Kerberos и IIS6: работа только с определенными пользователями

Я настраиваю Kerberos, и у меня возникают странные проблемы. Я тестирую его с двумя пользователями: у одного есть действительное имя участника-службы и которому доверяют для делегирования (user1), а у другого нет действующего SPN и которому не доверяют для делегирования (user2). Тесты проводятся на сервере и на клиенте. Пользователи устанавливаются на уровне пула приложений. Вот как это работает сейчас

From the server:
Using IP to access Application running under user1: Negotiate and chooses NTLM
Using domain name to access Application running under user1: Kerberos
Using IP to access Application running under user2: Negotiate and chooses NTLM
Using domain name to access Application running under user2: Negotiate and chooses NTLM

From the client:
Using IP to access Application running under user1: Kerberos
Using domain name to access Application running under user1: Kerberos
Using IP to access Application running under user2:Logon Process:Kerberos, Unknown user name or bad password
Using domain name to access Application running under user2:  Logon Process:Kerberos, Unknown user name or bad password

Можно ли решить эту проблему, чтобы мне нужно было использовать setspn только для пользователей, которым действительно требуется делегирование, но чтобы Kerberos / NTLM работал с другими пользователями, которым делегирование не требуется? Чтобы я мог использовать setspn для учетных записей пользователей, которым требуется делегирование, и просто использовать другие учетные записи без необходимости их настройки? Похоже, что пакеты Kerberos не могут найти путь к серверу для пользователей, поскольку он работает с NTLM, когда я тестирую на сервере, но не когда я тестирую с клиента.