Что это значит

Для входа в Directum RX по Kerberos выпускается keytab командой ktpass, которая заодно назначает учётной записи службы имя HTTP/... (SPN) и UPN. В Active Directory одно и то же имя может принадлежать только одному объекту. Если SPN или UPN уже есть у другого пользователя или компьютера, ktpass пишет одну из ошибок:

  • Failed to set property 'servicePrincipalName' ... : 0x13. WARNING: Unable to set SPN mapping data: SPN занят;
  • Failed to set property 'userPrincipalName' ... Kinits to '...' will fail: UPN занят.

Keytab при этом может создаться, но вход по Kerberos работать не будет.

Как проверить

Кому принадлежит SPN:

setspn -Q HTTP/directum

Кому принадлежит UPN:

Get-ADUser -Filter "userPrincipalName -like 'HTTP/directum*'"
Get-ADComputer -Filter "userPrincipalName -like 'HTTP/directum*'"

Что сделать

  1. Снять SPN с чужой учётной записи: setspn -D HTTP/directum <имя пользователя или компьютера>.
  2. Изменить или удалить UPN найденного объекта: в оснастке «Active Directory — пользователи и компьютеры» или командой Set-ADUser / Set-ADComputer с параметром -UserPrincipalName.
  3. Заново выполнить команду выпуска keytab.