Я борюсь с этой проблемой около недели, читайте все сообщения в Интернете об этой проблеме.

Что мы имеем

• Windows Server 2016 Datacenter с установленной ролью Hyper-V (netbios: hv)
• Виртуальные машины (netbios: web, fs, dc) в Windows Server 2016 DataCenter
• Ноутбук Windows 10 Professional с установленной подсистемой Linux (netbios: asuslin)
• Домен на dc.goodpeople.local и все серверы и клиенты (включая hv) присоединены к домену Active Directory.
• AD CA установлен с промежуточным выпускающим центром сертификации на контроллере домена
• Все серверы получили сертификат с политикой автоматической регистрации для аутентификации Kerberos

Я хотел бы настроить все серверы (включая hv) с помощью ansible с моего ноутбука с Windows 10 с помощью Kerberos. На данный момент мне просто нужен успех win_ping для всех из них.

Конфигурация

• Winrm настроен на всех серверах: hv, web, fs, dc и Clinet: asuslin одинаково: проверка подлинности Kerberos включена, прослушиватель https с действующим сертификатом, порты брандмауэра 5986 открыты
• как и все окна 2016 / win10 - powershell является последней версией .NET не ниже 4.5
• ansible на клиенте был установлен в подсистеме linux в соответствии с документацией со всеми необходимыми библиотеками и используется действующий сертификат для клиента asuslin

Фактическая ошибка

ansible hv -m win_ping -vvvv
ansible 2.5.0
  config file = /etc/ansible/ansible.cfg
  configured module search path = [u'/home/alexsuslin/.ansible/plugins/modules', u'/usr/share/ansible/plugins/modules']
  ansible python module location = /usr/lib/python2.7/dist-packages/ansible
  executable location = /usr/bin/ansible
  python version = 2.7.12 (default, Dec  4 2017, 14:50:18) [GCC 5.4.0 20160609]
Using /etc/ansible/ansible.cfg as config file
setting up inventory plugins
Parsed /etc/ansible/hosts inventory source with ini plugin
Loading callback plugin minimal of type stdout, v2.0 from /usr/lib/python2.7/dist-packages/ansible/plugins/callback/minimal.pyc
META: ran handlers
Using module file /usr/lib/python2.7/dist-packages/ansible/modules/windows/win_ping.ps1
<hv.goodpeople.local> ESTABLISH WINRM CONNECTION FOR USER: alexsuslin@GOODPEOPLE.LOCAL on PORT 5986 TO hv.goodpeople.local
checking if winrm_host hv.goodpeople.local is an IPv6 address
calling kinit with subprocess for principal alexsuslin@GOODPEOPLE.LOCAL
hv.goodpeople.local | UNREACHABLE! => {
    "changed": false,
    "msg": "kerberos: authGSSClientStep() failed: (('Unspecified GSS failure.  Minor code may provide more information', 851968), ('Server not found in Kerberos database', -1765328377))",
    "unreachable": true
}

Что работает

• Я успешно могу win_ping все серверы fs, dc, web и клиент asuslin
• Я могу Enter-PSSession hv.goodpeople.local -UseSSL -Authentication Kerberos
• Поскольку я могу win_ping других серверов, я предполагаю, что мой krb5.conf настроен правильно, как и доступный файл инвентаризации. Например. если я запускаю win_ping в группе, все, кроме hv.goodpeople.local, в порядке

Что я уже проверил

• winrm из PowerShell в hv.goodpeople.local с Kerberos и SSL --- ОК
• SPN для hv.goodpeople.local по сравнению с другими серверами: dc, web, fs --- ПОЧТИ ОДИН ТО ЖЕ (на самом деле, поскольку hv является ролью hyper-v, есть несколько дополнительных)
• мои учетные данные, попробовал с администратором домена
• winrm SDDL на hv.goodpeople.local --- ВИДИТ ОК
• SPN hv.goodpeople.local и делегирование --- ОК
• разные типы шифров SSL-сертификата между подсистемой linux и hv.goodpeople.local --- ОК
• kinit --- ОК, билет на 24 часа действителен всегда
• kvno HTTP/hv.goodpeople.local@GOODPEOPLE.LOCAL -> HTTP/hv.goodpeople.local@GOODPEOPLE.LOCAL: kvno = 17
• каждая страница в Google об этой проблеме (включая [serverfault.com])
  • DNS разрешается для каждой машины, включая hv
  • Область krb5.conf настроена правильно с ЗАГЛАВНЫМ регистром и FQDN, а также доступным инвентарем

Что братья меня больше всего, так это почему одна и та же конфигурация не работает на одном сервере, в то время как она работает на других? Я применил конфигурацию с PowerShell, чтобы убедиться, что все по-прежнему. Если кто-то может указать, что мне еще проверить?