如何将TFS与Active Directory(AD)集成？AWS跨服务器认证集成遇阻

我来帮你捋捋AWS上TFS和AD集成的问题，从最基础的环节开始排查，一步步来应该能解决：

第一步：先确认AWS环境下的网络连通性 #

网络不通是集成失败最常见的根源，先把这个基础打牢：

• 检查安全组规则：TFS服务器的安全组必须允许访问AD服务器的核心端口：389（LDAP）、636（LDAPS，可选但推荐）、88（Kerberos）、445（SMB）。同时AD服务器的安全组也要允许来自TFS服务器的这些端口请求，别只开单向。
• 验证子网与路由：如果两台服务器在不同子网，检查路由表是否有互相访问的条目，NACL（网络访问控制列表）有没有限制这些端口的流量。
• 手动测试连通性：在TFS服务器上用PowerShell跑Test-NetConnection <AD服务器私有IP> -Port 389，或者用telnet <AD服务器私有IP> 389，确保端口能通。如果ping不通，先检查DNS或者安全组的ICMP规则。

第二步：AD服务器侧的必要配置 #

TFS要依赖AD认证，得先让TFS融入AD域环境：

• 将TFS服务器加入AD域：在TFS服务器上右键「此电脑」→「属性」→「更改设置」，选择加入你的AD域名，重启服务器后生效。这是核心前提，没加入域的话后续配置全白搭。
• 创建专用TFS服务账户：在AD里新建一个域用户（比如命名为TFSService），给它分配「作为服务登录」的权限，后续TFS会用这个账户和AD交互。
• （可选）启用LDAPS：如果要加密TFS和AD的通信，给AD服务器部署SSL证书，开启636端口的LDAPS服务，避免明文传输身份信息。

第三步：TFS服务器的身份认证配置 #

现在轮到TFS这边对接AD了：

• 打开TFS管理控制台：在TFS服务器上启动「Team Foundation Server 管理控制台」，连接到你的TFS实例。
• 切换身份提供程序：进入「应用层」→「身份」选项卡，点击「更改」，选择「Active Directory」作为身份提供程序，输入你的AD域名（比如corp.yourdomain.com），然后填入之前创建的TFSService账户和密码。
• 测试并保存配置：点击「测试连接」，如果提示成功，就保存配置，然后重启所有TFS相关的服务（在Windows服务里找带「Team Foundation Server」字样的服务，全部重启一遍）。
• 配置项目权限：打开TFS的Web界面，进入项目集合的安全设置，添加AD组或单个AD用户，分配对应的权限（比如项目管理员、开发者等），这样AD用户就能登录TFS了。

常见坑点及解决办法 #

如果还是遇到问题，看看这些常见情况：

• 测试连接失败：先检查TFSService账户的密码是否正确、有没有过期；再确认AD服务器的「Active Directory域服务」是否正常运行；另外，TFS服务器的DNS要指向AD服务器，确保能正确解析AD域名。
• AD用户无法登录TFS：检查项目集合的安全设置里有没有添加该用户或其所在的AD组；同时确认AD账户没有被禁用、密码没有过期。
• Kerberos认证错误：如果遇到Kerberos相关的报错，检查TFSService账户的SPN（服务主体名称）是否正确。用PowerShell跑setspn -L TFSService，确保有HTTP/<TFS服务器名称>和HTTP/<TFS服务器完整域名>的SPN，如果没有，用setspn -A HTTP/<TFS服务器名称> TFSService添加。

内容的提问来源于stack exchange，提问作者Alok Patra