{"id":1285,"date":"2026-10-31T10:14:58","date_gmt":"2026-10-31T09:14:58","guid":{"rendered":"https:\/\/remivernier.com\/?p=1285"},"modified":"2026-10-31T10:14:58","modified_gmt":"2026-10-31T09:14:58","slug":"kerberos-retombe-ntlm-diagnostic-maquette","status":"publish","type":"post","link":"https:\/\/remivernier.com\/index.php\/2026\/10\/31\/kerberos-retombe-ntlm-diagnostic-maquette\/","title":{"rendered":"Pourquoi Kerberos retombe en NTLM: diagnostic sur maquette"},"content":{"rendered":"<p>Le 29 janvier 2026, Microsoft a publi\u00e9 sur le blog Windows IT Pro sa feuille de route pour <a href=\"https:\/\/techcommunity.microsoft.com\/blog\/windows-itpro-blog\/advancing-windows-security-disabling-ntlm-by-default\/4489526\">d\u00e9sactiver NTLM par d\u00e9faut<\/a>. La FAQ associ\u00e9e vise la prochaine version majeure de Windows Server et du client pour cette d\u00e9sactivation par d\u00e9faut, avec la r\u00e9serve que la date peut encore changer. Le 2 juin 2026, l&rsquo;\u00e9quipe a ajout\u00e9 <a href=\"https:\/\/techcommunity.microsoft.com\/blog\/windows-itpro-blog\/reducing-ntlm-dependency-iakerb-and-localkdc-in-windows-insider-preview\/4524615\">IAKerb et LocalKDC dans les builds Insider<\/a> pour couvrir les cas o\u00f9 le client ne joint pas de contr\u00f4leur de domaine ou utilise des comptes locaux.<\/p>\n<p>Le jour o\u00f9 le repli NTLM dispara\u00eet, chaque connexion qui retombait silencieusement en NTLM devient une connexion en \u00e9chec. Pour identifier ces connexions, nous allons provoquer volontairement quatre pannes classiques sur une maquette et regarder \u00e0 chaque fois la trace r\u00e9seau, les tickets et les journaux.<\/p>\n<h2>Pr\u00e9sentation de la maquette<\/h2>\n<p>Nous reprenons la maquette de l&rsquo;article <a href=\"https:\/\/remivernier.com\/index.php\/2018\/06\/24\/iis-kerberos\/\">Configuration pas \u00e0 pas de IIS8 pour l&rsquo;utilisation du protocole KERBEROS<\/a>, mise \u00e0 jour avec des versions r\u00e9centes:<\/p>\n<ul>\n<li>Nom du domaine: test.local (TESTLOCAL), contr\u00f4leur de domaine dc01.test.local<\/li>\n<li>Serveur IIS: srv01.test.local (192.168.0.102)<\/li>\n<li>Nom du site: monsite.test.local (enregistrement DNS de type A vers srv01)<\/li>\n<li>Compte de service du pool d&rsquo;application: svc.monsite@test.local, avec <code>useAppPoolCredentials=\"true\"<\/code><\/li>\n<li>SPN: <code>HTTP\/monsite.test.local<\/code> positionn\u00e9 sur svc.monsite<\/li>\n<li>Client: win11.test.local avec Edge, Fiddler en interception HTTPS et Wireshark<\/li>\n<\/ul>\n<p>C\u00f4t\u00e9 contr\u00f4leur de domaine, la sous-cat\u00e9gorie d&rsquo;audit \u00ab Validation des informations d&rsquo;identification \u00bb doit \u00eatre activ\u00e9e en succ\u00e8s, sinon l&rsquo;\u00e9v\u00e9nement 4776 dont nous allons nous servir n&rsquo;appara\u00eetra jamais.<\/p>\n<figure class=\"wp-block-image\">\n<svg viewBox=\"0 0 720 300\" width=\"100%\" xmlns=\"http:\/\/www.w3.org\/2000\/svg\" font-family=\"sans-serif\" font-size=\"13\">\n<defs>\n<marker id=\"fl\" viewBox=\"0 0 10 10\" refX=\"9\" refY=\"5\" markerWidth=\"7\" markerHeight=\"7\" orient=\"auto-start-reverse\"><path d=\"M0,0 L10,5 L0,10 z\" fill=\"#333\"\/><\/marker>\n<\/defs>\n<rect x=\"285\" y=\"15\" width=\"150\" height=\"55\" rx=\"6\" fill=\"#fdf3e1\" stroke=\"#333\"\/>\n<text x=\"360\" y=\"39\" text-anchor=\"middle\" font-size=\"14\">DC01 (KDC)<\/text>\n<text x=\"360\" y=\"58\" text-anchor=\"middle\">dc01.test.local<\/text>\n<rect x=\"15\" y=\"190\" width=\"160\" height=\"60\" rx=\"6\" fill=\"#e8f0fe\" stroke=\"#333\"\/>\n<text x=\"95\" y=\"215\" text-anchor=\"middle\" font-size=\"14\">WIN11<\/text>\n<text x=\"95\" y=\"235\" text-anchor=\"middle\">client Edge<\/text>\n<rect x=\"545\" y=\"190\" width=\"160\" height=\"60\" rx=\"6\" fill=\"#e6f4ea\" stroke=\"#333\"\/>\n<text x=\"625\" y=\"215\" text-anchor=\"middle\" font-size=\"14\">SRV01 (IIS)<\/text>\n<text x=\"625\" y=\"235\" text-anchor=\"middle\">monsite.test.local<\/text>\n<line x1=\"175\" y1=\"210\" x2=\"545\" y2=\"210\" stroke=\"#333\" marker-end=\"url(#fl)\"\/>\n<text x=\"360\" y=\"202\" text-anchor=\"middle\">1. GET \/ puis 401 WWW-Authenticate: Negotiate, NTLM<\/text>\n<line x1=\"175\" y1=\"242\" x2=\"545\" y2=\"242\" stroke=\"#333\" marker-end=\"url(#fl)\"\/>\n<text x=\"360\" y=\"235\" text-anchor=\"middle\">4. Authorization: Negotiate YII\u2026 ou TlRMTVNTUA\u2026<\/text>\n<line x1=\"110\" y1=\"190\" x2=\"300\" y2=\"70\" stroke=\"#333\" marker-start=\"url(#fl)\" marker-end=\"url(#fl)\"\/>\n<text x=\"195\" y=\"110\" text-anchor=\"end\">2. TGS-REQ HTTP\/monsite\u2026<\/text>\n<text x=\"195\" y=\"127\" text-anchor=\"end\">3. TGS-REP ou KRB-ERROR<\/text>\n<line x1=\"630\" y1=\"190\" x2=\"420\" y2=\"70\" stroke=\"#333\" marker-end=\"url(#fl)\"\/>\n<text x=\"525\" y=\"105\">5. NTLM seulement:<\/text>\n<text x=\"525\" y=\"122\">validation NetLogon (4776)<\/text>\n<text x=\"360\" y=\"285\" text-anchor=\"middle\">4624 sur SRV01: Authentication Package = Kerberos ou NTLM<\/text>\n<\/svg><figcaption>O\u00f9 se d\u00e9cide le repli: la r\u00e9ponse du KDC \u00e0 l&rsquo;\u00e9tape 3 et le jeton envoy\u00e9 \u00e0 l&rsquo;\u00e9tape 4<\/figcaption><\/figure>\n<h2>Kerberos ou NTLM? Le prouver<\/h2>\n<p>Trois endroits permettent de trancher, et ils doivent raconter la m\u00eame histoire.<\/p>\n<p>Le premier est l&rsquo;ent\u00eate \u00ab Authorization \u00bb vue dans Fiddler: un jeton commen\u00e7ant par YII est du Kerberos, un jeton commen\u00e7ant par TlRMTVNTUA est du NTLMSSP encod\u00e9 en base64, comme nous l&rsquo;avions d\u00e9taill\u00e9 dans l&rsquo;article <a href=\"https:\/\/remivernier.com\/index.php\/2018\/09\/16\/exploration-des-entetes-http-www-authenticate\/\">Exploration des ent\u00eates HTTP WWW-Authenticate et Authorization<\/a>.<\/p>\n<p>Le deuxi\u00e8me est l&rsquo;\u00e9v\u00e9nement 4624 dans le journal S\u00e9curit\u00e9 de srv01, section \u00ab Informations d&rsquo;authentification d\u00e9taill\u00e9es \u00bb. Pour une connexion Kerberos:<\/p>\n<pre class=\"wp-block-code\"><code>Logon Type:               3\nLogon Process:            Kerberos\nAuthentication Package:   Kerberos\nPackage Name (NTLM only): -\nKey Length:               0<\/code><\/pre>\n<p>Et pour la m\u00eame connexion retomb\u00e9e en NTLM:<\/p>\n<pre class=\"wp-block-code\"><code>Logon Type:               3\nLogon Process:            NtLmSsp\nAuthentication Package:   NTLM\nPackage Name (NTLM only): NTLM V2\nKey Length:               128<\/code><\/pre>\n<p>Le champ \u00ab Package Name (NTLM only) \u00bb donne le sous-package LAN Manager utilis\u00e9 (NTLM V1, NTLM V2 ou LM) et n&rsquo;est renseign\u00e9 que si \u00ab Authentication Package \u00bb vaut NTLM. Attention: ce champ n&rsquo;est pas parole d&rsquo;\u00e9vangile. Microsoft documente un cas o\u00f9 <a href=\"https:\/\/learn.microsoft.com\/en-us\/troubleshoot\/windows-server\/windows-security\/authentication-package-listed-as-ntlmv1-security-audit-event\">l&rsquo;\u00e9v\u00e9nement affiche NTLM V1 alors que la trace r\u00e9seau montre du NTLMv2<\/a>, \u00e0 cause des drapeaux de s\u00e9curit\u00e9 de session n\u00e9goci\u00e9s. Pour d\u00e9cider entre Kerberos et NTLM, c&rsquo;est \u00ab Authentication Package \u00bb qui fait foi.<\/p>\n<p>Pour ne sortir que les ouvertures de session NTLM sans parcourir tout le journal, une requ\u00eate XPath suffit:<\/p>\n<pre class=\"wp-block-code\"><code>wevtutil qe Security \/rd:true \/c:5 \/f:text \/q:\"*[System[(EventID=4624)] and EventData[Data[@Name='AuthenticationPackageName']='NTLM']]\"<\/code><\/pre>\n<p>Le troisi\u00e8me est l&rsquo;\u00e9v\u00e9nement 4776 sur dc01. Pour un compte du domaine, srv01 transmet la r\u00e9ponse NTLM au contr\u00f4leur de domaine par NetLogon, et c&rsquo;est dc01 qui la valide et la journalise avec \u00ab Authentication Package: MICROSOFT_AUTHENTICATION_PACKAGE_V1_0 \u00bb, le compte et la station source. Une connexion Kerberos laisse \u00e0 la place un 4769 (demande de ticket de service). Si nous voyons un 4776 pour notre utilisateur avec srv01 comme station au moment du test, le repli a eu lieu.<\/p>\n<h2>SPN absent ou dupliqu\u00e9<\/h2>\n<p>Premi\u00e8re panne, la plus fr\u00e9quente: le SPN n&rsquo;existe pas. Nous le retirons du compte de service, puis nous vidons le cache du client.<\/p>\n<pre class=\"wp-block-code\"><code>setspn -D HTTP\/monsite.test.local TESTLOCAL\\svc.monsite\nklist purge<\/code><\/pre>\n<p>Nous relan\u00e7ons la connexion au site. Dans Wireshark, avec le filtre <code>kerberos<\/code>, la s\u00e9quence s&rsquo;arr\u00eate net:<\/p>\n<p>-> TGS-REQ pour HTTP\/monsite.test.local envoy\u00e9 \u00e0 dc01<\/p>\n<p>-> KRB-ERROR en retour, code 7 (KDC_ERR_S_PRINCIPAL_UNKNOWN)<\/p>\n<p>Le filtre <code>kerberos.error_code == 7<\/code> isole ces r\u00e9ponses sur une capture longue. Dans Fiddler, l&rsquo;ent\u00eate \u00ab Authorization \u00bb suivante commence par TlRMTVNTUA, et le 4624 sur srv01 affiche NTLM. L&rsquo;utilisateur, lui, ne voit rien: la page s&rsquo;affiche, et personne ne signale le probl\u00e8me.<\/p>\n<p>La commande <code>klist get<\/code> reproduit la demande de ticket sans navigateur:<\/p>\n<pre class=\"wp-block-code\"><code>C:\\&gt; klist get HTTP\/monsite.test.local\nCurrent LogonId is 0:0x3e1a4\nError calling API LsaCallAuthenticationPackage (GetTicket substatus): 0xc000018b\nklist failed with 0xc000018b\/-1073741429: The SAM database on the Windows Server does not have a computer account for this workstation trust relationship.<\/code><\/pre>\n<p>Le message est trompeur, mais 0xc000018b est la traduction c\u00f4t\u00e9 client de \u00ab principal inconnu \u00bb. Correction: <code>setspn -S HTTP\/monsite.test.local TESTLOCAL\\svc.monsite<\/code>.<\/p>\n<p>Deuxi\u00e8me panne: le SPN est dupliqu\u00e9. Nous ajoutons le m\u00eame SPN sur le compte machine de srv01, en utilisant volontairement <code>-A<\/code>, qui ne contr\u00f4le pas les doublons (contrairement \u00e0 <code>-S<\/code>):<\/p>\n<pre class=\"wp-block-code\"><code>setspn -A HTTP\/monsite.test.local SRV01\nsetspn -Q HTTP\/monsite.test.local\nsetspn -X<\/code><\/pre>\n<p><code>setspn -Q<\/code> renvoie alors deux comptes, et <code>setspn -X<\/code> liste les doublons de toute la for\u00eat. Sur dc01, le journal Syst\u00e8me re\u00e7oit un \u00e9v\u00e9nement 11 de la source Microsoft-Windows-Kerberos-Key-Distribution-Center qui signale un nom en double. Comme l&rsquo;explique un billet de l&rsquo;\u00e9quipe Core Infrastructure de Microsoft, le KDC qui trouve deux comptes portant le m\u00eame SPN journalise l&rsquo;\u00e9v\u00e9nement 11 et r\u00e9pond au client par une erreur de principal inconnu, et le client passe alors \u00e0 NTLM. Dans la trace, la panne ressemble donc \u00e0 la pr\u00e9c\u00e9dente. C&rsquo;est <code>setspn -Q<\/code> et l&rsquo;\u00e9v\u00e9nement 11 qui font la diff\u00e9rence.<\/p>\n<h2>Acc\u00e8s par IP ou par alias CNAME?<\/h2>\n<p>Troisi\u00e8me panne: l&rsquo;utilisateur tape https:\/\/192.168.0.102. Cette fois, la capture Wireshark ne contient aucun TGS-REQ. Par d\u00e9faut, Windows ne tente pas Kerberos quand le nom d&rsquo;h\u00f4te est une adresse IP, et une application qui utilise une IP en dur retombe donc en NTLM. L&rsquo;absence totale de dialogue avec le KDC suffit \u00e0 reconna\u00eetre ce cas: le client n&rsquo;a m\u00eame pas essay\u00e9.<\/p>\n<p>Depuis Windows 10 1507 et Windows Server 2016, il est possible d&rsquo;autoriser des SPN contenant une adresse IP. Il faut une cl\u00e9 de registre sur chaque client et un SPN d\u00e9clar\u00e9 manuellement, comme le d\u00e9crit la page <a href=\"https:\/\/learn.microsoft.com\/en-us\/windows-server\/security\/kerberos\/configuring-kerberos-over-ip\">Kerberos clients allow IPv4 and IPv6 address hostnames in SPNs<\/a>:<\/p>\n<pre class=\"wp-block-code\"><code>reg add \"HKLM\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Policies\\System\\Kerberos\\Parameters\" \/v TryIPSPN \/t REG_DWORD \/d 1 \/f\nsetspn -S HTTP\/192.168.0.102 TESTLOCAL\\svc.monsite<\/code><\/pre>\n<p>Microsoft r\u00e9serve cette solution aux cas o\u00f9 il est impossible de passer \u00e0 un nom DNS, parce qu&rsquo;une adresse IP change au gr\u00e9 des baux DHCP. Je la garde pour les applications que l&rsquo;on ne peut pas modifier.<\/p>\n<p>Avec un CNAME, le repli est moins visible. Nous cr\u00e9ons portail.test.local en CNAME vers srv01.test.local et nous ouvrons https:\/\/portail.test.local. Le SPN demand\u00e9 d\u00e9pend du client: les navigateurs Chromium (Edge, Chrome) r\u00e9solvent par d\u00e9faut le CNAME et construisent le SPN sur le nom canonique (comportement pilot\u00e9 par la strat\u00e9gie DisableAuthNegotiateCnameLookup), alors que d&rsquo;autres clients gardent le nom saisi. Plut\u00f4t que de deviner, nous demandons \u00e0 klist ce qui a r\u00e9ellement \u00e9t\u00e9 obtenu:<\/p>\n<pre class=\"wp-block-code\"><code>C:\\&gt; klist\n#1&gt;  Client: alice @ TEST.LOCAL\n     Server: HTTP\/srv01.test.local @ TEST.LOCAL\n     KerbTicket Encryption Type: AES-256-CTS-HMAC-SHA1-96<\/code><\/pre>\n<p>-> Le ticket vise HTTP\/srv01.test.local, pas HTTP\/portail.test.local.<\/p>\n<p>Deux situations peuvent alors se pr\u00e9senter. Si aucun compte ne porte le SPN du nom demand\u00e9, nous retombons dans la premi\u00e8re panne et donc en NTLM. Dans notre maquette, HTTP\/srv01.test.local est couvert implicitement par HOST\/srv01 sur le compte machine: le ticket est \u00e9mis, mais chiffr\u00e9 avec la cl\u00e9 de srv01$. IIS tente de le d\u00e9chiffrer avec la cl\u00e9 de svc.monsite (<code>useAppPoolCredentials<\/code>), \u00e9choue avec KRB_AP_ERR_MODIFIED, et l&rsquo;utilisateur obtient une fen\u00eatre d&rsquo;authentification au lieu du SSO. La lecture du ticket avec klist et Wireshark est d\u00e9taill\u00e9e dans l&rsquo;article <a href=\"https:\/\/remivernier.com\/index.php\/2026\/10\/27\/kerberos-lire-ticket-service-klist-wireshark-tgs-req-pac\/\">Kerberos: lire un ticket de service avec klist et Wireshark<\/a>. La correction la plus simple reste un enregistrement A d\u00e9di\u00e9 au site, avec le SPN correspondant sur le compte du pool.<\/p>\n<h2>Horloge et d\u00e9l\u00e9gation<\/h2>\n<p>Quatri\u00e8me panne: l&rsquo;horloge. Sur srv01, nous arr\u00eatons le service de temps et nous avan\u00e7ons l&rsquo;horloge de dix minutes:<\/p>\n<pre class=\"wp-block-code\"><code>net stop w32time\nSet-Date (Get-Date).AddMinutes(10)<\/code><\/pre>\n<p>Le client, lui, reste synchronis\u00e9 sur dc01 et obtient son ticket de service sans difficult\u00e9: le TGS-REP est bien dans la trace. Le probl\u00e8me survient sur srv01, qui compare l&rsquo;horodatage de l&rsquo;authentificateur \u00e0 sa propre heure et rejette l&rsquo;AP-REQ avec KRB_AP_ERR_SKEW (code 37, RFC 4120), la tol\u00e9rance par d\u00e9faut du domaine \u00e9tant de 5 minutes (strat\u00e9gie \u00ab Tol\u00e9rance maximale pour la synchronisation de l&rsquo;horloge de l&rsquo;ordinateur \u00bb). Cette erreur circule dans l&rsquo;\u00e9change HTTP chiffr\u00e9 par TLS: nous ne la voyons pas dans Wireshark, mais dans le jeton Negotiate de la r\u00e9ponse 401 d\u00e9cod\u00e9 dans Fiddler. Selon le client, le r\u00e9sultat est un \u00e9chec ou une nouvelle tentative en NTLM. Le diagnostic se fait depuis srv01:<\/p>\n<pre class=\"wp-block-code\"><code>w32tm \/query \/status\nw32tm \/stripchart \/computer:dc01.test.local \/samples:3 \/dataonly\nnet start w32time\nw32tm \/resync<\/code><\/pre>\n<p>Attention, la d\u00e9l\u00e9gation n&rsquo;est pas une cause de repli. Quand srv01 doit acc\u00e9der pour le compte de l&rsquo;utilisateur \u00e0 un partage ou \u00e0 une base sur un second serveur, l&rsquo;\u00e9chec du second saut n&rsquo;est pas un repli NTLM en soi. Par contre, si le premier saut est pass\u00e9 en NTLM pour l&rsquo;une des raisons ci dessus, srv01 ne d\u00e9tient aucun ticket de l&rsquo;utilisateur et la d\u00e9l\u00e9gation Kerberos classique devient impossible. Seule la d\u00e9l\u00e9gation contrainte avec transition de protocole (\u00ab Utiliser n&rsquo;importe quel protocole d&rsquo;authentification \u00bb) s&rsquo;en accommode. Avant de toucher aux param\u00e8tres de d\u00e9l\u00e9gation du compte svc.monsite, nous regardons donc le 4624 du premier saut sur srv01.<\/p>\n<p>En production, sur srv01, la strat\u00e9gie \u00ab S\u00e9curit\u00e9 r\u00e9seau: Restreindre NTLM: Auditer le trafic NTLM entrant \u00bb en mode audit alimente le journal Microsoft-Windows-NTLM\/Operational sans rien bloquer. Crois\u00e9 avec les 4776 de dc01, ce journal donne la liste des applications et des postes qui d\u00e9pendent encore de NTLM.<\/p>\n","protected":false},"excerpt":{"rendered":"<p>SPN absent ou dupliqu\u00e9, acc\u00e8s par IP ou CNAME, horloge d\u00e9cal\u00e9e: quatre pannes provoqu\u00e9es sur maquette pour prouver qui de Kerberos ou NTLM a authentifi\u00e9.<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[11,4,42],"tags":[102,103,6,5,50,100,101,7],"class_list":["post-1285","post","type-post","status-publish","format-standard","hentry","category-active-directory","category-kerberos","category-ntlm","tag-event-4624","tag-event-4776","tag-iis","tag-kerberos","tag-klist","tag-ntlm","tag-setspn","tag-spn"],"yoast_head":"<!-- This site is optimized with the Yoast SEO plugin v28.7 - https:\/\/yoast.com\/product\/yoast-seo-wordpress\/ -->\n<title>Pourquoi Kerberos retombe en NTLM: diagnostic sur maquette - R\u00e9mi VERNIER<\/title>\n<meta name=\"description\" content=\"SPN absent ou dupliqu\u00e9, acc\u00e8s par IP ou CNAME, horloge d\u00e9cal\u00e9e: quatre pannes provoqu\u00e9es sur maquette pour prouver qui de Kerberos ou NTLM a authentifi\u00e9.\" \/>\n<meta name=\"robots\" content=\"index, follow, max-snippet:-1, max-image-preview:large, max-video-preview:-1\" \/>\n<link rel=\"canonical\" href=\"https:\/\/remivernier.com\/index.php\/2026\/10\/31\/kerberos-retombe-ntlm-diagnostic-maquette\/\" \/>\n<meta property=\"og:locale\" content=\"fr_FR\" \/>\n<meta property=\"og:type\" content=\"article\" \/>\n<meta property=\"og:title\" content=\"Pourquoi Kerberos retombe en NTLM: diagnostic sur maquette - R\u00e9mi VERNIER\" \/>\n<meta property=\"og:description\" content=\"SPN absent ou dupliqu\u00e9, acc\u00e8s par IP ou CNAME, horloge d\u00e9cal\u00e9e: quatre pannes provoqu\u00e9es sur maquette pour prouver qui de Kerberos ou NTLM a authentifi\u00e9.\" \/>\n<meta property=\"og:url\" content=\"https:\/\/remivernier.com\/index.php\/2026\/10\/31\/kerberos-retombe-ntlm-diagnostic-maquette\/\" \/>\n<meta property=\"og:site_name\" content=\"R\u00e9mi VERNIER\" \/>\n<meta property=\"article:published_time\" content=\"2026-10-31T09:14:58+00:00\" \/>\n<meta name=\"author\" content=\"R\u00e9mi\" \/>\n<meta name=\"twitter:card\" content=\"summary_large_image\" \/>\n<meta name=\"twitter:label1\" content=\"\u00c9crit par\" \/>\n\t<meta name=\"twitter:data1\" content=\"R\u00e9mi\" \/>\n\t<meta name=\"twitter:label2\" content=\"Dur\u00e9e de lecture estim\u00e9e\" \/>\n\t<meta name=\"twitter:data2\" content=\"9 minutes\" \/>\n<script type=\"application\/ld+json\" class=\"yoast-schema-graph\">{\"@context\":\"https:\\\/\\\/schema.org\",\"@graph\":[{\"@type\":\"Article\",\"@id\":\"https:\\\/\\\/remivernier.com\\\/index.php\\\/2026\\\/10\\\/31\\\/kerberos-retombe-ntlm-diagnostic-maquette\\\/#article\",\"isPartOf\":{\"@id\":\"https:\\\/\\\/remivernier.com\\\/index.php\\\/2026\\\/10\\\/31\\\/kerberos-retombe-ntlm-diagnostic-maquette\\\/\"},\"author\":{\"name\":\"R\u00e9mi\",\"@id\":\"https:\\\/\\\/remivernier.com\\\/#\\\/schema\\\/person\\\/a4c76c63a5a3d94454484845e42fc906\"},\"headline\":\"Pourquoi Kerberos retombe en NTLM: diagnostic sur maquette\",\"datePublished\":\"2026-10-31T09:14:58+00:00\",\"mainEntityOfPage\":{\"@id\":\"https:\\\/\\\/remivernier.com\\\/index.php\\\/2026\\\/10\\\/31\\\/kerberos-retombe-ntlm-diagnostic-maquette\\\/\"},\"wordCount\":1599,\"commentCount\":0,\"keywords\":[\"event 4624\",\"event 4776\",\"iis\",\"kerberos\",\"klist\",\"ntlm\",\"setspn\",\"spn\"],\"articleSection\":[\"Active Directory\",\"Kerberos\",\"NTLM\"],\"inLanguage\":\"fr-FR\",\"potentialAction\":[{\"@type\":\"CommentAction\",\"name\":\"Comment\",\"target\":[\"https:\\\/\\\/remivernier.com\\\/index.php\\\/2026\\\/10\\\/31\\\/kerberos-retombe-ntlm-diagnostic-maquette\\\/#respond\"]}]},{\"@type\":\"WebPage\",\"@id\":\"https:\\\/\\\/remivernier.com\\\/index.php\\\/2026\\\/10\\\/31\\\/kerberos-retombe-ntlm-diagnostic-maquette\\\/\",\"url\":\"https:\\\/\\\/remivernier.com\\\/index.php\\\/2026\\\/10\\\/31\\\/kerberos-retombe-ntlm-diagnostic-maquette\\\/\",\"name\":\"Pourquoi Kerberos retombe en NTLM: diagnostic sur maquette - R\u00e9mi VERNIER\",\"isPartOf\":{\"@id\":\"https:\\\/\\\/remivernier.com\\\/#website\"},\"datePublished\":\"2026-10-31T09:14:58+00:00\",\"author\":{\"@id\":\"https:\\\/\\\/remivernier.com\\\/#\\\/schema\\\/person\\\/a4c76c63a5a3d94454484845e42fc906\"},\"description\":\"SPN absent ou dupliqu\u00e9, acc\u00e8s par IP ou CNAME, horloge d\u00e9cal\u00e9e: quatre pannes provoqu\u00e9es sur maquette pour prouver qui de Kerberos ou NTLM a authentifi\u00e9.\",\"breadcrumb\":{\"@id\":\"https:\\\/\\\/remivernier.com\\\/index.php\\\/2026\\\/10\\\/31\\\/kerberos-retombe-ntlm-diagnostic-maquette\\\/#breadcrumb\"},\"inLanguage\":\"fr-FR\",\"potentialAction\":[{\"@type\":\"ReadAction\",\"target\":[\"https:\\\/\\\/remivernier.com\\\/index.php\\\/2026\\\/10\\\/31\\\/kerberos-retombe-ntlm-diagnostic-maquette\\\/\"]}]},{\"@type\":\"BreadcrumbList\",\"@id\":\"https:\\\/\\\/remivernier.com\\\/index.php\\\/2026\\\/10\\\/31\\\/kerberos-retombe-ntlm-diagnostic-maquette\\\/#breadcrumb\",\"itemListElement\":[{\"@type\":\"ListItem\",\"position\":1,\"name\":\"Accueil\",\"item\":\"https:\\\/\\\/remivernier.com\\\/\"},{\"@type\":\"ListItem\",\"position\":2,\"name\":\"Pourquoi Kerberos retombe en NTLM: diagnostic sur maquette\"}]},{\"@type\":\"WebSite\",\"@id\":\"https:\\\/\\\/remivernier.com\\\/#website\",\"url\":\"https:\\\/\\\/remivernier.com\\\/\",\"name\":\"R\u00e9mi VERNIER\",\"description\":\"Identit\u00e9, s\u00e9curit\u00e9, SAP et IA : Active Directory, Azure &amp; co...\",\"potentialAction\":[{\"@type\":\"SearchAction\",\"target\":{\"@type\":\"EntryPoint\",\"urlTemplate\":\"https:\\\/\\\/remivernier.com\\\/?s={search_term_string}\"},\"query-input\":{\"@type\":\"PropertyValueSpecification\",\"valueRequired\":true,\"valueName\":\"search_term_string\"}}],\"inLanguage\":\"fr-FR\"},{\"@type\":\"Person\",\"@id\":\"https:\\\/\\\/remivernier.com\\\/#\\\/schema\\\/person\\\/a4c76c63a5a3d94454484845e42fc906\",\"name\":\"R\u00e9mi\",\"image\":{\"@type\":\"ImageObject\",\"inLanguage\":\"fr-FR\",\"@id\":\"https:\\\/\\\/secure.gravatar.com\\\/avatar\\\/f750448bc07f5d1d9c1189344283777ec0d33275c184599b199fb6b305bc6fba?s=96&d=mm&r=g\",\"url\":\"https:\\\/\\\/secure.gravatar.com\\\/avatar\\\/f750448bc07f5d1d9c1189344283777ec0d33275c184599b199fb6b305bc6fba?s=96&d=mm&r=g\",\"contentUrl\":\"https:\\\/\\\/secure.gravatar.com\\\/avatar\\\/f750448bc07f5d1d9c1189344283777ec0d33275c184599b199fb6b305bc6fba?s=96&d=mm&r=g\",\"caption\":\"R\u00e9mi\"},\"sameAs\":[\"http:\\\/\\\/www.linkedin.com\\\/in\\\/remi-vernier\"]}]}<\/script>\n<!-- \/ Yoast SEO plugin. -->","yoast_head_json":{"title":"Pourquoi Kerberos retombe en NTLM: diagnostic sur maquette - R\u00e9mi VERNIER","description":"SPN absent ou dupliqu\u00e9, acc\u00e8s par IP ou CNAME, horloge d\u00e9cal\u00e9e: quatre pannes provoqu\u00e9es sur maquette pour prouver qui de Kerberos ou NTLM a authentifi\u00e9.","robots":{"index":"index","follow":"follow","max-snippet":"max-snippet:-1","max-image-preview":"max-image-preview:large","max-video-preview":"max-video-preview:-1"},"canonical":"https:\/\/remivernier.com\/index.php\/2026\/10\/31\/kerberos-retombe-ntlm-diagnostic-maquette\/","og_locale":"fr_FR","og_type":"article","og_title":"Pourquoi Kerberos retombe en NTLM: diagnostic sur maquette - R\u00e9mi VERNIER","og_description":"SPN absent ou dupliqu\u00e9, acc\u00e8s par IP ou CNAME, horloge d\u00e9cal\u00e9e: quatre pannes provoqu\u00e9es sur maquette pour prouver qui de Kerberos ou NTLM a authentifi\u00e9.","og_url":"https:\/\/remivernier.com\/index.php\/2026\/10\/31\/kerberos-retombe-ntlm-diagnostic-maquette\/","og_site_name":"R\u00e9mi VERNIER","article_published_time":"2026-10-31T09:14:58+00:00","author":"R\u00e9mi","twitter_card":"summary_large_image","twitter_misc":{"\u00c9crit par":"R\u00e9mi","Dur\u00e9e de lecture estim\u00e9e":"9 minutes"},"schema":{"@context":"https:\/\/schema.org","@graph":[{"@type":"Article","@id":"https:\/\/remivernier.com\/index.php\/2026\/10\/31\/kerberos-retombe-ntlm-diagnostic-maquette\/#article","isPartOf":{"@id":"https:\/\/remivernier.com\/index.php\/2026\/10\/31\/kerberos-retombe-ntlm-diagnostic-maquette\/"},"author":{"name":"R\u00e9mi","@id":"https:\/\/remivernier.com\/#\/schema\/person\/a4c76c63a5a3d94454484845e42fc906"},"headline":"Pourquoi Kerberos retombe en NTLM: diagnostic sur maquette","datePublished":"2026-10-31T09:14:58+00:00","mainEntityOfPage":{"@id":"https:\/\/remivernier.com\/index.php\/2026\/10\/31\/kerberos-retombe-ntlm-diagnostic-maquette\/"},"wordCount":1599,"commentCount":0,"keywords":["event 4624","event 4776","iis","kerberos","klist","ntlm","setspn","spn"],"articleSection":["Active Directory","Kerberos","NTLM"],"inLanguage":"fr-FR","potentialAction":[{"@type":"CommentAction","name":"Comment","target":["https:\/\/remivernier.com\/index.php\/2026\/10\/31\/kerberos-retombe-ntlm-diagnostic-maquette\/#respond"]}]},{"@type":"WebPage","@id":"https:\/\/remivernier.com\/index.php\/2026\/10\/31\/kerberos-retombe-ntlm-diagnostic-maquette\/","url":"https:\/\/remivernier.com\/index.php\/2026\/10\/31\/kerberos-retombe-ntlm-diagnostic-maquette\/","name":"Pourquoi Kerberos retombe en NTLM: diagnostic sur maquette - R\u00e9mi VERNIER","isPartOf":{"@id":"https:\/\/remivernier.com\/#website"},"datePublished":"2026-10-31T09:14:58+00:00","author":{"@id":"https:\/\/remivernier.com\/#\/schema\/person\/a4c76c63a5a3d94454484845e42fc906"},"description":"SPN absent ou dupliqu\u00e9, acc\u00e8s par IP ou CNAME, horloge d\u00e9cal\u00e9e: quatre pannes provoqu\u00e9es sur maquette pour prouver qui de Kerberos ou NTLM a authentifi\u00e9.","breadcrumb":{"@id":"https:\/\/remivernier.com\/index.php\/2026\/10\/31\/kerberos-retombe-ntlm-diagnostic-maquette\/#breadcrumb"},"inLanguage":"fr-FR","potentialAction":[{"@type":"ReadAction","target":["https:\/\/remivernier.com\/index.php\/2026\/10\/31\/kerberos-retombe-ntlm-diagnostic-maquette\/"]}]},{"@type":"BreadcrumbList","@id":"https:\/\/remivernier.com\/index.php\/2026\/10\/31\/kerberos-retombe-ntlm-diagnostic-maquette\/#breadcrumb","itemListElement":[{"@type":"ListItem","position":1,"name":"Accueil","item":"https:\/\/remivernier.com\/"},{"@type":"ListItem","position":2,"name":"Pourquoi Kerberos retombe en NTLM: diagnostic sur maquette"}]},{"@type":"WebSite","@id":"https:\/\/remivernier.com\/#website","url":"https:\/\/remivernier.com\/","name":"R\u00e9mi VERNIER","description":"Identit\u00e9, s\u00e9curit\u00e9, SAP et IA : Active Directory, Azure &amp; co...","potentialAction":[{"@type":"SearchAction","target":{"@type":"EntryPoint","urlTemplate":"https:\/\/remivernier.com\/?s={search_term_string}"},"query-input":{"@type":"PropertyValueSpecification","valueRequired":true,"valueName":"search_term_string"}}],"inLanguage":"fr-FR"},{"@type":"Person","@id":"https:\/\/remivernier.com\/#\/schema\/person\/a4c76c63a5a3d94454484845e42fc906","name":"R\u00e9mi","image":{"@type":"ImageObject","inLanguage":"fr-FR","@id":"https:\/\/secure.gravatar.com\/avatar\/f750448bc07f5d1d9c1189344283777ec0d33275c184599b199fb6b305bc6fba?s=96&d=mm&r=g","url":"https:\/\/secure.gravatar.com\/avatar\/f750448bc07f5d1d9c1189344283777ec0d33275c184599b199fb6b305bc6fba?s=96&d=mm&r=g","contentUrl":"https:\/\/secure.gravatar.com\/avatar\/f750448bc07f5d1d9c1189344283777ec0d33275c184599b199fb6b305bc6fba?s=96&d=mm&r=g","caption":"R\u00e9mi"},"sameAs":["http:\/\/www.linkedin.com\/in\/remi-vernier"]}]}},"_links":{"self":[{"href":"https:\/\/remivernier.com\/index.php\/wp-json\/wp\/v2\/posts\/1285","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/remivernier.com\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/remivernier.com\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/remivernier.com\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/remivernier.com\/index.php\/wp-json\/wp\/v2\/comments?post=1285"}],"version-history":[{"count":1,"href":"https:\/\/remivernier.com\/index.php\/wp-json\/wp\/v2\/posts\/1285\/revisions"}],"predecessor-version":[{"id":1287,"href":"https:\/\/remivernier.com\/index.php\/wp-json\/wp\/v2\/posts\/1285\/revisions\/1287"}],"wp:attachment":[{"href":"https:\/\/remivernier.com\/index.php\/wp-json\/wp\/v2\/media?parent=1285"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/remivernier.com\/index.php\/wp-json\/wp\/v2\/categories?post=1285"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/remivernier.com\/index.php\/wp-json\/wp\/v2\/tags?post=1285"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}