در حین دسترسی به سرویسی که از اشتراک‌گذاری‌های شبکه در سرورهای سطح متوسط ​​استفاده می‌کند، از کاربران خواسته می‌شود تا اعتبارنامه‌ها را دریافت کنند و در نهایت با خطای عدم دسترسی مواجه می‌شوند. در پست امروز، چند سناریو موردی را ارائه می‌کنیم، علت را شناسایی می‌کنیم و سپس راه‌حل‌های ممکن را برای این موضوع ارائه می‌کنیم که چرا تفویض اختیار محدود برای CIFS با خطای ACCESS_DENIED در ویندوز 10 شکست می‌خورد.

Common Internet File System (CIFS) یک پروتکل به اشتراک گذاری فایل است که مکانیزمی باز و بین پلتفرمی را برای درخواست فایل ها و سرویس های سرور شبکه فراهم می کند. CIFS  بر اساس نسخه پیشرفته پروتکل بلوک پیام سرور (SMB) مایکروسافت برای به اشتراک گذاری فایل های اینترنت^(Internet) و اینترانت است.

واگذاری محدود برای CIFS در ویندوز با شکست مواجه می شود^(Windows)

در صورتی که از کاربر درخواست اعتبارنامه شود، ممکن است با این مشکل مواجه شوید و در نهایت دسترسی با خطای دسترسی ممنوع بر اساس سه سناریوی زیر با شکست مواجه شود.

سناریو 1^{(Scenario 1)}

• وب‌سایت IIS با دایرکتوری اصلی راه‌اندازی می‌شود که به اشتراک راه دور با استفاده از احراز هویت عبور و تفویض اختیار پیکربندی شده برای CIFS راه‌اندازی^(CIFS) شده است.
• مخزن برنامه IIS که به آن اشتراک دسترسی دارد با هویت حساب سرویس اجرا می شود.
• حساب دامنه برای واگذاری سرویس CIFS در سرور فایل مورد اعتماد است.

سناریو 2^{(Scenario 2)}

• برنامه وب در تلاش است به عنوان کاربر به یک سرور فایل دسترسی پیدا کند.
• مخزن برنامه IIS که به آن اشتراک دسترسی دارد تحت هویت حساب سرویس اجرا می شود. حساب دامنه برای واگذاری سرویس CIFS در سرور فایل مورد اعتماد است.
• تفویض اختیار پیکربندی شده برای CIFS در حساب سرویس سرور فایل پیکربندی شده است.

سناریو 3^{(Scenario 3)}

• هر برنامه سمت سرور که از یک کلاینت قابل دسترسی است، به عنوان کاربر به اشتراک‌گذاری‌های راه دور دسترسی دارد.
• برنامه سمت سرور در چارچوب یک حساب سرویس در حال اجرا است.
• حساب سرویس^(Service) برای تفویض اختیار مورد اعتماد است و برای نمایندگی CIFS برای سرور فایل پیکربندی شده است.

این به عنوان یک مشکل بین MrxSmb 2.0 و Kerberos شناسایی شده است، زمانی که تفویض اختیار درگیر است.

برای حل این مشکل، مایکروسافت^(Microsoft) دو راه حل ارائه می دهد.

راه حل 1

از یک حساب ماشینی به جای حساب سرویس به عنوان هویت برنامه‌هایی که تفویض اختیار محدود را برای CIFS انجام می‌دهند ، استفاده کنید. زمانی که سطح عملکرد دامنه Windows Server 2003 ، Windows Server 2008 یا Windows Server 2008 R2 باشد، تفویض محدود را پیکربندی کنید.

برای انجام این کار در کنترلر دامنه برای دامنه سرورهای وب خود، موارد زیر را انجام دهید:

• روی Start > Administrative Tools > Active Directory Users and Computers کلیک کنید .
• ^(Expand)دامنه را گسترش دهید و سپس پوشه Computers را باز کنید.
• در قسمت سمت راست، روی نام رایانه وب سرور کلیک راست کرده، Properties را انتخاب کنید و سپس روی  تب Delegation  کلیک کنید.
• کادر بررسی  Trust this computer for delegation to specified services only را^{(Trust this computer for delegation to specified services only)} انتخاب کنید.
• مطمئن شوید که  Use Kerberos only  انتخاب شده باشد و سپس روی  OK کلیک کنید .
• روی  دکمه افزودن کلیک کنید^{(Add button)} .
• در   کادر محاوره‌ای  افزودن ^(Add) خدمات ، روی ^(Services)Users یا Computers^{(Users or Computers)} کلیک کنید و سپس نام سرور فایلی را که اطلاعات کاربری کاربر را از IIS دریافت می‌کند، مرور کنید یا نام آن را وارد کنید .
• روی  OK کلیک کنید .
• در   لیست  خدمات ^(Services)موجود ، سرویس ^(Available) CIFS را انتخاب کنید .
• روی  OK کلیک کنید .

راه حل 2

این راه‌حل توصیه نمی‌شود^{(not recommended)} زیرا به  استفاده از^(Use) هر گونه پروتکل احراز هویت در حساب رایانه نیاز دارد. اگر گزینه  Use any authentication protocol  انتخاب شده باشد، حساب از واگذاری محدود با انتقال پروتکل استفاده می کند.

اگر باید از هویت برنامه‌ها به عنوان حساب سرویس و/یا حساب دامنه استفاده کنید، موارد زیر را انجام دهید:

مرحله 1^{(Step 1)}

• روی Start >  Administrative Tools > Active Directory Users and Computers کلیک کنید .
• ^(Expand)دامنه را گسترش دهید و سپس پوشه Computers را باز کنید.
• در قسمت سمت راست، روی نام رایانه وب سرور کلیک راست کرده، Properties را انتخاب کنید و سپس روی  تب Delegation  کلیک کنید.
• کادر بررسی  Trust this computer for delegation to specified services only را انتخاب کنید.
• مطمئن شوید که  Use any authentication protocol انتخاب شده باشد.
• روی OK کلیک کنید .
• روی  دکمه افزودن کلیک کنید^{(Add button)} .
• در   کادر محاوره‌ای  افزودن ^(Add) خدمات ، روی ^(Services)Users یا Computers^{(Users or Computers)} کلیک کنید و سپس نام سرور فایلی را که اطلاعات کاربری کاربر را از IIS دریافت می‌کند، مرور کنید یا نام آن را وارد کنید .
• روی  OK کلیک کنید .
• در   لیست خدمات ^(Services)موجود ، ^(Available) سرویس CIFS^{(CIFS service)} را انتخاب کنید .
• روی  OK کلیک کنید .

گام 2^{(Step 2)}

• در قسمت سمت چپ، پوشه Users را باز کنید.
• در قسمت سمت راست، روی حساب سرویس که هویت استخر برنامه است کلیک راست کنید،  Properties را انتخاب کنید و سپس روی  برگه Delegation  کلیک کنید.
• کادر بررسی  Trust this computer for delegation to specified services only را^{(Trust this computer for delegation to specified services only)} انتخاب کنید.
• مطمئن شوید که  Use Kerberos only انتخاب شده باشد.
• روی OK کلیک کنید .
• روی  دکمه افزودن کلیک کنید^{(Add button)} .
• در  کادر محاوره‌ای  افزودن ^(Add) خدمات ، روی ^(Services)Users یا Computers^{(Users or Computers)} کلیک کنید و سپس نام سرور فایلی را که اطلاعات کاربری کاربر را از IIS دریافت می‌کند، مرور کنید یا نام آن را وارد کنید .
• روی  OK کلیک کنید .
• در   لیست خدمات ^(Services)موجود ، ^(Available) سرویس CIFS^{(CIFS service)} را انتخاب کنید .
• روی  OK کلیک کنید .

امیدوارم این پست کمک کند.^{(Hope this post helps.)}

ACCESS DENIED - Constrained delegation for CIFS fails

Whilе accessing a service that uses network shares on a middle-tier server, users are prompted for credеntials, and they eventually encounter an access dеnied error. In today’s post, we will present a couple of case sсenarios, idеntify thе causе and then provide the possible workarounds to the issue оf why cоnstrained dеlegation for CIFS fails with ACCESS_DENIED error in Windows 10.

Common Internet File System (CIFS) is a file-sharing protocol that provides an open and cross-platform mechanism for requesting network server files and services. CIFS is based on the enhanced version of Microsoft’s Server Message Block (SMB) protocol for Internet and intranet file sharing.

Constrained delegation for CIFS fails in Windows

You may encounter this issue if the user is prompted for credentials, and access eventually fails with an access denied error based on the following three scenarios.

Scenario 1

• The IIS website is set up with the home directory pointing to the remote share using pass-through authentication and constrained delegation configured for CIFS.
• The IIS application pool accessing that share is running under the identity of the service account.
• The domain account is trusted for delegation for the CIFS service on the file server.

Scenario 2

• The web app is trying to access a file server as a user.
• The IIS application pool that accesses that share is running under the identity of the service account. The domain account is trusted for delegation for the CIFS service on the file server.
• Constrained delegation configured for CIFS is configured on the service account for the file server.

Scenario 3

• Any server-side application that’s being accessed from a client is accessing remote shares as a user.
• The server-side application is running under the context of a service account.
• The Service account is trusted for delegation and configured for CIFS delegation for the file server.

This has been identified as a problem between MrxSmb 2.0 and Kerberos when constrained delegation is involved.

To resolve this issue, Microsoft offers two workarounds.

Workaround 1

Use a machine account instead of a service account as the identity for applications that will be performing constrained delegation for CIFS. Configure constrained delegation when the domain functional level is Windows Server 2003, Windows Server 2008, or Windows Server 2008 R2.

To do this on the domain controller for your web servers domain, do the following:

• Click Start > Administrative Tools > Active Directory Users and Computers.
• Expand domain, and then expand the Computers folder.
• In the right pane, right-click the computer name for the webserver, select Properties, and then click the Delegation tab.
• Select the Trust this computer for delegation to specified services only checkbox.
• Make sure that Use Kerberos only is selected, and then click OK.
• Click the Add button.
• In the Add Services dialog box, click Users or Computers, and then browse to or enter the name of the file server that will receive the user’s credentials from IIS.
• Click OK.
• In the Available Services list, select the CIFS service.
• Click OK.

Workaround 2

This workaround is not recommended because it requires Use any authentication protocol delegation on the computer account. If the Use any authentication protocol option is selected, the account is using constrained delegation with protocol transition.

If you must use the identity of applications as a service account and/or domain account, then do the following:

Step 1

• Click Start > Administrative Tools > Active Directory Users and Computers.
• Expand domain, and then expand the Computers folder.
• In the right pane, right-click the computer name for the webserver, select Properties, and then click the Delegation tab.
• Select the Trust this computer for delegation to specified services only checkbox.
• Make sure that Use any authentication protocol is selected.
• Click OK.
• Click the Add button.
• In the Add Services dialog box, click Users or Computers, and then browse to or enter the name of the file server that will receive the user’s credentials from IIS.
• Click OK.
• In the Available Services list, select the CIFS service.
• Click OK.

Step 2

• In the left pane, expand the Users folder.
• In the right pane, right-click the service account that’s the identity of the application pool, select Properties, and then click the Delegation tab.
• Select the Trust this computer for delegation to specified services only checkbox.
• Make sure that Use Kerberos only is selected.
• Click OK.
• Click the Add button.
• In the Add Services dialog box, click Users or Computers, and then browse to or enter the name of the file server that will receive the user’s credentials from IIS.
• Click OK.
• In the Available Services list, select the CIFS service.
• Click OK.

Hope this post helps.

Related posts

• Fix Error 1005 Access Denied message وب سایت در حالی که بازدید

• DHCP Client Service می دهد Access Denied error در Windows 11/10

• چگونه به سفارشی Access Denied error پیام بر روی ویندوز 10

• Access Denied، شما اجازه دسترسی به این سرور ندارید

• Fix Access Control Entry خطای فاسد در Windows 10 است

• چگونه برای باز کردن Encrypted File اگر Access Is Denied در Windows 10

• Install Realtek HD Audio Driver Failure، Error OxC0000374 در Windows 10

• چگونه به Fix uTorrent را Access است Denied (Write بر روی دیسک)

• Fix Microsoft Store ورود به سیستم error 0x801901f4 در ویندوز 11/10

• چگونه به رفع Disk Signature Collision problem در Windows 10

• Owner جدید در سیستم عامل NECTIONACT NECTIONS NECTIONS Access در ویندوز 10 رد شده است

• Fix Logitech Setpoint Runtime error در ویندوز 10

• ERR NETWORK ACCESS DENIED | ERR INTERNET DISCONNECTED

• operating system می بوت شود به دلیل system driver خطاهای

• Error 1327 Invalid Drive هنگام نصب یا حذف برنامه ها

• Error 2738، Could دسترسی به VBScript runtime برای custom action نیست

• Fix Microsoft Store Error 0x87AF0001

• MBR2GPT موفق به فعال کردن پشتیبان / بازگرداندن امتیازات در ویندوز 10 نشد

• Fix ShellExecuteEx شکست خورد کد error 8235 در Windows10

• Event ID 158 خطا - یک دیسک یکسان GUIDs assignment در Windows 10