Вызов URL-адреса из Windows Server 2012 + IE 11 не выполняется с ошибкой KRB_AP_ERR_MODIFIED

Моя проблема :

Вызов URL-адреса из Windows Server 2012 с IE 11 не выполняется в приложении IIS (с активированной аутентификацией Windows и Kerberos): после трех попыток ввода правильного пароля я получаю ошибку 401 (не авторизован) и вижу следующий вход в систему Средство просмотра событий безопасности:

Клиент Kerberos получил ошибку KRB_AP_ERR_MODIFIED от сервера имя_сервера $. Используемое целевое имя было HTTP / url.xxx.yyy.zzz. Это указывает на то, что целевому серверу не удалось расшифровать билет, предоставленный клиентом. Это может произойти, если основное имя целевого сервера (SPN) зарегистрировано в учетной записи, отличной от учетной записи, которую использует целевая служба. Убедитесь, что целевое SPN зарегистрировано только в учетной записи, используемой сервером. Эта ошибка также может произойти, если пароль учетной записи целевой службы отличается от того, который настроен в Центре распространения ключей Kerberos для этой целевой службы. Убедитесь, что служба на сервере и KDC настроены на использование одного и того же пароля. Если имя сервера не полностью определено, а целевой домен (xxx.yyy.zzz) отличается от клиентского домена (xxx.yyy.zzz), проверьте, есть ли в этих двух доменах учетные записи с одинаковыми именами, или используйте полное имя для идентификации сервера.
Вызов того же URL-адреса из другого Windows Server 2012 вызывает то же сообщение об ошибке
Вызов одного и того же URL-адреса с консоли под Win7 работает отлично

Похоже, мне не хватает настроек безопасности на моем сервере, но я хотел бы знать, какой?

Некоторая контекстная информация

Мое веб-приложение автоматически развертывается на 2 разных серверах (WS 2012 R2). В конце установки каждого сервера автоматически запускается сценарий для проверки того, что все URL-адреса доступны с использованием http и https. Поэтому мне бы очень хотелось, чтобы проверка URL выполнялась на самом сервере, а не на другой консоли.

Другие выполненные исследования

Я проверил SPN и кажется, правильно настроен
Целевой домен и клиентский домен совпадают
Используя Wireshark, кажется, что я использую аутентификацию NTLM при вызове URL-адресов с моей консоли:

621 24.297697 IpSrc IpDest HTTP 1014 HTTP / 1.1 401 Неавторизовано, NTLMSSP_CHALLENGE (текст / html)
Используя Wireshark с моего сервера:

1216 18.322929 IpSrc IpDest KRB5 250 KRB Ошибка: KRB5KDC_ERR_PREAUTH_REQUIRED

После некоторых исследований проблема на самом деле была проблемой конфигурации: следуя руководству Вот Мне удалось пройти аутентификацию с помощью Kerberos.

Подводя итог всем действиям, необходимо:

Включить проверку подлинности Windows в IIS
Создать сервис аккаунта
Создайте SPN для адреса хоста, который вы собираетесь использовать
свяжите эту службу с пулом приложений, используемым для выполнения вашего приложения
Измените параметр делегирования в AD для службы учетной записи (Trust this computer for delegation for any service)
Изменить включение IIS UseKernelMode и useAppPoolCredentials

И последнее, что заняло у меня некоторое время: я не знаю, есть ли механизмы кеширования или репликации, но изменение этих параметров происходит не сразу ...