windows-server-2008 – 使用setspn.exe创建SPN – 访问权限不足

在Windown Server 2008域控制器上,我正在尝试将服务主体名称(SPN)添加到用户帐户“Postmaster”,以便从Communigate电子邮件服务器启用Kerberos身份验证.我正在使用的命令行具有以下形式：

setspn -a imap/email-domain.com windows-domain\postmaster

当我运行此命令时,我得到结果：

Registering ServicePrincipalNames for CN=Postmaster,OU=Users,DC=windows-domain,DC=com
    imap/email-domain.com
Failed to assign SPN on account 'CN=Postmaster,DC=com',error 0x2098/8344 ->
Insufficient access rights to perform the operation.

这是最奇怪的,因为我以Domain Admins组中的用户身份登录.我检查了此帐户的有效权限,但我看不到任何未包含的权限.我也尝试了不同的管理员帐户,结果相同.

为了排除它,我还将用户Postmaster添加到Domain Admins,但结果没有变化.

我直接在域控制器实例上运行此命令.我能够毫无困难地查询SPN,我似乎无法写出它们.

我还尝试使用ktpass在所需用户上间接设置SPN,但收到警告：

WARNING: Unable to set SPN mapping data.

…我假设是同样的访问不足问题的症状.

可能导致此错误的原因是什么？

（编辑：ASP站长网）