Мне нужно открыть удаленный сеанс Powershell с использованием аутентификации credSSP с сервера A на B. Однако сервер A не может разрешить имя B. CredSSP включен на A для передачи учетных данных (в разделе «Разрешить делегирование новых учетных данных» включен WSMAN / xxx.xxx .xxx.xxx) в B, B настроен на получение делегированных учетных данных. Можно ли как-то открыть credssp, используя IP-адрес вместо имени хоста / FQDN?
PS C:\Windows\system32> New-PSSession xxx.xxx.xxx.xxx -Authentication Credssp -Credential user
New-PSSession : [xxx.xxx.xxx.xxx] Connecting to remote server xxx.xxx.xxx.xxx failed with the following error message : The WinRM c
lient cannot process the request. A computer policy does not allow the delegation of the user credentials to the target
computer because the computer is not trusted. The identity of the target computer can be verified if you configure the
WSMAN service to use a valid certificate using the following command: winrm set winrm/config/service '@{CertificateThu
mbprint="<thumbprint>"}' Or you can check the Event Viewer for an event that specifies that the following SPN could no
t be created: WSMAN/<computerFQDN>. If you find this event, you can manually create the SPN using setspn.exe . If the
SPN exists, but CredSSP cannot use Kerberos to validate the identity of the target computer and you still want to allow
the delegation of the user credentials to the target computer, use gpedit.msc and look at the following policy: Comput
er Configuration -> Administrative Templates -> System -> Credentials Delegation -> Allow Fresh Credentials with NTLM-o
nly Server Authentication. Verify that it is enabled and configured with an SPN appropriate for the target computer. F
or example, for a target computer name "myserver.domain.com", the SPN can be one of the following: WSMAN/myserver.domai
n.com or WSMAN/*.domain.com. Try the request again after these changes. For more information, see the about_Remote_Trou
bleshooting Help topic.
At line:1 char:1
+ New-PSSession xxx.xxx.xxx.xxx -Authentication Credssp -Credential user
"credssp" требуется параметр SPN в групповой политике "AllowFreshCredentials"
«На клиенте WinRM должен быть включен параметр политики« Разрешить делегирование новых учетных данных »(AllowFreshCredentials), а в политику необходимо добавить имя участника-службы (SPN) с префиксом WSMAN».
https://msdn.microsoft.com/en-us/library/ee309365%28v=vs.85%29.aspx?f=255&MSPPError=-2147217396
Для синтаксиса SPN необходимо полное доменное имя или имя NetBIOS, а не IP-адрес.
https://msdn.microsoft.com/en-us/library/ms677601(v=vs.85).aspx