Käyttäessään palvelua, joka käyttää verkko-osuuksia keskitason palvelimella, käyttäjiä pyydetään antamaan valtuustietoja, ja lopulta he kohtaavat pääsy estetty -virheen. Tämän päivän viestissä esittelemme pari tapausskenaariota, tunnistamme syyn ja tarjoamme sitten mahdolliset kiertotavat ongelmaan, miksi CIFS :n rajoitettu delegointi epäonnistuu ACCESS_DENIED- virheen vuoksi Windows 10:ssä.

Common Internet File System (CIFS) on tiedostonjakoprotokolla, joka tarjoaa avoimen ja eri alustojen välisen mekanismin verkkopalvelintiedostojen ja -palveluiden pyytämiseen. CIFS  perustuu Microsoftin Server Message Block (SMB) -protokollan parannettuun versioon Internet- ja intranet-tiedostojen jakamiseen.

CIFS :n rajoitettu delegointi epäonnistuu Windowsissa^(Windows)

Saatat kohdata tämän ongelman, jos käyttäjää pyydetään antamaan valtuustietoja, ja pääsy epäonnistuu lopulta pääsy estetty -virheen vuoksi seuraavien kolmen skenaarion perusteella.

Skenaario 1^{(Scenario 1)}

• IIS - verkkosivusto on määritetty siten, että kotihakemisto osoittaa etäjakoon käyttämällä läpivientitodennusta ja CIFS :ää varten määritettyä rajoitettua delegointia .
• Tätä jaettua osaa käyttävä IIS - sovelluspooli toimii palvelutilin identiteetin alla.
• Toimialuetiliin luotetaan tiedostopalvelimen CIFS -palvelun delegointia varten.^(CIFS)

Skenaario 2^{(Scenario 2)}

• Verkkosovellus yrittää käyttää tiedostopalvelinta käyttäjänä.
• IIS - sovelluspooli, joka käyttää kyseistä jakoa, toimii palvelutilin identiteetin alla. Toimialuetiliin luotetaan tiedostopalvelimen CIFS -palvelun delegointia varten.^(CIFS)
• CIFS : lle määritetty rajoitettu delegointi on määritetty tiedostopalvelimen palvelutilille.

Skenaario 3^{(Scenario 3)}

• Kaikki palvelinpuolen sovellukset, joita käytetään asiakkaasta, käyttävät etäjakeita käyttäjänä.
• Palvelinpuolen sovellus toimii palvelutilin yhteydessä.
• Palvelutili^(Service) on luotettu delegoinnissa ja määritetty CIFS - delegointia varten tiedostopalvelimelle.

Tämä on tunnistettu ongelmaksi MrxSmb 2.0 :n ja Kerberosin^(Kerberos) välillä, kun kyseessä on rajoitettu delegointi.

Tämän ongelman ratkaisemiseksi Microsoft tarjoaa kaksi kiertotapaa.

Ratkaisu 1

Käytä konetiliä palvelutilin sijaan identiteettinä sovelluksille, jotka suorittavat rajoitetun delegoinnin CIFS :lle . Määritä rajoitettu delegointi, kun toimialueen toimintataso on Windows Server 2003 , Windows Server 2008 tai Windows Server 2008 R2.

Voit tehdä tämän verkkopalvelinverkkotunnuksesi toimialueen ohjaimella seuraavasti:

• Napsauta Start > Administrative Tools > Active Directory - käyttäjät ja tietokoneet^{(Active Directory Users and Computers)} .
• Laajenna^(Expand) toimialue ja laajenna sitten Tietokoneet^(Computers) - kansio.
• Napsauta oikeanpuoleisessa ruudussa verkkopalvelimen tietokoneen nimeä hiiren kakkospainikkeella, valitse Ominaisuudet^(Properties) ja napsauta sitten  Delegointi^(Delegation) -  välilehteä.
• Valitse  Luota tähän tietokoneeseen delegoitavaksi vain tiettyihin palveluihin^{(Trust this computer for delegation to specified services only)} -valintaruutu.
• Varmista, että  Käytä vain Kerberosta^{(Use Kerberos only)}  on valittuna, ja napsauta sitten  OK .
• Napsauta  Lisää-painiketta^{(Add button)} .
• Napsauta Lisää^(Add) palveluja   -valintaikkunassa  Käyttäjät tai Tietokoneet ^{(Users or Computers)}ja^(Services) selaa sitten tiedostopalvelimeen tai kirjoita sen nimi, joka vastaanottaa käyttäjän tunnistetiedot IIS :stä .
• Napsauta  OK .
• Valitse Käytettävissä olevat^(Available) palvelut  -luettelosta^(Services)  CIFS-  palvelu^(CIFS) .
• Napsauta  OK .

Ratkaisu 2

Tätä kiertotapaa ei suositella^{(not recommended)} , koska se vaatii  Käytä^(Use) mitä tahansa todennusprotokollan delegointia tietokonetilillä. Jos  Käytä mitä tahansa todennusprotokollaa^{(Use any authentication protocol)}  -vaihtoehto on valittuna, tili käyttää rajoitettua delegointia protokollan siirrolla.

Jos sinun on käytettävä sovellusten identiteettiä palvelutilinä ja/tai toimialueen tilinä, toimi seuraavasti:

Vaihe 1^{(Step 1)}

• Napsauta Käynnistä^{(Start )} >  Administrative Tools > Active Directory - käyttäjät ja tietokoneet^{(Active Directory Users and Computers)} .
• Laajenna^(Expand) toimialue ja laajenna sitten Tietokoneet^(Computers) - kansio.
• Napsauta oikeanpuoleisessa ruudussa verkkopalvelimen tietokoneen nimeä hiiren kakkospainikkeella, valitse Ominaisuudet^(Properties) ja napsauta sitten  Delegointi^(Delegation) -  välilehteä.
• Valitse  Luota tähän tietokoneeseen delegoitavaksi vain tiettyihin palveluihin^{(Trust this computer for delegation to specified services)} -valintaruutu.
• Varmista, että  Käytä mitä tahansa todennusprotokollaa^{(Use any authentication protocol)} on valittuna.
• Napsauta OK .
• Napsauta  Lisää-painiketta^{(Add button)} .
• Napsauta Lisää^(Add) palveluja   -valintaikkunassa  Käyttäjät tai Tietokoneet ^{(Users or Computers)}ja^(Services) selaa sitten tiedostopalvelimeen tai kirjoita sen nimi, joka vastaanottaa käyttäjän tunnistetiedot IIS :stä .
• Napsauta  OK .
• Valitse Käytettävissä olevat^(Available) palvelut  -luettelosta^(Services)  CIFS- palvelu^{(CIFS service)} .
• Napsauta  OK .

Vaihe 2^{(Step 2)}

• Laajenna vasemmassa ruudussa Käyttäjät-kansio.
• Napsauta oikeanpuoleisessa ruudussa hiiren kakkospainikkeella palvelutiliä, joka on sovellusvarannon identiteetti, valitse  Ominaisuudet^(Properties) ja napsauta sitten  Delegointi^(Delegation) -  välilehteä.
• Valitse  Luota tähän tietokoneeseen delegoitavaksi vain tiettyihin palveluihin^{(Trust this computer for delegation to specified services only)} -valintaruutu.
• Varmista, että  Käytä vain Kerberosta^{(Use Kerberos only)} on valittuna.
• Napsauta OK .
• Napsauta  Lisää-painiketta^{(Add button)} .
• Napsauta Lisää^(Add) palveluja  -valintaikkunassa  Käyttäjät tai Tietokoneet ^{(Users or Computers)}ja^(Services) selaa sitten tiedostopalvelimeen tai kirjoita sen nimi, joka vastaanottaa käyttäjän tunnistetiedot IIS :stä .
• Napsauta  OK .
• Valitse Käytettävissä olevat^(Available) palvelut  -luettelosta^(Services)  CIFS- palvelu^{(CIFS service)} .
• Napsauta  OK .

Toivottavasti tämä viesti auttaa.^{(Hope this post helps.)}

ACCESS DENIED - Constrained delegation for CIFS fails

While accessіng a servіcе that υsеs network shares on a middle-tier server, users are promptеd for credentials, and they eventually encоunter an access denied error. In today’s post, we will present a couple of case scenarios, identify the cauѕe and then provide the possible workarounds to the iѕsue of why conѕtrained dеlеgation for CIFS fаils with ACCESS_DENIED error in Windows 10.

Common Internet File System (CIFS) is a file-sharing protocol that provides an open and cross-platform mechanism for requesting network server files and services. CIFS is based on the enhanced version of Microsoft’s Server Message Block (SMB) protocol for Internet and intranet file sharing.

Constrained delegation for CIFS fails in Windows

You may encounter this issue if the user is prompted for credentials, and access eventually fails with an access denied error based on the following three scenarios.

Scenario 1

• The IIS website is set up with the home directory pointing to the remote share using pass-through authentication and constrained delegation configured for CIFS.
• The IIS application pool accessing that share is running under the identity of the service account.
• The domain account is trusted for delegation for the CIFS service on the file server.

Scenario 2

• The web app is trying to access a file server as a user.
• The IIS application pool that accesses that share is running under the identity of the service account. The domain account is trusted for delegation for the CIFS service on the file server.
• Constrained delegation configured for CIFS is configured on the service account for the file server.

Scenario 3

• Any server-side application that’s being accessed from a client is accessing remote shares as a user.
• The server-side application is running under the context of a service account.
• The Service account is trusted for delegation and configured for CIFS delegation for the file server.

This has been identified as a problem between MrxSmb 2.0 and Kerberos when constrained delegation is involved.

To resolve this issue, Microsoft offers two workarounds.

Workaround 1

Use a machine account instead of a service account as the identity for applications that will be performing constrained delegation for CIFS. Configure constrained delegation when the domain functional level is Windows Server 2003, Windows Server 2008, or Windows Server 2008 R2.

To do this on the domain controller for your web servers domain, do the following:

• Click Start > Administrative Tools > Active Directory Users and Computers.
• Expand domain, and then expand the Computers folder.
• In the right pane, right-click the computer name for the webserver, select Properties, and then click the Delegation tab.
• Select the Trust this computer for delegation to specified services only checkbox.
• Make sure that Use Kerberos only is selected, and then click OK.
• Click the Add button.
• In the Add Services dialog box, click Users or Computers, and then browse to or enter the name of the file server that will receive the user’s credentials from IIS.
• Click OK.
• In the Available Services list, select the CIFS service.
• Click OK.

Workaround 2

This workaround is not recommended because it requires Use any authentication protocol delegation on the computer account. If the Use any authentication protocol option is selected, the account is using constrained delegation with protocol transition.

If you must use the identity of applications as a service account and/or domain account, then do the following:

Step 1

• Click Start > Administrative Tools > Active Directory Users and Computers.
• Expand domain, and then expand the Computers folder.
• In the right pane, right-click the computer name for the webserver, select Properties, and then click the Delegation tab.
• Select the Trust this computer for delegation to specified services only checkbox.
• Make sure that Use any authentication protocol is selected.
• Click OK.
• Click the Add button.
• In the Add Services dialog box, click Users or Computers, and then browse to or enter the name of the file server that will receive the user’s credentials from IIS.
• Click OK.
• In the Available Services list, select the CIFS service.
• Click OK.

Step 2

• In the left pane, expand the Users folder.
• In the right pane, right-click the service account that’s the identity of the application pool, select Properties, and then click the Delegation tab.
• Select the Trust this computer for delegation to specified services only checkbox.
• Make sure that Use Kerberos only is selected.
• Click OK.
• Click the Add button.
• In the Add Services dialog box, click Users or Computers, and then browse to or enter the name of the file server that will receive the user’s credentials from IIS.
• Click OK.
• In the Available Services list, select the CIFS service.
• Click OK.

Hope this post helps.

Related posts

• Korjaa Error 1005 Access Denied -viesti vieraillessasi verkkosivustoilla

• DHCP-asiakaspalvelu antaa Access Denied -virheen Windows 11/10:ssä

• Pääsy kielletty -virhesanoman mukauttaminen Windows 10:ssä

• Pääsy kielletty. Sinulla ei ole käyttöoikeuksia tälle palvelimelle

• Korjaa Access Control Entry on vioittunut virhe Windows 10:ssä

• Avaa Muistio järjestelmänvalvojana välttääksesi "Pääsy estetty"

• Jotain meni pieleen. Sammuta virustorjuntaohjelmisto, 0x8007045d

• IPersistFile Tallennus epäonnistui, koodi 0x80070005, pääsy on estetty

• Käyttöoikeus on estetty, tiedosto saattaa olla käytössä tai jakamisvirheiden korjaaminen Windowsissa

• Korjaa ShellExecuteEx epäonnistui virhe Windows 11/10:ssä

• Poista Access Denied -virhe käytettäessä tiedostoja tai kansioita Windowsissa

• Kiellettyjen rajoitettujen kansioiden käyttäminen Windows 11/10:ssä

• Korjaa sovellusvirhe 0xc0150004 Windows 11/10:ssä

• Korjaa Arkisto on joko tuntemattomassa muodossa tai vioittunut virhe

• Ajuri havaitsi sisäisen ohjainvirheen DeviceVBoxNetLwf:ssä

• Windows ei voi vahvistaa digitaalista allekirjoitusta (koodi 52)

• Oho! Emme voineet tallentaa sitä - Windows Photos App

• Korjaa Windows Installer Access Denied -virhe

• Korjaa Bdeunlock.exe huono kuva, järjestelmävirhe tai ei vastaa -virheet

• Korjaa Logitech Setpoint Runtime -virhe Windows 10:ssä