ขณะเข้าถึงบริการที่ใช้เครือข่ายร่วมกันบนเซิร์ฟเวอร์ระดับกลาง ผู้ใช้จะได้รับพร้อมท์สำหรับข้อมูลประจำตัว และในที่สุดก็พบข้อผิดพลาดในการปฏิเสธการเข้าถึง ในโพสต์ของวันนี้ เราจะนำเสนอสถานการณ์บางกรณี ระบุสาเหตุ จากนั้นให้วิธีแก้ปัญหาที่เป็นไปได้สำหรับปัญหาที่ว่าทำไมการมอบหมายที่มีข้อจำกัดสำหรับCIFS จึง ล้มเหลวด้วย ข้อผิดพลาด ACCESS_DENIEDใน Windows 10

Common Internet File System (CIFS)เป็นโปรโตคอลการแชร์ไฟล์ที่มีกลไกเปิดและข้ามแพลตฟอร์มสำหรับการร้องขอไฟล์เซิร์ฟเวอร์เครือข่ายและบริการ CIFS  อิงตามเวอร์ชันปรับปรุงของโปรโตคอล Server Message Block (SMB) ของ Microsoft สำหรับการแชร์ไฟล์ทางอินเทอร์เน็ต และอินทราเน็ต^(Internet)

การมอบหมายที่จำกัดสำหรับCIFSล้มเหลวในWindows

คุณอาจพบปัญหานี้หากผู้ใช้ได้รับพร้อมท์สำหรับข้อมูลประจำตัว และการเข้าถึงล้มเหลวในที่สุดโดยมีข้อผิดพลาดในการเข้าถึงถูกปฏิเสธโดยยึดตามสามสถานการณ์ต่อไปนี้

สถานการณ์ 1^{(Scenario 1)}

• เว็บไซต์IIS ได้รับการ ตั้งค่าด้วยโฮมไดเร็กทอรีที่ชี้ไปที่การแชร์ระยะไกลโดยใช้การตรวจสอบสิทธิ์แบบพาส-ทรูและการมอบหมายที่จำกัดซึ่งกำหนดค่าไว้สำหรับCIFS
• การ เข้าถึงพูลแอปพลิเคชัน IISที่ใช้งานร่วมกันนั้นทำงานภายใต้ข้อมูลประจำตัวของบัญชีบริการ
• บัญชีโดเมนเชื่อถือได้สำหรับการมอบสิทธิ์สำหรับ บริการ CIFSบนเซิร์ฟเวอร์ไฟล์

สถานการณ์ที่ 2^{(Scenario 2)}

• เว็บแอปกำลังพยายามเข้าถึงเซิร์ฟเวอร์ไฟล์ในฐานะผู้ใช้
• กลุ่ม แอปพลิเคชัน IISที่เข้าถึงที่แชร์นั้นทำงานภายใต้ข้อมูลประจำตัวของบัญชีบริการ บัญชีโดเมนเชื่อถือได้สำหรับการมอบสิทธิ์สำหรับ บริการ CIFSบนเซิร์ฟเวอร์ไฟล์
• การมอบหมายที่จำกัดซึ่งกำหนดค่าไว้สำหรับCIFSได้รับการกำหนดค่าในบัญชีบริการสำหรับเซิร์ฟเวอร์ไฟล์

สถานการณ์ 3^{(Scenario 3)}

• แอปพลิเคชันฝั่งเซิร์ฟเวอร์ที่เข้าถึงได้จากไคลเอ็นต์กำลังเข้าถึงการแชร์ระยะไกลในฐานะผู้ใช้
• แอปพลิเคชันฝั่งเซิร์ฟเวอร์กำลังทำงานภายใต้บริบทของบัญชีบริการ
• บัญชีบริการ^(Service)เชื่อถือได้สำหรับการมอบหมายและกำหนดค่าสำหรับการ มอบหมาย CIFSสำหรับไฟล์เซิร์ฟเวอร์

สิ่งนี้ได้รับการระบุว่าเป็นปัญหาระหว่างMrxSmb 2.0และKerberosเมื่อมีการมอบหมายที่มีข้อจำกัด

ในการแก้ไขปัญหานี้Microsoftขอเสนอวิธีแก้ปัญหาชั่วคราวสองวิธี

วิธีแก้ปัญหา 1

ใช้บัญชีเครื่องแทนบัญชีบริการเป็นข้อมูลประจำตัวสำหรับแอปพลิเคชันที่จะดำเนินการมอบหมายที่จำกัดสำหรับCIFS กำหนดค่าการมอบหมายที่จำกัดเมื่อระดับการทำงานของโดเมนคือWindows Server 2003 , Windows Server 2008หรือ Windows Server 2008 R2

เมื่อต้องการทำเช่นนี้บนตัวควบคุมโดเมนสำหรับโดเมนเว็บเซิร์ฟเวอร์ของคุณ ให้ทำดังต่อไปนี้:

• คลิกStart > Administrative Tools >  Active Directory Users and Computers^{(Active Directory Users and Computers)}
• ขยาย^(Expand)โดเมนแล้วขยายโฟลเดอร์คอมพิวเตอร์^(Computers)
• ในบานหน้าต่างด้านขวา ให้คลิกขวาที่ชื่อคอมพิวเตอร์สำหรับเว็บเซิร์ฟเวอร์ เลือกPropertiesจากนั้นคลิก   แท็บDelegation
• เลือกกล่อง  กาเครื่องหมายเชื่อถือคอมพิวเตอร์เครื่องนี้สำหรับการมอบหมายให้กับบริการที่ระบุเท่านั้น^{(Trust this computer for delegation to specified services only)}
• ตรวจสอบให้แน่ใจว่า  ได้เลือก Use Kerberos onlyแล้ว จากนั้นคลิก  OK
• คลิก  ปุ่มเพิ่ม^{(Add button)}
• ใน   กล่องโต้ตอบ  เพิ่ม^(Add) บริการ ให้คลิก ^(Services)ผู้ใช้ หรือ คอมพิวเตอร์^{(Users or Computers)}จากนั้นเรียกดูหรือป้อนชื่อเซิร์ฟเวอร์ไฟล์ที่จะได้รับข้อมูลประจำตัวของผู้ใช้จากIIS
• คลิก  ตกลง^(OK) _
• ในรายการ  Available Services  เลือก  บริการCIFS
• คลิก  ตกลง^(OK) _

วิธีแก้ปัญหา2

ไม่แนะนำ^{(not recommended)}วิธีแก้ปัญหานี้เนื่องจากต้อง  ใช้^(Use)การมอบหมายโปรโตคอลการรับรองความถูกต้องใด ๆ ในบัญชีคอมพิวเตอร์ หาก   เลือกตัวเลือกใช้โปรโตคอลการตรวจสอบสิทธิ์ใดๆ แสดงว่าบัญชีกำลังใช้การมอบหมายที่จำกัดพร้อมการเปลี่ยนโปรโตคอล^{(Use any authentication protocol)}

หากคุณต้องใช้ข้อมูลประจำตัวของแอปพลิเคชันเป็นบัญชีบริการและ/หรือบัญชีโดเมน ให้ดำเนินการดังต่อไปนี้:

ขั้นตอนที่ 1^{(Step 1)}

• คลิกStart >  Administrative Tools >  Active Directory Users and Computers^{(Active Directory Users and Computers)}
• ขยาย^(Expand)โดเมนแล้วขยายโฟลเดอร์คอมพิวเตอร์^(Computers)
• ในบานหน้าต่างด้านขวา ให้คลิกขวาที่ชื่อคอมพิวเตอร์สำหรับเว็บเซิร์ฟเวอร์ เลือกPropertiesจากนั้นคลิก   แท็บDelegation
• เลือกกล่อง  กาเครื่องหมาย เชื่อถือคอมพิวเตอร์เครื่องนี้สำหรับการมอบหมายให้กับบริการที่ระบุ^{(Trust this computer for delegation to specified services)}เท่านั้น
• ตรวจสอบให้แน่ใจว่า  ได้เลือก ใช้โปรโตคอลการรับรองความถูกต้องใดๆ^{(Use any authentication protocol)}ไว้
• คลิกตกลง^(OK) _
• คลิก  ปุ่มเพิ่ม^{(Add button)}
• ใน   กล่องโต้ตอบ  เพิ่ม^(Add) บริการ ให้คลิก ^(Services)ผู้ใช้ หรือ คอมพิวเตอร์^{(Users or Computers)}จากนั้นเรียกดูหรือป้อนชื่อเซิร์ฟเวอร์ไฟล์ที่จะได้รับข้อมูลประจำตัวของผู้ใช้จากIIS
• คลิก  ตกลง^(OK) _
• ในรายการ  Available Services  ให้เลือกบริการCIFS^{(CIFS service)}
• คลิก  ตกลง^(OK) _

ขั้นตอนที่ 2^{(Step 2)}

• ในบานหน้าต่างด้านซ้าย ให้ขยายโฟลเดอร์ผู้ใช้
• ในบานหน้าต่างด้านขวา ให้คลิกขวาที่บัญชีบริการซึ่งเป็นข้อมูลประจำตัวของกลุ่มแอปพลิเคชัน เลือก  คุณสมบัติ^(Properties)จากนั้นคลิก   แท็บ การ มอบหมาย^(Delegation)
• เลือกกล่อง  กาเครื่องหมายเชื่อถือคอมพิวเตอร์เครื่องนี้สำหรับการมอบหมายให้กับบริการที่ระบุเท่านั้น^{(Trust this computer for delegation to specified services only)}
• ตรวจสอบให้แน่ใจว่า  ได้เลือกใช้ Kerberos เท่านั้น^{(Use Kerberos only)}
• คลิกตกลง^(OK) _
• คลิก  ปุ่มเพิ่ม^{(Add button)}
• ใน กล่องโต้ตอบ  เพิ่ม^(Add) บริการ ให้คลิก ^(Services)ผู้ใช้ หรือ คอมพิวเตอร์^{(Users or Computers)}จากนั้นเรียกดูหรือป้อนชื่อเซิร์ฟเวอร์ไฟล์ที่จะได้รับข้อมูลประจำตัวของผู้ใช้จากIIS
• คลิก  ตกลง^(OK) _
• ในรายการ  Available Services  ให้เลือกบริการCIFS^{(CIFS service)}
• คลิก  ตกลง^(OK) _

หวังว่าโพสต์นี้จะช่วยได้^{(Hope this post helps.)}

ACCESS DENIED - Constrained delegation for CIFS fails

While accessing a servicе that uses network shares on a middle-tier serνer, users are рrоmpted for credеntials, and they eventually encounter an acceѕs denied error. In todаy’s post, we will present a couple of case sсenarios, identify the cause and then provide the possible workarounds to the issue of why conѕtrained delegation for CIFS fails with ACCESS_DENIED error in Windows 10.

Common Internet File System (CIFS) is a file-sharing protocol that provides an open and cross-platform mechanism for requesting network server files and services. CIFS is based on the enhanced version of Microsoft’s Server Message Block (SMB) protocol for Internet and intranet file sharing.

Constrained delegation for CIFS fails in Windows

You may encounter this issue if the user is prompted for credentials, and access eventually fails with an access denied error based on the following three scenarios.

Scenario 1

• The IIS website is set up with the home directory pointing to the remote share using pass-through authentication and constrained delegation configured for CIFS.
• The IIS application pool accessing that share is running under the identity of the service account.
• The domain account is trusted for delegation for the CIFS service on the file server.

Scenario 2

• The web app is trying to access a file server as a user.
• The IIS application pool that accesses that share is running under the identity of the service account. The domain account is trusted for delegation for the CIFS service on the file server.
• Constrained delegation configured for CIFS is configured on the service account for the file server.

Scenario 3

• Any server-side application that’s being accessed from a client is accessing remote shares as a user.
• The server-side application is running under the context of a service account.
• The Service account is trusted for delegation and configured for CIFS delegation for the file server.

This has been identified as a problem between MrxSmb 2.0 and Kerberos when constrained delegation is involved.

To resolve this issue, Microsoft offers two workarounds.

Workaround 1

Use a machine account instead of a service account as the identity for applications that will be performing constrained delegation for CIFS. Configure constrained delegation when the domain functional level is Windows Server 2003, Windows Server 2008, or Windows Server 2008 R2.

To do this on the domain controller for your web servers domain, do the following:

• Click Start > Administrative Tools > Active Directory Users and Computers.
• Expand domain, and then expand the Computers folder.
• In the right pane, right-click the computer name for the webserver, select Properties, and then click the Delegation tab.
• Select the Trust this computer for delegation to specified services only checkbox.
• Make sure that Use Kerberos only is selected, and then click OK.
• Click the Add button.
• In the Add Services dialog box, click Users or Computers, and then browse to or enter the name of the file server that will receive the user’s credentials from IIS.
• Click OK.
• In the Available Services list, select the CIFS service.
• Click OK.

Workaround 2

This workaround is not recommended because it requires Use any authentication protocol delegation on the computer account. If the Use any authentication protocol option is selected, the account is using constrained delegation with protocol transition.

If you must use the identity of applications as a service account and/or domain account, then do the following:

Step 1

• Click Start > Administrative Tools > Active Directory Users and Computers.
• Expand domain, and then expand the Computers folder.
• In the right pane, right-click the computer name for the webserver, select Properties, and then click the Delegation tab.
• Select the Trust this computer for delegation to specified services only checkbox.
• Make sure that Use any authentication protocol is selected.
• Click OK.
• Click the Add button.
• In the Add Services dialog box, click Users or Computers, and then browse to or enter the name of the file server that will receive the user’s credentials from IIS.
• Click OK.
• In the Available Services list, select the CIFS service.
• Click OK.

Step 2

• In the left pane, expand the Users folder.
• In the right pane, right-click the service account that’s the identity of the application pool, select Properties, and then click the Delegation tab.
• Select the Trust this computer for delegation to specified services only checkbox.
• Make sure that Use Kerberos only is selected.
• Click OK.
• Click the Add button.
• In the Add Services dialog box, click Users or Computers, and then browse to or enter the name of the file server that will receive the user’s credentials from IIS.
• Click OK.
• In the Available Services list, select the CIFS service.
• Click OK.

Hope this post helps.

Related posts

• Fix Error 1005 Access Denied message ในขณะที่เยี่ยมชมเว็บไซต์

• DHCP Client Service ให้ Access Denied error ใน Windows 11/10

• วิธีปรับแต่งข้อความ Access Denied error บน Windows 10

• Access Denied คุณไม่ได้รับอนุญาตให้เข้าถึงบนเซิร์ฟเวอร์นี้

• Fix Access Control Entry เป็นข้อผิดพลาดเสียหายใน Windows 10

• Error 1327 Invalid Drive เมื่อติดตั้งหรือถอนการติดตั้งโปรแกรม

• Remove Access Denied error เมื่อเข้าถึงไฟล์หรือโฟลเดอร์ใน Windows

• วิธีการ Access Denied Restricted Folder ใน Windows 10

• Fix Smart Check ผ่าน Short DST ข้อผิดพลาดล้มเหลวใน HP computer

• อ๊ะ! เราไม่สามารถบันทึกอันนั้นได้ - Windows Photos App

• วิธีการแก้ไข Disk Signature Collision problem ใน Windows 10

• คุณสมบัตินี้ต้องใช้สื่อที่ถอดออกได้ - ข้อผิดพลาดรีเซ็ต Password

• Fix Microsoft Store Error 0x87AF0001

• วิธีการเปิด Encrypted File ถ้า Access Is Denied ใน Windows 10

• Fix ล้มเหลวในการโหลดข้อผิดพลาด steamui.dll บน Windows 10

• MBR2GPT ไม่สามารถเปิดใช้งานการสำรองข้อมูล / กู้คืนสิทธิ์ใน Windows 10

• เปิด Notepad ในฐานะผู้ดูแลระบบเพื่อหลีกเลี่ยง "การเข้าถึงถูกปฏิเสธ"

• พีซีนี้ไม่สามารถอัพเกรดเป็น Windows 10 เนื่องจากช่องว่าง Parity Storage

• Fix Application Load Error 5:0000065434 บน Windows 10

• IPersistFile Save ล้มเหลว, Code 0x80070005, Access ถูกปฏิเสธ