Double Hop beim PowerShell Remoting mit Kerberos sicher lösen

Ashley McGlone, Microsoft Premier Field Engineer (PFE), thematisiert auf seinem Blog wie Sie die Authentifizierung mit Kerberos einstellen können, um das „double hop problem“ für PowerShell Remoting zu umgehen.

In einer übersichtlichen Tabelle sind mögliche Lösungen, weiterführende Links sowie einer kurzen Schilderung der jeweiligen Vor- und Nachteile abgebildet. Darunter zu finden sind beispielsweise auch die Varianten CredSSP, Credential als Parameter zu übertragen und die PS Session Configuration mit JEA. Den kompletten Artikel finden Sie auf dem Tech-Blog von Ashley Mc Clone.

In ScriptRunner haben wir das Problem schon seit längerem gelöst, indem Credentials als Parameter vom Typ [PSCredential] in Scripten verwendet werden können. Um im Script keine Verweise auf Accounts, Hashcodes etc. zu hinterlassen und keine interaktive Eingabe zu erzwingen, steuert ScriptRunner Credentials erst zur Laufzeit in den Hintergrundprozess zur Verarbeitung des Scriptes ein. Somit ist sichergestellt, dass Scripte keine sicherheitsrelevanten Informationen zu Accountdaten enthalten. Und der „double hop“ ist überwunden.

Weitere Details dazu finden Sie in unserem Blogbeitrag „Sichere Verwendung von Credentials in ScriptRunner“.