpulan aplikasi IIS dapat menjadi pengguna domain (selama termasuk dalam Pengguna Domain), umumnya disarankan untuk memisahkan akun layanan dari pengguna biasa untuk mencegah kesalahan yang tidak disengaja dan memperjelas ruang lingkup penerapan kebijakan kata sandi.OU = Akun Layanan<\/code> Seperti ini, OU Pengguna<\/code> Untuk membedakannya dari pengendali domain Active Directory,layanan kamera<\/code> Buatlah.<\/p>\n<\/div>\n\n\n\n
    \n
    \"\"<\/figure>\n<\/div>\n<\/div>\n\n\n\n
    Daftarkan diri untuk SPN dengan akun layanan Anda.<\/h3>\n\n\n\n
    Kami akan mendaftarkan SPN menggunakan akun layanan yang telah dibuat di atas.<\/p>\n\n\n\n
    setspn -S HTTP\/sso.chat-messenger.com CAMTEST\\cam-svc<\/code><\/pre>\n\n\n\n
    Perangkat apa pun yang terhubung ke domain dapat digunakan. Namun, hak akses administrator domain diperlukan.
    \u2022 SPN juga digunakan dalam komunikasi HTTPS.HTTP\/nama host<\/code>Anda harus mendaftar dalam format ini.<\/p>\n\n\n\n
    Konfigurasi Kumpulan Aplikasi IIS<\/h3>\n\n\n\n
    \n
    \n
    Server1<\/code>, Server2<\/code> Pengguna yang menjalankan eksekusi untuk kumpulan aplikasi di kedua server adalah akun layanan yang telah Anda buat. CAMTEST\\cam-svc<\/code> Mengatur<\/p>\n<\/div>\n\n\n\n
    \n
    \"\"<\/figure>\n<\/div>\n<\/div>\n\n\n\n
    "Editor Konfigurasi" IIS Manager<\/h3>\n\n\n\n
    \n
    \n
    Untuk mengubah kumpulan aplikasi IIS ke akun layanan dan memastikan autentikasi Windows berfungsi dengan benar dengan Kerberos, Anda perlu mengkonfigurasi pengaturan berikut di fitur "Editor Konfigurasi" pada IIS Manager:<\/p>\n\n\n\n
    • sistem.serverweb\/keamanan\/autentikasi\/autentikasiwindows<\/code> bagian<\/li>
    • gunakanKredensialAppPool<\/code> \u3092 BENAR<\/code> Mengatur<\/li>
    • gunakanKernelMode<\/code> \u3092 PALSU<\/code> Mengatur<\/li><\/ul>\n<\/div>\n\n\n\n
      \n
      \"\"<\/figure>\n<\/div>\n<\/div>\n\n\n\n
      Jika IIS berjalan pada pengendali domain, pengaturan ini mungkin tidak diperlukan.<\/p>\n\n\n\n
      Mengatur izin "Masuk sebagai tugas batch" untuk akun layanan bersama.<\/h3>\n\n\n\n
      Application pool merespons permintaan web. w3wp.exe<\/code>Proses pekerja diluncurkan. Saat menjalankan proses ini menggunakan akun layanan bersama, proses akan ditolak dan kesalahan HTTP 503 akan terjadi jika izin "Masuk sebagai pekerjaan batch" tidak diberikan. Oleh karena itu, akun layanan bersama perlu memiliki izin "Masuk sebagai pekerjaan batch" (berbasis GPO).<\/p>\n\n\n\n
      Pengaturan selanjutnya juga dapat dikendalikan oleh kebijakan keamanan lokal dari setiap terminal IIS, tetapi mungkin ada pembatasan yang diberlakukan oleh kebijakan organisasi dalam Objek Kebijakan Grup (GPO) pada pengendali domain Direktori Aktif. Dalam hal ini, kontrol diperlukan pada tingkat GPO, dan bagian ini menjelaskan cara melakukannya.<\/p>\n\n\n\n
      Jika IIS berjalan pada pengendali domain, opsi "Masuk sebagai pekerjaan batch" mungkin tidak diperlukan.<\/p>\n\n\n\n
      Langkah-langkah untuk menautkan GPO ke OU=ServiceAccounts<\/h4>\n\n\n\n
      Akun layananCAMTEST\\cam-svc<\/code>\u3092OU = Akun Layanan<\/code>Jika dibuat di
      Jika Anda tidak menautkan kebijakan grup (misalnya, IIS-BatchLogon-GPO) ke OU ini,layanan kamera<\/code>Kebijakan tersebut tidak berlaku. Karena penerapan GPO ditentukan oleh "OU mana yang ditautkannya," penting untuk mencocokkan lokasi akun dengan lokasi tempat GPO ditautkan.<\/p>\n\n\n\n
      \n
      \n
      1. gpmc.msc<\/code> Jalankan perintah dan luncurkan "Editor Manajemen Kebijakan Grup".<\/li>
      2. Di panel sebelah kiricamtest.com\/AkunLayanan<\/code> Klik kanan pada OU \u2192 "Buat GPO untuk domain ini dan tautkan ke kontainer ini.<\/strong>" \u2192 Masukkan nama apa pun (contoh)IIS-BatchLogon-GPO<\/code>\uff09<\/li>
      3. DibuatIIS-BatchLogon-GPO<\/code>Edit<\/li>
      4. Konfigurasi Komputer \u2192 Pengaturan Windows \u2192 Pengaturan Keamanan \u2192 Kebijakan Lokal \u2192 Penugasan Hak Pengguna \u2192 Masuk sebagai pekerjaan batch<\/strong><\/li>
      5. Klik dua kali untuk membuka kotak dialog.CAMTEST\\cam-svc<\/code> Tambahkan pengguna<\/li><\/ol>\n<\/div>\n\n\n\n
        \n
        \"\"<\/figure>\n\n\n\n
        \"\"<\/figure>\n\n\n\n
        \"\"<\/figure>\n\n\n\n
        \"\"<\/figure>\n\n\n\n
        \"\"<\/figure>\n<\/div>\n<\/div>\n\n\n\n
        Mengenai penerapan pengaturan GPO<\/h4>\n\n\n\n
        Untuk memastikan GPO diterapkan dengan benar, pada server IIS target... <\/strong>gpupdate \/force<\/code> <\/strong>Penting untuk melakukan tindakan ini. Ini akan memastikan bahwa pengaturan GPO berlaku segera. Hal ini sangat penting terutama saat memberikan izin "Masuk sebagai pekerjaan batch", karena mungkin ada penundaan dalam implementasi kebijakan. w3wp.exe<\/code> Hal ini dapat menyebabkan kegagalan startup.<\/p>","protected":false},"excerpt":{"rendered":"
        \u6982\u8981 \u4ee5\u4e0b\u306e\u8a18\u4e8b\u3067L4\u30ed\u30fc\u30c9\u30d0\u30e9\u30f3\u30b5\u30fc + SSL\u7d42\u7aef\u74b0\u5883\u3067\u3001IIS\u306b\u304a\u3051\u308b\u7d71\u5408Windows\u8a8d\u8a3c\uff08Integ […]<\/p>\n","protected":false},"author":1,"featured_media":11704,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"swell_btn_cv_data":"","footnotes":""},"categories":[9,33],"tags":[],"class_list":["post-11896","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-blog","category-techblog"],"_links":{"self":[{"href":"https:\/\/chat-messenger.com\/id\/wp-json\/wp\/v2\/posts\/11896","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/chat-messenger.com\/id\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/chat-messenger.com\/id\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/chat-messenger.com\/id\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/chat-messenger.com\/id\/wp-json\/wp\/v2\/comments?post=11896"}],"version-history":[{"count":10,"href":"https:\/\/chat-messenger.com\/id\/wp-json\/wp\/v2\/posts\/11896\/revisions"}],"predecessor-version":[{"id":12574,"href":"https:\/\/chat-messenger.com\/id\/wp-json\/wp\/v2\/posts\/11896\/revisions\/12574"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/chat-messenger.com\/id\/wp-json\/wp\/v2\/media\/11704"}],"wp:attachment":[{"href":"https:\/\/chat-messenger.com\/id\/wp-json\/wp\/v2\/media?parent=11896"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/chat-messenger.com\/id\/wp-json\/wp\/v2\/categories?post=11896"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/chat-messenger.com\/id\/wp-json\/wp\/v2\/tags?post=11896"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}