SQL Server 接続エラー「ターゲットプリンシパル名が無効です。SSPI コンテキストを生成できません」の原因と解決策

2024-05-24

SQL Server、TFS、Kerberos における「ターゲットプリンシパル名が無効です。SSPI コンテキストを生成できません」エラー：詳細解説と解決策

「ターゲットプリンシパル名が無効です。SSPI コンテキストを生成できません」というエラーは、SQL Server への接続時に発生する一般的な問題です。このエラーは、TFS (Team Foundation Server) と Kerberos 認証が関与する環境で特に頻繁に発生します。

エラーの原因

このエラーは、主に以下の原因で発生します。

誤ったプリンシパル名: 接続しようとしている SQL Server インスタンスのサービスプリンシパル名 (SPN) が間違っている可能性があります。
Kerberos の構成問題: Kerberos 認証が正しく構成されていない場合、このエラーが発生する可能性があります。
ネットワークの問題: クライアントマシンと SQL Server インスタンス間のネットワーク接続に問題がある場合も、このエラーが発生する可能性があります。

問題の特定

このエラーを解決するには、まず根本的な原因を特定する必要があります。以下の手順を実行して、問題の切り分けを行います。

SQL Server インスタンスの SPN を確認する: 正しい SPN を確認するには、以下のコマンドを実行します。

setspn -l "MSSQLSvc:<instance_name>"

出力結果に、接続しようとしているインスタンスに対応する SPN が含まれていることを確認します。

Kerberos 構成を確認する: Kerberos 認証が正しく構成されていることを確認するには、以下のいずれかの方法を実行します。
- ドメインコントローラーで Kerberos 認証の設定を確認する。
- 「Kerberos 認証トラブルシューティングツール」を使用する。
- 「ping」コマンドを使用して、クライアントマシンから SQL Server インスタンスに ping を実行する。
- ネットワークツールを使用して、ネットワーク接続の健全性を確認する。

解決策

問題の原因を特定したら、以下のいずれかの解決策を実行します。

SPN を修正する: SPN が間違っている場合は、正しい SPN を登録する必要があります。
ネットワーク接続を修復する: ネットワーク接続に問題がある場合は、問題を解決する必要があります。

TFS における追加の考慮事項

TFS を使用している場合は、以下の追加の考慮事項があります。

TFS サービスアカウント: TFS サービスアカウントが SQL Server インスタンスにアクセスできるようにする必要があります。
TFS アプリケーションプール: TFS アプリケーションプールが Kerberos 認証を使用するように構成されていることを確認します。

「ターゲットプリンシパル名が無効です。SSPI コンテキストを生成できません」というエラーは、SQL Server への接続時に発生する一般的な問題ですが、原因を特定して適切な解決策を実行することで解決できます。上記の情報を参考に、問題を解決してください。

注: 上記の情報は一般的なガイドラインとして提供されています。具体的な状況によっては、異なる解決策が必要になる場合があります。問題が解決しない場合は、システム管理者または IT 専門家に相談することをお勧めします。

サンプルコード：Kerberos認証を使用したSQL Serverへの接続

import pyodbc

# サーバー名、データベース名、ユーザー名、パスワードを指定
server_name = "your_server_name"
database_name = "your_database_name"
username = "your_username"
password = "your_password"

# Kerberos認証を有効にする
connection_string = f"DRIVER={{{ODBC Driver 17 for SQL Server}};SERVER={server_name};DATABASE={database_name};UID={username};PWD={password};Integrated Security=SSPI"

# データベースに接続
with pyodbc.connect(connection_string) as connection:
    cursor = connection.cursor()

    # クエリを実行
    cursor.execute("SELECT TOP 10 * FROM your_table")

    # 結果をフェッチ
    for row in cursor:
        print(row)

注:

このコードは、Python 3 と pyodbcパッケージが必要です。
サーバー名、データベース名、ユーザー名、パスワードを実際の値に置き換える必要があります。
Integrated Security=SSPI パラメータは、Kerberos認証を有効にします。

Kerberos認証を使用するには、クライアントマシンとSQL ServerインスタンスがKerberos認証をサポートしていることを確認する必要があります。また、SQL Serverサービスアカウントがドメインユーザーとしてドメインに参加している必要があります。

Kerberos認証の詳細については、Microsoftのドキュメントを参照してください。

補足情報

TFS 2018以降では、Kerberos認証がデフォルトで有効になっています。
SQL Server Management Studio (SSMS) を使用してSQL Serverに接続する場合、Kerberos認証を有効にするには「Windows認証」オプションを選択する必要があります。

Kerberos 認証以外の代替方法

SQL Server ネイティブ認証は、ユーザー名とパスワードを使用して SQL Server に直接認証する方法です。これは、Kerberos 認証が使用できない場合や、よりシンプルな認証方法が必要な場合に適しています。

Azure Active Directory (Azure AD) 認証

Azure AD 認証を使用すると、Azure AD に登録されたユーザーを使用して SQL Server に認証できます。これは、オンプレミス環境とクラウド環境の両方で SQL Server インスタンスにアクセスする必要がある場合に適しています。

LDAP 認証を使用すると、LDAP ディレクトリに登録されたユーザーを使用して SQL Server に認証できます。これは、オンプレミスの LDAP ディレクトリを使用している場合に適しています。

各認証方法の比較

認証方法	利点	欠点
Kerberos 認証	高いセキュリティ、自動ログオン	複雑な構成が必要
SQL Server ネイティブ認証	シンプルな構成	比較的低いセキュリティ
Azure AD 認証	オンプレミスとクラウドの両方でのアクセスが可能	Azure AD サブスクリプションが必要
LDAP 認証	オンプレミスの LDAP ディレクトリとの統合が可能	LDAP ディレクトリの管理が必要

最適な認証方法の選択

使用する認証方法は、個々のニーズによって異なります。セキュリティが最優先事項の場合は、Kerberos 認証が最適な選択です。シンプルな認証方法が必要な場合は、SQL Server ネイティブ認証が適しています。オンプレミス環境とクラウド環境の両方で SQL Server インスタンスにアクセスする必要がある場合は、Azure AD 認証が適しています。オンプレミスの LDAP ディレクトリを使用している場合は、LDAP 認証が適しています。

その他の考慮事項

認証方法を選択する際には、以下の点も考慮する必要があります。