【解決策】Windows 10でCIFSの制約付き委任が失敗し「アクセスが拒否されました」エラーが発生する原因と対処法

ネットワーク共有を使用する中間層サーバー上のサービスにアクセスする際、ユーザーに対して資格情報の入力を求めるダイアログが表示され、最終的に「アクセスが拒否されました（ACCESS_DENIED）」というエラーが発生することがあります。本記事では、Windows 10環境においてCIFSの制約付き委任がACCESS_DENIEDエラーで失敗する典型的な事例を紹介し、その原因と有効な回避策を詳しく解説します。

共通インターネットファイルシステム（CIFS）は、ネットワークサーバー上のファイルやサービスへの要求を行うための、オープンかつクロスプラットフォームな仕組みを提供するファイル共有プロトコルです。CIFSは、インターネットおよびイントラネットでのファイル共有向けに拡張されたMicrosoftのServer Message Block（SMB）プロトコルをベースとしています。

WindowsでCIFSの制約付き委任が失敗する3つのシナリオ

ユーザーに資格情報の入力が求められ、その結果「アクセスが拒否されました」というエラーでアクセスに失敗する場合、以下の3つのシナリオのいずれかに該当している可能性があります。

シナリオ1：IISとパススルー認証の組み合わせ

• IIS Webサイトのホームディレクトリが、パススルー認証を使用してリモート共有を参照するよう設定されており、CIFSに対する制約付き委任が構成されている。
• 該当する共有にアクセスするIISアプリケーションプールが、サービスアカウントのIDで実行されている。
• ドメインアカウントが、ファイルサーバー上のCIFSサービスに対する委任を信頼するよう設定されている。

シナリオ2：Webアプリケーションからのユーザーアクセス

• Webアプリケーションが、ユーザーの権限でファイルサーバーにアクセスしようとしている。
• 該当する共有にアクセスするIISアプリケーションプールがサービスアカウントのIDで実行されており、ドメインアカウントがファイルサーバー上のCIFSサービスに対する委任を信頼するよう設定されている。
• ファイルサーバー用のサービスアカウントに対し、CIFS向けの制約付き委任が構成されている。

シナリオ3：サーバーサイドアプリケーションからのアクセス

• クライアントからアクセスされる任意のサーバーサイドアプリケーションが、ユーザーの権限でリモート共有にアクセスしている。
• そのサーバーサイドアプリケーションが、サービスアカウントのコンテキストで実行されている。
• サービスアカウントが委任に対して信頼されており、ファイルサーバー向けのCIFS委任が構成されている。

この問題は、制約付き委任が関係する環境におけるMrxSmb 2.0とKerberos間の不具合であることが確認されています。これを解消するため、Microsoftは2つの回避策を提示しています。

回避策1：コンピューターアカウントを使用する（推奨）

CIFSに対する制約付き委任を実行するアプリケーションのIDとして、サービスアカウントの代わりにマシン（コンピューター）アカウントを使用します。ドメインの機能レベルがWindows Server 2003、Windows Server 2008、またはWindows Server 2008 R2である場合に、この方法で制約付き委任を構成できます。

Webサーバーが所属するドメインのドメインコントローラー上で、以下の手順を実行してください。

• [スタート] ＞ [管理ツール] ＞ [Active Directory ユーザーとコンピューター]を開きます。
• ドメインを展開し、続いて[Computers]フォルダーを展開します。
• 右側のウィンドウでWebサーバーのコンピューター名を右クリックし、[プロパティ]を選択して[委任]タブを開きます。
• [指定されたサービスだけにこのコンピューターを委任する]チェックボックスをオンにします。
• [Kerberosのみ]が選択されていることを確認し、[OK]をクリックします。
• [追加]ボタンをクリックします。
• [サービスの追加]ダイアログボックスで[ユーザーまたはコンピューター]をクリックし、IISからユーザーの資格情報を受け取るファイルサーバーの名前を参照または入力します。
• [OK]をクリックします。
• [利用可能なサービス]の一覧からCIFSサービスを選択します。
• [OK]をクリックして完了です。

回避策2：プロトコル遷移を伴う委任（非推奨）

この回避策では、コンピューターアカウントに対して「任意の認証プロトコルを使う」委任を構成する必要があるため、推奨されません。[任意の認証プロトコルを使う]を選択した場合、そのアカウントはプロトコル遷移を伴う制約付き委任を使用することになります。

それでもアプリケーションのIDとしてサービスアカウントやドメインアカウントを使用しなければならない場合は、以下の手順を実行してください。

手順1：Webサーバーのコンピューターアカウントを設定する

• [スタート] ＞ [管理ツール] ＞ [Active Directory ユーザーとコンピューター]を開きます。
• ドメインを展開し、[Computers]フォルダーを展開します。
• 右側のウィンドウでWebサーバーのコンピューター名を右クリックし、[プロパティ]を選択して[委任]タブを開きます。
• [指定されたサービスだけにこのコンピューターを委任する]チェックボックスをオンにします。
• [任意の認証プロトコルを使う]が選択されていることを確認します。
• [OK]をクリックします。
• [追加]ボタンをクリックします。
• [サービスの追加]ダイアログボックスで[ユーザーまたはコンピューター]をクリックし、IISからユーザーの資格情報を受け取るファイルサーバーの名前を参照または入力します。
• [OK]をクリックします。
• [利用可能なサービス]の一覧からCIFSサービスを選択し、[OK]をクリックします。

手順2：アプリケーションプールのサービスアカウントを設定する

• 左側のウィンドウで[Users]フォルダーを展開します。
• 右側のウィンドウで、アプリケーションプールのIDとなっているサービスアカウントを右クリックし、[プロパティ]を選択して[委任]タブを開きます。
• [指定されたサービスだけにこのアカウントを委任する]チェックボックスをオンにします。
• [Kerberosのみ]が選択されていることを確認します。
• [OK]をクリックします。
• [追加]ボタンをクリックします。
• [サービスの追加]ダイアログボックスで[ユーザーまたはコンピューター]をクリックし、IISからユーザーの資格情報を受け取るファイルサーバーの名前を参照または入力します。
• [OK]をクリックします。
• [利用可能なサービス]の一覧からCIFSサービスを選択し、[OK]をクリックして完了です。

本記事が、CIFSの制約付き委任に関する「アクセスが拒否されました」エラーの解決に役立つことを願っています。