Kısa cevap: Netsis “domain authentication failed” hatası genellikle domain trust kopması, AD parola değişikliği, service account kilitlenmesi, sunucu-domain controller saat farkı (Kerberos için 5 dk üstü) veya eksik SPN kaynaklıdır. Trust için domain rejoin, saat için NTP sync, Kerberos için SQL Server SPN tanımı çözer.
Active Directory ortamında Netsis kullanan firmalarda zaman zaman “domain authentication failed” hatası yaşanır. Bu rehberde sebep ve çözüm yollarını anlatıyoruz.
Neden Active Directory Entegrasyon?
- Tek parola yönetimi (SSO)
- Kullanıcı yetkileri Windows kullanıcısıyla senkron
- Kullanıcı ekleme/çıkarma kolaylığı
- Güvenlik politikası tek noktadan
Authentication Sorunu Sebepleri
1. Domain Trust Kopması
Domain controller ile Netsis sunucusu arasında trust ilişkisi koptu.
Çözüm: Domain den çıkar, tekrar dahil et (rejoin).
2. Kullanıcı Parola Değişikliği
AD parolası değişti, eski parola cache lendi.
Çözüm: Logout/Login → cache temizleme, yeni parola ile giriş.
3. Service Account Kilitlenmesi
Netsis service account ı yanlış parola denemeleriyle kilitlendi.
Çözüm: AD admin panelinden hesap kilidini açın.
4. Time Sync Sorunu
Sunucu ve domain controller saat farkı 5 dakikadan fazla → Kerberos başarısız.
Çözüm: NTP sync kontrolü.
5. SPN (Service Principal Name) Eksik
SQL Server SPN tanımlı değil → Kerberos auth fail.
Çözüm: setspn -A komutu ile SPN oluşturma.
Çözüm Komutları
-- AD trust kontrol
nltest /sc_query:DOMAIN
-- Time sync
w32tm /resync /force
-- SPN listele
setspn -L SQLServiceAccount
-- SPN ekle
setspn -A MSSQLSvc/sqlserver.domain.com:1433 SQLServiceAccountÖnerilen Yapılandırma
- SQL Service: dedicated AD service account
- SQL portunda Kerberos delegasyonu
- Netsis app: AD authentication active
- NTP sync zorunlu
- SPN doğru tanımlı
💡 Karmaşık AD entegrasyonu: AD ortamında Netsis kurulumu uzmanlık ister. Bakım anlaşmamızda AD/SQL entegrasyon takibi dahildir.
Sıkça Sorulan Sorular
Kerberos kimlik doğrulaması için sunucu ile domain controller arasındaki saat farkı kaç dakika olmalı?
Saat farkı 5 dakikadan az olmalıdır; Kerberos varsayılan olarak 5 dakikalık zaman toleransıyla çalışır ve bu eşik aşılırsa kimlik doğrulama başarısız olur. w32tm /resync /force komutu ile zaman senkronizasyonunu zorlayabilirsiniz.
Netsis service account kilitlendiğinde ne yapmalıyım?
Yanlış parola denemeleriyle kilitlenen service account, AD admin (Active Directory Users and Computers) panelinden “Unlock account” seçeneğiyle açılır. Kilitlenmeyi önlemek için service account parolasını sabitleyin ve uygulamadaki cache’lenmiş eski parolayı temizleyin.
SQL Server için SPN nasıl tanımlanır ve neden gerekli?
SPN (Service Principal Name) tanımlı değilse Kerberos kimlik doğrulaması NTLM’e düşer veya başarısız olur. setspn -A MSSQLSvc/sqlserver.domain.com:1433 SQLServiceAccount komutuyla SPN eklenir; setspn -L SQLServiceAccount ile mevcut tanımları listeleyebilirsiniz.
Domain trust koptuğunda Netsis sunucusunu yeniden domain’e nasıl dahil ederim?
Önce nltest /sc_query:DOMAIN ile trust durumunu doğrulayın; bozuksa sunucuyu domain’den çıkarıp tekrar dahil edin (rejoin) ve sonrasında yeniden başlatın. Düzenli takip için bakım anlaşması kapsamında AD/SQL entegrasyonu izlenebilir.