アクセスが拒否されました–CIFSの制限された委任が失敗します

中間層サーバーでネットワーク共有を使用するサービスにアクセスしているときに、ユーザーは資格情報の入力を求められ、最終的にアクセス拒否エラーが発生します。本日の投稿では、いくつかのケースシナリオを提示し、原因を特定してから、CIFSの制約付き委任が ACCESS_DENIEDで失敗する理由の問題に対する可能な回避策を提供します。 Windows10でのエラー。

共通インターネットファイルシステム（CIFS） は、ネットワークサーバーのファイルとサービスをリクエストするためのオープンでクロスプラットフォームのメカニズムを提供するファイル共有プロトコルです。 CIFS これは、インターネットおよびイントラネットファイル共有用のMicrosoftのサーバーメッセージブロック（SMB）プロトコルの拡張バージョンに基づいています。

WindowsでCIFSの制約付き委任が失敗する

ユーザーに資格情報の入力を求められた場合にこの問題が発生する可能性があり、次の3つのシナリオに基づいて、アクセスが最終的に失敗し、アクセス拒否エラーが発生します。

シナリオ1

• IIS Webサイトは、パススルー認証とCIFS用に構成された制約付き委任を使用してリモート共有を指すホームディレクトリでセットアップされます。
• その共有にアクセスするIISアプリケーションプールは、サービスアカウントのIDで実行されています。
ドメインアカウントは、ファイルサーバー上のCIFSサービスの委任について信頼されています。

シナリオ2

ウェブアプリがユーザーとしてファイルサーバーにアクセスしようとしています。
• その共有にアクセスするIISアプリケーションプールは、サービスアカウントのIDで実行されています。ドメインアカウントは、ファイルサーバー上のCIFSサービスの委任について信頼されています。
CIFS用に構成された制約付き委任は、ファイルサーバーのサービスアカウントで構成されます。

シナリオ3

クライアントからアクセスされているサーバー側アプリケーションはすべて、ユーザーとしてリモート共有にアクセスしています。
• サーバー側アプリケーションは、サービスアカウントのコンテキストで実行されています。
• サービスアカウントは委任に対して信頼されており、ファイルサーバーのCIFS委任用に構成されています。

これは、制約付きの委任が関係している場合のMrxSmb2.0とKerberosの間の問題として識別されています。

この問題を解決するために、Microsoftは2つの回避策を提供しています。

回避策1

CIFSの制約付き委任を実行するアプリケーションのIDとして、サービスアカウントの代わりにマシンアカウントを使用します。ドメインの機能レベルがWindowsServer2003、Windows Server 2008、またはWindows Server 2008 R2の場合、制約付き委任を構成します。

Webサーバードメインのドメインコントローラーでこれを行うには、次の手順を実行します。

• [開始>]をクリックします 管理ツール> ActiveDirectoryユーザーとコンピューター 。
• ドメインを展開してから、Computersフォルダーを展開します。
• 右側のペインで、Webサーバーのコンピューター名を右クリックし、[プロパティ]を選択します。 、次に[委任]をクリックします タブ。
• 指定されたサービスへの委任についてのみこのコンピューターを信頼するを選択します チェックボックス。
• Kerberosのみを使用することを確認してください を選択し、[ OK ]をクリックします 。
• 追加ボタンをクリックします 。
• [サービスの追加]ダイアログボックスで、[ユーザーまたはコンピューター]をクリックします 、次に、IISからユーザーの資格情報を受け取るファイルサーバーの名前を参照または入力します。
• [OK]をクリックします 。
• [利用可能なサービス]リストで、CIFSサービスを選択します。
• [OK]をクリックします 。

回避策2

この回避策は推奨されません コンピュータアカウントで認証プロトコルの委任を使用する必要があるためです。 任意の認証プロトコルを使用する場合 オプションが選択されている場合、アカウントはプロトコル移行を伴う制約付き委任を使用しています。

アプリケーションのIDをサービスアカウントやドメインアカウントとして使用する必要がある場合は、次の手順を実行します。

ステップ1

• [開始]をクリックします>管理ツール> ActiveDirectoryユーザーとコンピューター 。
• ドメインを展開してから、Computersフォルダーを展開します。
• 右側のペインで、Webサーバーのコンピューター名を右クリックし、[プロパティ]を選択します。 、次に[委任]をクリックします タブ。
• 指定されたサービスへの委任についてこのコンピューターを信頼するを選択します チェックボックスのみ。
• 必ず任意の認証プロトコルを使用してください が選択されています。
• [ OK]をクリックします 。
• 追加ボタンをクリックします 。
• [サービスの追加]ダイアログボックスで、[ユーザーまたはコンピューター]をクリックします 、次に、IISからユーザーの資格情報を受け取るファイルサーバーの名前を参照または入力します。
• [OK]をクリックします 。
• [利用可能なサービス]リストで、[CIFSサービス]を選択します 。
• [OK]をクリックします 。

ステップ2

• 左側のペインで、[ユーザー]フォルダーを展開します。
• 右側のペインで、アプリケーションプールのIDであるサービスアカウントを右クリックし、[プロパティ]を選択します 、次に[委任]をクリックします タブ。
• 指定されたサービスへの委任についてのみこのコンピューターを信頼するを選択します チェックボックス。
• Kerberosのみを使用することを確認してください が選択されています。
• [ OK]をクリックします 。
• 追加ボタンをクリックします 。
• [サービスの追加]ダイアログボックスで、[ユーザーまたはコンピューター]をクリックします 、次に、IISからユーザーの資格情報を受け取るファイルサーバーの名前を参照または入力します。
• [OK]をクリックします 。
• [利用可能なサービス]リストで、[CIFSサービス]を選択します 。
• [OK]をクリックします 。

この投稿がお役に立てば幸いです。