KDC_ERR_S_PRINCIPAL_UNKNOWN和KDC_ERR_PRINCIPAL_NOT_UNIQUE错误表示客户端正在请求访问 Kerberos 无法识别的服务。 此类错误表示以下一个或多个问题：
- 服务帐户未正确配置。
- 该服务未使用为其配置的服务帐户。
- 为服务配置了多个帐户。
- 客户端未正确请求服务。
每个服务都有一个服务主体名称（SPN），用于将其标识给客户端和其他服务。 SPN 是服务使用的 Active Directory 域服务 （AD DS） 帐户的属性。 服务可以在自定义服务帐户的上下文中运行，也可以在内置帐户的上下文中运行，例如本地计算机的计算机帐户。 该服务还可以在与计算机帐户（例如本地系统或网络服务）相关的安全上下文中运行。
配置 SPN 的方式因服务使用的帐户类型而异：
- 自定义服务帐户必须为每个使用该帐户的服务具有明确的 SPN。
- 计算机帐户可能具有为使用该帐户的服务配置的显式 SPN。 但是，常见服务类会自动映射到 HOST SPN。 为每个计算机帐户自动生成 HOST SPN。 在这种情况下，某些服务可能没有在计算机帐户上配置自己的 SPN。
重要
- 除非服务使用计算机帐户和 HOST SPN，否则 SPN 在 AD DS 林中必须唯一。 在多林环境中，SPN 必须在所有关联的林中是唯一的。
- 一个 SPN 只能与一个帐户相关联。 SPN 问题的常见原因是将服务配置为使用自定义帐户，即使 SPN 与自定义帐户和计算机帐户相关联。
收集跟踪数据并识别问题 SPN
如果尚未收集该问题的跟踪数据，请立即进行。 有关详细信息，请参阅 Kerberos 身份验证故障排除指南：3.收集跟踪和票证数据。 检查跟踪数据以查找客户端请求的 SPN。
检查服务帐户使用的 SPN
这些过程略有不同，具体取决于服务是使用自定义帐户还是计算机帐户。 下表汇总了差异。
| 服务使用自定义帐户 | 服务使用计算机帐户 |
|---|---|
| 请求的 SPN 必须与帐户 SPN 匹配。SPN 在林中必须是唯一的。 | 请求的 SPN 可能与其中一个帐户 SPN 匹配。 但是，常见服务（如 Web 服务）通常使用自动 HOST SPN 而不是唯一的 SPN。如果帐户确实具有一个特定于服务的 SPN，则该 SPN 必须在整个林中是唯一的。 |
-
获取分配给服务帐户的 SPN 列表。 为此，请在域控制器上打开管理命令提示符窗口，然后运行以下命令：
setspn -L <Name>注释
- 在此命令中， <Name> 表示运行服务的计算机或服务使用的自定义帐户的名称。
- 在多域环境中，使用 <Domain\Name> 格式指定帐户的域。
-
搜索使用请求的 SPN 的任何帐户。 此搜索标识任何重复的 SPN 或分配给错误帐户的 SPN。
注释
若要执行此过程，必须至少具有企业管理员权限。
若要确定与 SPN 关联的帐户或帐户，请打开管理命令提示符窗口，然后运行以下命令之一。
单林 多个受信任的林域 setspn -Q <SPN>setspn -X <SPN>注释
- 在此命令中， <SPN> 表示要搜索的 SPN。
- 在整个森林范围内搜索重复项可能需要很长时间，并消耗大量内存。
有关命令和可用选项的详细信息 setspn ，请参阅 setspn。
根据需要重新配置 SPN
后续步骤取决于跟踪数据的结果、 setspn 查询以及服务使用的帐户类型。
你可能会看到以下任何问题。
| 自定义帐户 | 计算机帐户 |
|---|---|
| 服务帐户以外的一个或多个帐户具有 SPN。 | 计算机帐户以外的一个或多个帐户具有 SPN。 |
| 自定义帐户没有 SPN。 | 计算机帐户应具有 SPN，但它没有。^1^ |
| 自定义帐户的 SPN 不正确，或 SPN 与客户端请求的 SPN 不匹配。^2^ | 计算机帐户的 SPN 不正确或 SPN 与客户端请求的 SPN 不匹配。^2^ |
^1^ 有关可以使用计算机帐户的 HOST SPN 的服务的列表，请参阅 setspn。 如果服务不是这些常见服务之一，则必须在计算机帐户上为该服务配置 SPN。
^2^ 有关客户端请求信息，请参阅网络跟踪数据。
使用以下方法来修复 SPN 配置：
- 如果服务帐户配置正确，但客户端请求了不正确的 SPN，请参阅 修复不一致的 SPN。
- 如果正确的服务帐户具有 SPN 但 SPN 不正确，请删除不正确的 SPN，然后添加正确的 SPN。 有关详细信息，请参阅 从帐户中删除 SPN 并将 SPN 添加到服务帐户。
- 如果将 SPN 分配到除正确的服务帐户（自定义帐户或计算机帐户）以外的任何帐户，请从这些帐户中删除 SPN。 请参阅 从帐户中删除 SPN。
- 如果服务使用自定义帐户，但自定义帐户没有分配的 SPN，请添加 SPN。 有关详细信息，请参阅 向服务帐户添加 SPN。
- 如果服务使用计算机帐户，但不是本文中所述的常见服务之一， 请将 SPN 添加到 计算机帐户。
从帐户中删除 SPN
若要从帐户中删除 SPN，请在管理命令提示符处运行以下命令：
setspn -D <SPN> <AccountName>
注释
在此命令中， <SPN> 表示要删除的 SPN。 <AccountName> 表示要从中删除 SPN 的帐户（或其中一个帐户）。
将 SPN 添加到服务帐户
若要将 SPN 添加到帐户，请在管理命令提示符处运行以下命令：
setspn -S \<SPN> \<AccountName>
注释
在此命令中， <SPN> 表示要添加的 SPN。 <AccountName> 表示要向其添加 SPN 的帐户（或其中一个帐户）。
修复不一致的 SPN
确定 SPN 的版本正确：客户端请求的版本或服务帐户上配置的 SPN 版本。
如果客户端请求了不正确的 SPN，请验证客户端用于为请求生成 SPN 的信息，并确保源信息正确。 DNS 是此信息的常见来源。 除了 DNS 之外，其他客户端（尤其是非浏览器或自定义客户端）可能还使用其他源。
如果服务帐户使用不正确的 SPN，请 从服务帐户中删除 SPN，然后 添加正确的 SPN。
详细信息
SPN 使用 <ServiceClass>/<Host>：<Port>/，<ServiceName> 格式并包含以下组件：
- <ServiceClass> （必需） 表示服务的服务类。
- <主机> （必需）表示运行服务的计算机的名称。
- <端口> （可选）表示服务使用的端口号。
- <ServiceName> （可选）表示服务的名称。
有关如何设置 SPN 格式以及何时使用可选参数的详细信息，请参阅 唯一 SPN 的名称格式。