【図解】SPNとは？Kerberosがサービスを見分ける名前を初心者向けに解説

KerberosのSPN（サービスプリンシパル名）の書き方・登録先・チケットでの使われ方と、つまずきやすい3つの場面を図解で説明します。 図と参考資料はブログ記事で：https://hirotanoblog.com/spn-basic/17... Kerberosで共有フォルダやWebサイトにアクセスするとき、DCはSPNを手がかりに、どのアカウントの鍵でサービスチケットを作るかを決めます。SPNがずれていると「なぜかNTLMになる」「アクセスが拒否される」といったトラブルになります。動画では、SPNの未登録・重複・登録先の間違いで起きることと確かめ方、Kerberoastingへの対策までを順に見ていきます。 ▼目次 0:00 はじめに 0:58 DCは「どのサービス向けか」を知る必要がある 1:28 SPNとは：サービスに付けた名前 2:22 SPNの書き方 3:28 SPNの登録先 4:41 gMSAとは 5:43 HOSTが代わりになる 6:31 KerberosでのSPNの使われ方 8:03 DCとサーバは同じ鍵を持っている 9:12 接続先の名前でSPNが決まる 9:40 SPNでつまずく3つの場面 12:28 別名（CNAME）でアクセスするとき 13:00 SPNの登録とセキュリティ 13:53 Kerberoastingと対策 15:12 確認に使うコマンド 16:39 まとめ ▼参考資料（動画で紹介した数字・仕様の出典） ・gMSAのパスワード（240バイトのランダムな値・既定30日ごとに自動で変更）：Microsoft Learn（ベンダー発表） https://learn.microsoft.com/windows-s... ・gMSAを使う前のKDSルートキー：Microsoft Learn（ベンダー発表） https://learn.microsoft.com/windows-s... ・コンピュータアカウントのパスワードを既定30日ごとに自動で変更：Microsoft Learn（ベンダー発表） https://learn.microsoft.com/troublesh... ・LSAシークレット：Microsoft Learn（ベンダー発表） https://learn.microsoft.com/windows-s... ・IPアドレスで接続すると既定ではKerberosを試さない：Microsoft Learn（ベンダー発表） https://learn.microsoft.com/windows-s... ・KDC_ERR_S_PRINCIPAL_UNKNOWN／KDC_ERR_PRINCIPAL_NOT_UNIQUE：Microsoft Learn（ベンダー発表） https://learn.microsoft.com/troublesh... ・SPNの重複とKDCのイベントID 11：Microsoft Learn（ベンダー発表） https://learn.microsoft.com/troublesh... ・SPNが別のアカウントに付いているときのイベントID 4（KRB_AP_ERR_MODIFIED）：Microsoft Learn（ベンダー発表） https://learn.microsoft.com/troublesh... ・CNAMEではなくnetdom computernameで別名を付ける方法：Microsoft Learn（ベンダー発表） https://learn.microsoft.com/troublesh... ・Windows Server 2012 R2以降のDCは重複するSPNの登録を拒否：Microsoft Learn（ベンダー発表） https://learn.microsoft.com/windows-s... ・Kerberoastingのしくみと対策：Microsoft Learn（ベンダー発表） https://learn.microsoft.com/defender-... ・dMSA（Windows Server 2025）：Microsoft Learn（ベンダー発表） https://learn.microsoft.com/windows-s... ・setspnのオプション（-L・-Q・-X・-S・-D）：Microsoft Learn（ベンダー発表） https://learn.microsoft.com/windows-s... ・klist get・klist purge：Microsoft Learn（ベンダー発表） https://learn.microsoft.com/windows-s... ▼この動画について ・図解スライドと合成音声のナレーションで、ブログ記事の内容を説明しています。 ・ナレーション：VOICEPEAK 女性1（声優：若守みづき） ▼免責事項 ・この動画は、WindowsのActive Directoryを例にSPNのしくみを一般的に説明したもので、画面の名前やアドレスは例です。細かい仕様はMicrosoftの公式ドキュメントでご確認ください。 ・掲載内容は個人の見解です。 ・できるだけ正確な情報をお伝えするよう努めていますが、正確性や安全性を保証するものではありません。公開後に情報が古くなることもあります。 ・この動画の内容を参考にしたことで生じたトラブルについては、責任を負いかねます。あらかじめご了承ください。 ・ブログの免責事項：https://hirotanoblog.com/disclaimer/ ▼ブログ https://hirotanoblog.com/ #Kerberos #ActiveDirectory #セキュリティ