升级至TFS 2017 Update 3.1后出现间歇性认证失败问题求助

我之前处理过好几起类似TFS 2017升级后出现间歇性认证故障的案例，结合你的描述，大概率是升级后TFS的认证协议或凭据存储机制发生了变化，下面给你几个针对性的排查和解决步骤：

1. 检查TFS服务器端的认证协议配置 #

升级到Update 3.1后，TFS可能默认调整了支持的认证协议，比如禁用了旧的NTLMv1或者调整了Kerberos的设置：

• 打开TFS管理控制台，进入「应用层」→「安全」→「认证方法」
• 确保NTLM和Kerberos都处于启用状态（如果你的环境依赖这些）
• 检查是否开启了「要求安全通道（SSL）」，如果开启了，确认客户端和服务端的SSL证书是有效的，没有过期或不匹配的情况

2. 清理客户端凭据缓存 #

像SourceTree这类Git客户端，可能会缓存旧的凭据，而升级后的TFS对凭据验证更严格，导致间歇性失败：

• 针对SourceTree：
  1. 打开SourceTree，进入「工具」→「选项」→「认证」
  2. 找到对应TFS仓库的凭据，删除后重新添加
  3. 尝试切换认证方式：比如从「基本认证」改成「NTLM」，或者反之，测试哪种方式能稳定工作
• 针对Windows系统全局凭据：
  1. 打开「控制面板」→「用户账户」→「凭据管理器」
  2. 在「Windows凭据」里找到所有和TFS服务器相关的条目，全部删除
  3. 重新连接TFS服务，让系统重新生成符合新要求的凭据

3. 调整Git客户端的凭据助手设置 #

升级后的TFS可能不再兼容旧版的Git凭据助手，导致认证失败：

• 打开命令行，执行以下命令查看当前Git的凭据助手配置：

  git config --global credential.helper
  

• 如果输出是wincred或其他旧版本助手，建议切换到manager-core：

  git config --global credential.helper manager-core
  

• 对于服务端创建的Endpoints，需要重新配置凭据：可以尝试使用**个人访问令牌（PAT）**代替域账户密码，或者确认域账户的认证方式符合当前TFS版本要求

4. 排查Kerberos票据问题（域环境适用） #

如果你的环境是域环境，间歇性认证失败可能和Kerberos票据过期或生成异常有关：

• 让受影响的用户在命令行执行klist purge清除当前的Kerberos票据，然后重新登录域，再尝试连接SourceTree
• 检查TFS服务器的SPN（服务主体名称）是否正确配置：
  执行setspn -L <TFS服务器机器名>，确认是否存在HTTP/<TFS服务器FQDN>和HTTP/<TFS服务器NetBIOS名>的SPN条目，如果缺失，需要添加：

  setspn -A HTTP/<TFS服务器FQDN> <运行TFS服务的域账户>
  setspn -A HTTP/<TFS服务器NetBIOS名> <运行TFS服务的域账户>
  

5. 查看TFS服务器日志定位精确错误 #

如果以上步骤都没解决，查看TFS的日志能帮你找到更具体的原因：

• 打开TFS管理控制台，进入「应用层」→「日志」
• 筛选「认证」相关的日志条目，查看失败时的错误代码（比如401.1、401.2等），这些代码可以直接指向问题根源（凭据错误、协议不支持、Kerberos配置问题等）

内容的提问来源于stack exchange，提问作者SDoyle