Dok pristupaju usluzi koja koristi mrežne dijeljenja na poslužitelju srednje razine, od korisnika se traži vjerodajnice i na kraju nailaze na pogrešku odbijenog pristupa. U današnjem postu predstavit ćemo nekoliko scenarija slučajeva, identificirati uzrok, a zatim ponuditi moguća rješenja za problem zašto ograničeno delegiranje za CIFS ne uspije s pogreškom ACCESS_DENIED u sustavu Windows 10.

Zajednički internetski datotečni sustav (CIFS)^{(Common Internet File System (CIFS))} je protokol za dijeljenje datoteka koji pruža otvoreni i višeplatformski mehanizam za traženje datoteka i usluga mrežnog poslužitelja. CIFS  se temelji na poboljšanoj verziji Microsoftovog protokola Server Message Block (SMB) za dijeljenje datoteka na Internetu i intranetu.^(Internet)

Ograničeno delegiranje za CIFS ne uspijeva u sustavu Windows^(Windows)

Na ovaj problem možete naići ako se od korisnika zatraže vjerodajnice, a pristup na kraju ne uspije uz pogrešku odbijenog pristupa na temelju sljedeća tri scenarija.

Scenarij 1^{(Scenario 1)}

• IIS web - mjesto postavljeno je s početnim direktorijem koji upućuje na udaljeno dijeljenje koristeći prolaznu autentifikaciju i ograničeno delegiranje konfigurirano za CIFS .
• Skupina IIS aplikacija koja pristupa tom dijeljenju radi pod identitetom računa usluge.
• Račun domene je pouzdan za delegiranje za CIFS uslugu na poslužitelju datoteka.

Scenarij 2^{(Scenario 2)}

• Web-aplikacija pokušava pristupiti poslužitelju datoteka kao korisnik.
• Skup IIS aplikacija koji pristupa tom dijeljenju radi pod identitetom računa usluge. Račun domene je pouzdan za delegiranje za CIFS uslugu na poslužitelju datoteka.
• Ograničeno delegiranje konfigurirano za CIFS konfigurirano je na servisnom računu za poslužitelj datoteka.

Scenarij 3^{(Scenario 3)}

• Svaka aplikacija na strani poslužitelja kojoj se pristupa s klijenta pristupa udaljenim dijeljenjima kao korisnik.
• Aplikacija na strani poslužitelja radi u kontekstu računa usluge.
• Račun usluge^(Service) pouzdan je za delegiranje i konfiguriran za CIFS delegiranje za poslužitelj datoteka.

Ovo je identificirano kao problem između MrxSmb 2.0 i Kerberosa^(Kerberos) kada je uključeno ograničeno delegiranje.

Kako bi riješio ovaj problem, Microsoft nudi dva rješenja.

Zaobilazno rješenje 1

Koristite račun stroja umjesto računa usluge kao identitet za aplikacije koje će izvoditi ograničeno delegiranje za CIFS . Konfigurirajte ograničeno delegiranje kada je funkcionalna razina domene Windows Server 2003 , Windows Server 2008 ili Windows Server 2008 R2.

Da biste to učinili na kontroleru domene za domenu vašeg web poslužitelja, učinite sljedeće:

• Kliknite Start > Administrative Tools > Korisnici i računala Active Directory^{(Active Directory Users and Computers)} .
• Proširite^(Expand) domenu, a zatim proširite mapu Računala .^(Computers)
• U desnom oknu desnom tipkom miša kliknite naziv računala za web poslužitelj, odaberite Svojstva^(Properties) , a zatim kliknite  karticu Delegiranje^(Delegation)  .
• Označite potvrdni okvir  Vjerujte ovom računalu samo za delegiranje određenih usluga^{(Trust this computer for delegation to specified services only)} .
• Provjerite  je li odabrana opcija Koristi samo Kerberos^{(Use Kerberos only)}  , a zatim kliknite  U redu^(OK) .
• Kliknite  gumb Dodaj^{(Add button)} .
• U   dijaloškom okviru  Dodaj ^(Add) usluge kliknite ^(Services)Korisnici ili računala^{(Users or Computers)} , a zatim potražite ili unesite naziv datotečnog poslužitelja koji će primiti korisničke vjerodajnice od IIS -a .
• Kliknite  OK .
• Na popisu  Dostupne ^(Available) usluge^(Services)  odaberite  uslugu CIFS .
• Kliknite  OK .

Zaobilazno rješenje 2

Ovo zaobilazno rješenje se ne preporučuje^{(not recommended)} jer zahtijeva  delegiranje^(Use) bilo kojeg protokola za provjeru autentičnosti na račun računala. Ako  je odabrana opcija Koristi bilo koji protokol provjere autentičnosti^{(Use any authentication protocol)}  , račun koristi ograničeno delegiranje s prijelazom protokola.

Ako morate koristiti identitet aplikacija kao račun usluge i/ili račun domene, učinite sljedeće:

Korak 1^{(Step 1)}

• Kliknite Start >  Administrative Tools > Korisnici i računala Active Directory^{(Active Directory Users and Computers)} .
• Proširite^(Expand) domenu, a zatim proširite mapu Računala .^(Computers)
• U desnom oknu desnom tipkom miša kliknite naziv računala za web poslužitelj, odaberite Svojstva^(Properties) , a zatim kliknite  karticu Delegiranje^(Delegation)  .
• Označite potvrdni okvir  Vjerujte ovom računalu samo za delegiranje određenih usluga^{(Trust this computer for delegation to specified services)} .
• Provjerite  je li odabran Use any autentication protocol .^{(Use any authentication protocol)}
• Kliknite OK .
• Kliknite  gumb Dodaj^{(Add button)} .
• U   dijaloškom okviru  Dodaj ^(Add) usluge kliknite ^(Services)Korisnici ili računala^{(Users or Computers)} , a zatim potražite ili unesite naziv datotečnog poslužitelja koji će primiti korisničke vjerodajnice od IIS -a .
• Kliknite  OK .
• Na popisu  Dostupne ^(Available) usluge^(Services)  odaberite uslugu CIFS^{(CIFS service)} .
• Kliknite  OK .

Korak 2^{(Step 2)}

• U lijevom oknu proširite mapu Korisnici.
• U desnom oknu desnom tipkom kliknite račun usluge koji je identitet skupa aplikacija, odaberite  Svojstva^(Properties) , a zatim kliknite  karticu Delegiranje^(Delegation)  .
• Označite potvrdni okvir  Vjerujte ovom računalu samo za delegiranje određenih usluga^{(Trust this computer for delegation to specified services only)} .
• Provjerite  je li odabrana opcija Koristi samo Kerberos .^{(Use Kerberos only)}
• Kliknite OK .
• Kliknite  gumb Dodaj^{(Add button)} .
• U  dijaloškom okviru  Dodaj ^(Add) usluge kliknite ^(Services)Korisnici ili računala^{(Users or Computers)} , a zatim potražite ili unesite naziv datotečnog poslužitelja koji će primiti korisničke vjerodajnice od IIS -a .
• Kliknite  OK .
• Na popisu  Dostupne ^(Available) usluge^(Services)  odaberite uslugu CIFS^{(CIFS service)} .
• Kliknite  OK .

Nadam se da će ovaj post pomoći.^{(Hope this post helps.)}

ACCESS DENIED - Constrained delegation for CIFS fails

While accessing a service that uses netwоrk shares on a middle-tier server, users are prompted fоr credentiаls, and they eventually encounter an access denied error. In today’s post, wе will рreѕent a coυple of сase scenarios, idеntify the cause and thеn providе the possible workaroυnds to the issue of why constrained delegation for CIFS fails with ACCESS_DENIED error in Windows 10.

Common Internet File System (CIFS) is a file-sharing protocol that provides an open and cross-platform mechanism for requesting network server files and services. CIFS is based on the enhanced version of Microsoft’s Server Message Block (SMB) protocol for Internet and intranet file sharing.

Constrained delegation for CIFS fails in Windows

You may encounter this issue if the user is prompted for credentials, and access eventually fails with an access denied error based on the following three scenarios.

Scenario 1

• The IIS website is set up with the home directory pointing to the remote share using pass-through authentication and constrained delegation configured for CIFS.
• The IIS application pool accessing that share is running under the identity of the service account.
• The domain account is trusted for delegation for the CIFS service on the file server.

Scenario 2

• The web app is trying to access a file server as a user.
• The IIS application pool that accesses that share is running under the identity of the service account. The domain account is trusted for delegation for the CIFS service on the file server.
• Constrained delegation configured for CIFS is configured on the service account for the file server.

Scenario 3

• Any server-side application that’s being accessed from a client is accessing remote shares as a user.
• The server-side application is running under the context of a service account.
• The Service account is trusted for delegation and configured for CIFS delegation for the file server.

This has been identified as a problem between MrxSmb 2.0 and Kerberos when constrained delegation is involved.

To resolve this issue, Microsoft offers two workarounds.

Workaround 1

Use a machine account instead of a service account as the identity for applications that will be performing constrained delegation for CIFS. Configure constrained delegation when the domain functional level is Windows Server 2003, Windows Server 2008, or Windows Server 2008 R2.

To do this on the domain controller for your web servers domain, do the following:

• Click Start > Administrative Tools > Active Directory Users and Computers.
• Expand domain, and then expand the Computers folder.
• In the right pane, right-click the computer name for the webserver, select Properties, and then click the Delegation tab.
• Select the Trust this computer for delegation to specified services only checkbox.
• Make sure that Use Kerberos only is selected, and then click OK.
• Click the Add button.
• In the Add Services dialog box, click Users or Computers, and then browse to or enter the name of the file server that will receive the user’s credentials from IIS.
• Click OK.
• In the Available Services list, select the CIFS service.
• Click OK.

Workaround 2

This workaround is not recommended because it requires Use any authentication protocol delegation on the computer account. If the Use any authentication protocol option is selected, the account is using constrained delegation with protocol transition.

If you must use the identity of applications as a service account and/or domain account, then do the following:

Step 1

• Click Start > Administrative Tools > Active Directory Users and Computers.
• Expand domain, and then expand the Computers folder.
• In the right pane, right-click the computer name for the webserver, select Properties, and then click the Delegation tab.
• Select the Trust this computer for delegation to specified services only checkbox.
• Make sure that Use any authentication protocol is selected.
• Click OK.
• Click the Add button.
• In the Add Services dialog box, click Users or Computers, and then browse to or enter the name of the file server that will receive the user’s credentials from IIS.
• Click OK.
• In the Available Services list, select the CIFS service.
• Click OK.

Step 2

• In the left pane, expand the Users folder.
• In the right pane, right-click the service account that’s the identity of the application pool, select Properties, and then click the Delegation tab.
• Select the Trust this computer for delegation to specified services only checkbox.
• Make sure that Use Kerberos only is selected.
• Click OK.
• Click the Add button.
• In the Add Services dialog box, click Users or Computers, and then browse to or enter the name of the file server that will receive the user’s credentials from IIS.
• Click OK.
• In the Available Services list, select the CIFS service.
• Click OK.

Hope this post helps.

Related posts

• Popravi poruku o grešci 1005 Pristup odbijen tijekom posjeta web-mjestu

• DHCP Client Service daje pogrešku Pristup odbijen u sustavu Windows 11/10

• Kako prilagoditi poruku o pogrešci Pristup odbijen u sustavu Windows 10

• Pristup odbijen, nemate dopuštenje za pristup ovom poslužitelju

• Popravite grešku u unosu kontrole pristupa u sustavu Windows 10

• Kako otvoriti šifriranu datoteku ako je pristup odbijen u sustavu Windows 11/10

• Popravite pogrešku odbijenog pristupa Windows Installeru

• Windows ne može provjeriti digitalni potpis (kod 52)

• Popravi pogrešku u trgovini Microsoft Store 0x87AF0001

• Kako popraviti pogrešku odbijenog pristupa Google disku

• Popravite pogrešku aplikacije 0xc0150004 u sustavu Windows 11/10

• Pogreška ID-a događaja 158 - Dodjela identičnih GUID-ova diska u sustavu Windows 10

• Ispravite pogrešku prijave u Microsoft Store 0x801901f4 u sustavu Windows 11/10

• Pogreška 1327 Nevažeći pogon prilikom instaliranja ili deinstaliranja programa

• IPersistFile Spremanje nije uspjelo, kod 0x80070005, pristup je odbijen

• Uklonite pogrešku odbijenog pristupa prilikom pristupa datotekama ili mapama u sustavu Windows

• Popravi pogrešku ShellExecuteEx neuspjela u sustavu Windows 11/10

• GREŠKA PRISTUP MREŽI ZABRAN | GREŠKA INTERNET JE ISPORUČEN

• Popravak Pogreška učitavanja steamui.dll nije uspjela u sustavu Windows 11/10

• Popravi Arhiva je ili u nepoznatom formatu ili je oštećena pogreška