Category Archives: Anything

In recent times there has been a lot of security issues and considerations around Kerberos. A lot of organizations are still using unconstrained delegation with protocol transition which allows hackers to exploit vulnerabilities and impersonate any account in the domain, rendering authentication almost useless in certain cases.

Let’s go back to SQL.

Let’s review teh below scenario:
ForestA DomainA: Server network
ForestB DomainB: Employee network
two-way trust between ForestA and ForestB
ForestA SQLServerA: Reporting
ForestA SQLServerB: Customer Data

In order to access customer data in the reporting sql server, the employee needs to authenticate from DomainB to DomainA across forests, then login to SQLServerA and access data in SQLServerB. This creates a situation where you need to support Kerberos in double-hop scenario. According to various resources and Microsoft official blog articles, the way to do it is by using unconstrained delegation and/or protocol transition. Either unconstrained delegation, or constrained delegation with protocol transition is to be used:

The correct resolution for the specific problem mentioned in the Microsoft article is to trust the account for delegation as selecting „trust this computer for delegation to specific services only“ and „use kerberos only“ does not set the flag in the account, making it impossible to renew tickets. Easiest way is by using Powershell:
Set-ADUser -Identity SQLAccount -TrustedForDelegation $true

There are two huge disadvanteges to both unconstrained delegation and protocol transition:
A. They leave massive security holes. For example, protocol transition allows the service to impersonate any account, without proving that they are allowed to. They can impersonate domain admins, sensitive accounts, anything.
B. They don’t work across forests. Neither unconstrained delegation or protocol transition are supported across forests. And rightly so.

So what is the solution if you don’t want unconstrained delegation or protocol transition and still need double hop across forests?

Resource-Based Constrained Delegation (RBCD)

Step one is to register the SPNs as you would normally do for each server, or if correct permissions are set, it would happen automatically as well. Then, you need to add any SPNs that would be allowed in the SQL Server service account:

Once all needed SPNs are listed, it is best to clear all cached kerberos tickets on the servers and restart the SQL services, preferably the servers themselves.

One very important aspect here is to trust the SQL Service account for delegation. Even though „Trust this user for delegation to specific services only“ is selected, the account is still missing the delegation flag so it needs to be set manually:

Set-ADUser -Identity SQLAccount -TrustedForDelegation $true

Without this, once the 10 hour service ticket time expires, the SQL service would not be able to renew it.

Now, there is still one more consideration – maximum ticket lifetime. By default service ticket lifetime is 10 hours, maximum ticket renewal time is 7 days. This means after 7 days you must get a new ticket, you can’t renew. If you have application that is sitting idle for over 7 days without reconnecting to the SQL, it will fail double hop since the ticket would have expired and the SQL Server is not allowed to obtain new ticket on behalf of the client. Extensive testing had shown that SQL server has no problem obtaining tickets using it’s own service account, meaning internal processes would not fail. Applications like IIS have much shorter session lifetime so their sessions are not sitting nearly long enough for this to be a problem. However, if you have custom applications that have infinite idle timeout, it would be best to kill sessions that are sitting idle for longer than, say, 6 days, if you have 7 days maximum ticket lifetime limit set in Kerberos. This can be done using a job in SQL Server, killing an idle session does not cause any errors unless query is actually running at the time. Doing this our of active hours is feasible solution, then any new session would re-authenticate automatically. Before doing all this, make sure you actually have sessions sitting for that long – in most scenarios, there should be no sessions running that long. Check session duration using the below query and observe the login_time column:

 SELECT *
    FROM sys.dm_exec_sessions
    where nt_domain = 'ANYCORP'
    order by login_time asc

Change ANYCORP to your domain to filter out only domain-authenticated sessions. Keep in mind there are always sessions from SQLAgent which are active since the SQL Server has been started, they are not renewed automatically even when Unconstrained Delegation is used, it is fine to have these sessions past the maximum ticket lifetime, the Job Agent is not going to be affected by that. The sessions are named SQLAgent – Email Logger and SQLAgent – Generic Refresher.

Bonus implementation: Accessing Network Shares in double-hop with RBCD

Now, with all of the above in place, you should have no problems accessing SQL resultsets with double-hop, but what about reading csv using openrowset in double-hop through linked server?

Example: select * from openquery ([SQLServerB\SQLEXPRESS],'SELECT * FROM OPENROWSET(BULK ''\\share-fs-01\Share\test_sample.csv'', SINGLE_CLOB) AS DATA;') 

By default, the above would result in access denied error, because the SQL Service account is not allowed to access that service and cannot obtain session for it due to the SMB protocol which passes the authentication through the SQL Server computer object and not the actual service account. In order to get access, we need to list all computer objects of SQL servers that would be accessing the network share through double-hop. Here is an example PowerShell to do that:

#Define the network share server computer object
$FileShare = Get-ADComputer -Identity net-share-serv

#List all SQL Servers that are going to need access to that network share via double-hop
$DBServer01 = Get-ADComputer -Identity DBServer01
$DBServer02 = Get-ADComputer -Identity DBServer02
$DBServer03 = Get-ADComputer -Identity DBServer03

#Define Array with the above objects
$SQLServers = @(
$DBServer01,
$DBServer02,
$DBServer03
)

#Set the computer object of the network share server to allow access for the SQL Servers
Set-ADComputer -Identity $FileShare -PrincipalsAllowedToDelegateToAccount $SQLServers

Final Words

Based on the above, you should have everything needed to succesfully run SQL Server with double-hop without needing unconstrained delegation or protocol transition! Contratulations on securing your environment and allowing double-hop across forests! 🙂

Image by ClipFest

Преди 16 години за първи път регистрирах war3z.org като името беше идея на мой приятел и беше заигравка с leet speak начина на изписване на думите. През последните години рядко използвам платформата, но тя остана като символ на желанието ми за развитие, търсене на нови предизвикателства и забавление.

През годините war3z.org беше дом на гейм сървъри, аудио библиотеки, хостинг решения, блогове, хардуерни проекти, метео станции и още много, много идеи и решения на проблеми.

В момента бъдещето е все така неясно както беше и през далечната 2005-та. За сега хостинг услугите продължават, когато е необходимо се публикуват блог постове по проблемите на деня.

За контакт с мен – sawo@war3z.org

илюстрация: Marina Villen Tehran

Искаме ли да се преборим с тази съвременна чума, или ще чакаме да ни мине?
Какво всъщност е свободата – да правим каквото ни харесва на всяка цена, или да сме отговорни, без принуда да взимаме и трудни решения, подлагайки се на лишения заради другите?

През последните седмици често се тиражират най-различни мнения, включително и такива, които противоречат на медицинските и научни открития относно пандемията с коронавируса . Например – според доста хора мерките за предотвратяване на заразата не помагат, защото и страни със строги мерки дават много жертви, минали сме вече през многократни заключвания, а епидемията продължава и т.н. В случая няма да задълбаваме в опровергаване на тези твърдения най-малкото защото не почиват на никакви научни факти, а претендират, че оспорват такива, но ще разгледаме по-скоро причините за това отричане на научни истини, признати от цял свят.

Наистина ли мерките предлагани от науката не помагат, или ние грешим някъде? Дали пък не отнасяме свободата и правото на мнение до нива, на които застрашаването на нечий живот се счита за право?

Учените повтарят постоянно, че ограниченията които се налагат трябва да се въвеждат навреме и да се спазват стриктно, за да работят. Знаем добре, че масово по света нито се въвеждат навреме, нито се спазват стриктно и дори това е достатъчно да ни подсети, че не в мерките е проблема. Това обаче удобно се пропуска от повечето хора. За нас сякаш обаче е по-важно да си докажем, че мерките не работят, защото така ще можем да оправдаем неспазването им пред себе си. Проблем остава и човешкият фактор – за да имат ефект, мерките трябва да се въведат рано, когато все още няма „видима“ нужда от тях.
В противен случай, махалото няма как да бъде спряно в горна позиция и влизаме в един цикъл, който само влошава положението в дългосрочен план – още повече скептицизъм и още повече неспазване на препоръките от световната медицина. Ако обаче въведем мерките когато реално трябва, за хората е трудно да „видят“ ползите от тях – няма умрели, няма препълнени болници, има само ограничения, забрани и глоби. Иначе казано – репресии срещу свободата.

Понеже хората винаги осмисляме света около нас чрез бита и личният си опит, нека видим как би изглеждала същата ситуация, но ако не беше пандемия, а например пожар в дома ни, но следвайки логиката на отричане:

Например живеем в дървена къща с няколко стаи и забелязваме малък пламък от паднала свещ в една от стаите. Има малко пушек, но нищо сериозно. Свещта обаче е паднала зад тежък гардероб, не знаем как да загасим огъня. Преценяваме, че ако извикаме пожарна ще съсипят цялата ни къща, а в тази стая нямаме нищо чак толкова ценно. Решаваме да изчакаме малко, може пък и огъня да загасне сам? Преместваме силно запалимите материали настрана, оставяме огъня и изчакваме. Минават часове, виждаме обаче огъня все така си гори, може би малко по-силно, но все пак не изглежда сериозно. Минават още часове, забелязваме дим и в други стаи, там сякаш няма огън, но все пак дими изпод дъските в пода, от контактите по стените. Поглеждаме огъня в първата стая, започнал е да обхваща и част от мебелите.
Връщаме се обратно в останалите стаи, вече виждаме малки пламъци на места, но все още нищо фрапиращо. Решаваме, че явно ще трябва да се прежалим, звъним на пожарната и отваряме прозорците да се проветри малко от дима в другите стаи.
Пожарната обаче пътува известно време, а докато дойде, вече имаме някои изгорели мебели из стаите, а първата стая от където тръгва огъня, вече гори сериозно. Докато гасят, пожарникарите установяват, че огъня се е разпространил и зад стените, по ел. инсталацията и всъщност цялата ни къща гори, а не само това, което виждаме на пръв поглед. Зад стените вече няма какво да се направи, а докато изгасят всичко, губим част от конструкцията на къщата. Разбираме, че на места щетите вече са непоправими.
След като разгледаме щетите, се оплакваме на близките и приятелите си – ето, хем извикахме пожарна, хем пак ни изгоря част от къщата, а на всичкото отгоре и здравите части са целите подгизнали – каква беше ползата от пожарна? Поправяме каквото можем, закрепяме положението, минава обаче време и се случва нов пожар. Чудим се отново какво да правим, а някои от приятелите ни казват – „предният път нали извикахте пожарна? Каква беше ползата, освен да стане още по-зле? Изчакайте, пък вижте какво ще стане, така или иначе нямате какво да губите.“
И ние чакаме. Отново.

Какви са изводите от всичко това? Наистина ли пожарните не помагат и трябва да гледаме какво ще стане всеки път? Това не звучи рационално? Естествено, че не. Просто това е човешката природа – човек търси рационално обяснение за грешките си, по възможност и потвърждение, че всъщност не е сгрешил, а не задължително истината. А нашите приятели често се съгласяват с нас не защото сме прави, а защото сме приятели.
Разликата между пожара и пандемията е, че пожарните съществуват от над 300 години и пожарите не са спирали нито за ден. Хората са се убедили многократно, че дори и да ни се иска да имаме нещо по-добро, пожарните са ефективни. А такава пандемия не е имало от десетилетия, ние вече сме свикнали да живеем както ние искаме и не можем да приемем, че нещо, което не виждаме ще контролира живота ни.
Хората не искат да взимат трудни решения, освен ако нямат друг избор или не виждат ползите от тях в момента и пред очите си. Затова и търсим отчаяно потвърждение, че ограничителните мерки срещу пандемията не работят. Не заради друго, а защото ние не искаме да ги спазваме. Осъзнаваме обаче, че не е правилно да не искаме да ги спазваме ако спасяват живот, следователно трябва да докажем, че не работят и не са необходими. Независимо колко лекари и учени повтарят многократно доказани изследвания, исторически факти и научни разработки, ние винаги ще предпочетем конспирациите, спорните твърдения или мъглявата несигурност, ако това ще ни помогне да спим по-добре вечер.

Комплексни проблеми засягащи огромен брой хора често изискват решения, които са трудни за осмисляне и приемане от индивидуалните личности. Когато обаче друг вземе трудните решения вместо нас, макар и да е доказано по-компетентен (учени, лекари), ние по-скоро го приемаме като намеса в свободата ни, отколкото като помощ.
Изглежда това, което все още не разбираме е, че да имаш свобода не винаги означава да правиш каквото искаш на всяка цена и безусловно. По-лесното решение не винаги е правилното. Вземането на трудни решения също е признак на свобода, но преди всичко и на отговорност, на зрялост. Показва, че ние хората заслужаваме свободата си, но и умеем да я прилагаме във всякакви ситуации, не само в благоприятните. За съжаление тази зрялост се постига трудно, а не трае вечно. Трудните времена се забравят, хората бързо ставаме отново безгрижни и когато се налага да отворим нова глава в еволюцията си, никой не иска да приложи наученото ако ще трябва да върви по труден път.

Добре дошли в war3z.org - още един блог за обмяна на идеи, мнения, опит.

Защо ? Защото в днешно време ако искаш да изразиш мнението си в интернет, трябва да е 
на свой терен. Новинарски сайтове, форуми, социални мрежи - навсякъде дебнат тролове. 

Е, тук тролове няма да се толерират :)

war3z.org e на над 10 години, претърпявал е десетки трансформации и мисля, че сега това трябва 
да бъде призванието му.

Ако има желаещи за своя колонка в блога на каквато и да е тематика, свържете се с мен!