在使用WISE打包安装程序编写的自定义应用程序包中遇到Kerberos和/或NTLM身份验证失败

Question

我们在自定义应用程序包中遇到Kerberos和/或NTLM身份验证失败，或者使用WISE打包安装程序为Windows 7设计。 在Windows 7上，它们工作正常，但它们现在在Windows 10上失败。它们在使用Microsoft SCCM工具在Windows 10上安装期间都失败，并且在安装过程中对网络上的SMB共享使用Kerberos身份验证时它们特别失败。 我们可以在网络跟踪中看到客户端应用程序从Kerberos故障转移到NTLM，从而实现了身份验证事务。 我们不确定为什么。 我们有一个大规模的Active Directory环境。 因为WISE包是comiled我们无法调查。 在成功的Windows 7计算机上，计算机在执行程序包时需要访问共享，并且登录用户必须具有SMB共享上的读取和执行访问权限。 我们可以使用Windows 7系统帐户访问相同的 SMB共享，​​但在使用Windows 10系统帐户时则无法访问。 很奇怪！ 这是包内的代码问题吗？ 这可能很重要：SMB共享使用DNS别名，不确定这是否有所不同。 主机的真实姓名是不同的。 使用主机的真实姓名而不是别名时，似乎解决了访问问题。

Answer 1

网络共享不会碰巧由非Windows服务器托管，不是吗？ 如果是这样，请查看本文是否适用：

通过DNS CNAME别名，SMB文件服务器共享访问失败

基本上，Windows 10的安全模型发生了变化。默认情况下，Windows 10不会为DNS别名请求Kerberos票证，但Windows 7会。 SMB服务器基本上说是因为你没有使用我的实际名称（如服务票据所示），我不允许连接。 使用成功的Windows 7计算机连接的名称创建新的SPN，但采用SPN格式。 例如，如果Windows 7使用这样的东西：

\\ servername.domain.com名\\共享名

..然后找到代表主机的AD计算机对象的名称，并将辅助SPN添加到该AD对象，如下所示：

HOST / servername.domain.com