<?xml version="1.0" encoding="UTF-8"?>
<rss version="2.0"
	xmlns:content="http://purl.org/rss/1.0/modules/content/"
	xmlns:wfw="http://wellformedweb.org/CommentAPI/"
	xmlns:dc="http://purl.org/dc/elements/1.1/"
	xmlns:atom="http://www.w3.org/2005/Atom"
	xmlns:sy="http://purl.org/rss/1.0/modules/syndication/"
	xmlns:slash="http://purl.org/rss/1.0/modules/slash/"
	>

<channel>
	<title>Hypervisor.fr &#187; kerberos</title>
	<atom:link href="http://www.hypervisor.fr/?feed=rss2&#038;tag=kerberos" rel="self" type="application/rss+xml" />
	<link>http://www.hypervisor.fr</link>
	<description>French Bare-Metal weblog</description>
	<lastBuildDate>Wed, 26 Jun 2024 22:42:28 +0000</lastBuildDate>
	<generator>http://wordpress.org/?v=2.9.2</generator>
	<language>en</language>
	<sy:updatePeriod>hourly</sy:updatePeriod>
	<sy:updateFrequency>1</sy:updateFrequency>
			<item>
		<title>VIX &amp; Kerberos Double Hop</title>
		<link>http://www.hypervisor.fr/?p=5815</link>
		<comments>http://www.hypervisor.fr/?p=5815#comments</comments>
		<pubDate>Fri, 07 Jul 2017 11:03:29 +0000</pubDate>
		<dc:creator>NiTRo</dc:creator>
				<category><![CDATA[Kb]]></category>
		<category><![CDATA[Tips & Tricks]]></category>
		<category><![CDATA[VMware]]></category>
		<category><![CDATA[kerberos]]></category>
		<category><![CDATA[PowerCLI]]></category>
		<category><![CDATA[powershell]]></category>
		<category><![CDATA[VIX]]></category>

		<guid isPermaLink="false">http://www.hypervisor.fr/?p=5815</guid>
		<description><![CDATA[Lors d&#8217;une petite session de PowerCLI avec les célèbres (mais bientôt deprecated) VIX APIs, nous nous sommes heurté à une limite de sécurité bien connue des admins Microsoft: le Kerberos Double Hop.
Pour résumer, nous avions besoin d’exécuter un script situé sur un share depuis un ensemble de VM et nous avons bien évidement tenté de [...]]]></description>
			<content:encoded><![CDATA[<p style="text-align: justify;">Lors d&#8217;une petite session de PowerCLI avec les célèbres (<a href="https://www.vmware.com/support/developer/vix-api/VIX-1.15-ReleaseNotes.html" target="_blank">mais bientôt deprecated</a>) VIX APIs, nous nous sommes heurté à une limite de sécurité bien connue des admins Microsoft: le <a href="https://blogs.technet.microsoft.com/askds/2008/06/13/understanding-kerberos-double-hop/" target="_blank">Kerberos Double Hop</a>.</p>
<p style="text-align: justify;">Pour résumer, nous avions besoin d’exécuter un script situé sur un share depuis un ensemble de VM et nous avons bien évidement tenté de profiter du fait que <a href="http://www.hypervisor.fr/?p=5070" target="_blank">VIX supporte le SSO</a>, comme des gros fainéants. Et là, <a href="https://weblogs.asp.net/owscott/iis-windows-authentication-and-the-double-hop-issue" target="_blank">c&#8217;est le drame</a>:</p>
<blockquote>
<p style="text-align: justify;">When using Integrated Security, anonymous access is disabled, and impersonation is turned on, <strong>a security measure kicks in and doesn&#8217;t allow your site to access resources on any network servers.  This includes access to a UNC path</strong> directly from IIS or SQL Server using Windows authentication.</p>
</blockquote>
<p>Il nous a suffit de <strong>passer les credentials à l&#8217;Invoke-VMScript pour que l&#8217;UNC devienne accessible</strong>:</p>
<p style="text-align: center;"><a href="http://www.hypervisor.fr/wp-content/uploads/2017/07/VIX_Kerb_2x_Hop.png" title="VIX_Kerb_2x_Hop" rel="lightbox[5815]"><img class="aligncenter size-full wp-image-5816" title="VIX_Kerb_2x_Hop" src="http://www.hypervisor.fr/wp-content/uploads/2017/07/VIX_Kerb_2x_Hop.png" alt="" width="486" height="384" /></a></p>
]]></content:encoded>
			<wfw:commentRss>http://www.hypervisor.fr/?feed=rss2&amp;p=5815</wfw:commentRss>
		<slash:comments>0</slash:comments>
		</item>
	</channel>
</rss>
