أثناء الوصول إلى خدمة تستخدم مشاركات الشبكة على خادم الطبقة الوسطى ، تتم مطالبة المستخدمين ببيانات الاعتماد ، ويواجهون في النهاية خطأ رفض الوصول. في منشور اليوم ، سنقدم اثنين من سيناريوهات الحالة ، ونحدد السبب ثم نقدم الحلول الممكنة لمشكلة سبب فشل التفويض المقيد لـ CIFS مع خطأ ACCESS_DENIED في نظام التشغيل Windows 10.^{(ACCESS_DENIED)}

نظام ملفات الإنترنت المشترك (CIFS)^{(Common Internet File System (CIFS))} هو بروتوكول لمشاركة الملفات يوفر آلية مفتوحة ومتعددة الأنظمة لطلب ملفات وخدمات خادم الشبكة. يعتمد CIFS^(CIFS)  على الإصدار المحسن من بروتوكول Microsoft Server Message Block (SMB) لمشاركة ملفات الإنترنت^(Internet) والإنترانت.

فشل التفويض المقيد لـ CIFS في ^(CIFS)Windows

قد تواجه هذه المشكلة إذا تمت مطالبة المستخدم ببيانات الاعتماد ، وفشل الوصول أخيرًا مع خطأ رفض الوصول استنادًا إلى السيناريوهات الثلاثة التالية.

السيناريو 1^{(Scenario 1)}

• تم إعداد موقع IIS مع الدليل الرئيسي الذي يشير إلى المشاركة البعيدة باستخدام المصادقة التمريرية والتفويض المقيد المكون لـ CIFS .
• يتم تشغيل تجمع تطبيقات IIS الذي يصل إلى تلك المشاركة بهوية حساب الخدمة.
• حساب المجال موثوق به للتفويض لخدمة CIFS على خادم الملفات.

السيناريو 2^{(Scenario 2)}

• يحاول تطبيق الويب الوصول إلى خادم الملفات كمستخدم.
• يتم تشغيل تجمع تطبيقات IIS الذي يصل إلى تلك المشاركة تحت هوية حساب الخدمة. حساب المجال موثوق به للتفويض لخدمة CIFS على خادم الملفات.
• تم تكوين التفويض المقيد المكون لـ CIFS على حساب الخدمة لخادم الملفات.

السيناريو 3^{(Scenario 3)}

• يقوم أي تطبيق من جانب الخادم يتم الوصول إليه من عميل بالوصول إلى المشاركات البعيدة كمستخدم.
• يتم تشغيل التطبيق من جانب الخادم ضمن سياق حساب الخدمة.
• حساب الخدمة^(Service) موثوق به للتفويض وتكوينه لتفويض CIFS لخادم الملفات.

تم تحديد هذا على أنه مشكلة بين MrxSmb 2.0 و Kerberos عند تضمين التفويض المقيد.

لحل هذه المشكلة ، تقدم Microsoft حلين.

الحل 1

استخدم حساب جهاز بدلاً من حساب خدمة كهوية للتطبيقات التي ستقوم بتنفيذ التفويض المقيد لـ CIFS . قم بتكوين التفويض المقيد عندما يكون مستوى عمل المجال هو Windows Server 2003 أو Windows Server 2008 أو Windows Server 2008 R2.

للقيام بذلك على وحدة التحكم بالمجال لمجال خوادم الويب ، قم بما يلي:

• انقر فوق Start > Administrative Tools > Active Directory Users and Computers .
• قم بتوسيع^(Expand) المجال ثم قم بتوسيع مجلد أجهزة الكمبيوتر .^(Computers)
• في الجزء الأيسر ، انقر بزر الماوس الأيمن فوق اسم الكمبيوتر لخادم الويب ، وحدد خصائص^(Properties) ، ثم انقر فوق   علامة التبويب التفويض .^(Delegation)
• حدد خانة الاختيار  الوثوق بهذا الكمبيوتر للتفويض إلى الخدمات المحددة فقط^{(Trust this computer for delegation to specified services only)} .
• تأكد من  تحديد استخدام Kerberos فقط^{(Use Kerberos only)}  ، ثم انقر فوق  موافق^(OK) .
• انقر فوق  الزر "إضافة^{(Add button)} " .
• في   مربع الحوار  إضافة ^(Add) خدمات ، انقر فوق ^(Services)المستخدمون أو أجهزة الكمبيوتر^{(Users or Computers)} ، ثم استعرض أو أدخل اسم خادم الملفات الذي سيتلقى بيانات اعتماد المستخدم من IIS .
• انقر فوق  "موافق"^(OK) .
• في  قائمة الخدمات ^(Services)المتاحة^(Available)  ، حدد  خدمة CIFS .
• انقر فوق  "موافق"^(OK) .

الحل 2

هذا الحل غير مستحسن^{(not recommended)} لأنه يتطلب  استخدام^(Use) أي تفويض لبروتوكول مصادقة على حساب الكمبيوتر. إذا تم تحديد  الخيار استخدام أي بروتوكول مصادقة^{(Use any authentication protocol)}  ، فإن الحساب يستخدم التفويض المقيد مع انتقال البروتوكول.

إذا كان يجب عليك استخدام هوية التطبيقات كحساب خدمة و / أو حساب مجال ، فقم بما يلي:

الخطوة 1^{(Step 1)}

• انقر فوق ابدأ^{(Start )} >  Administrative Tools > Active Directory Users and Computers .
• قم بتوسيع^(Expand) المجال ثم قم بتوسيع مجلد أجهزة الكمبيوتر .^(Computers)
• في الجزء الأيسر ، انقر بزر الماوس الأيمن فوق اسم الكمبيوتر لخادم الويب ، وحدد خصائص^(Properties) ، ثم انقر فوق   علامة التبويب التفويض .^(Delegation)
• حدد خانة الاختيار  الوثوق بهذا الكمبيوتر للتفويض إلى الخدمات المحددة^{(Trust this computer for delegation to specified services)} فقط.
• تأكد من تحديد  استخدام أي بروتوكول مصادقة^{(Use any authentication protocol)} .
• انقر فوق "موافق"^(OK) .
• انقر فوق  الزر "إضافة^{(Add button)} " .
• في   مربع الحوار  إضافة ^(Add) خدمات ، انقر فوق ^(Services)المستخدمون أو أجهزة الكمبيوتر^{(Users or Computers)} ، ثم استعرض أو أدخل اسم خادم الملفات الذي سيتلقى بيانات اعتماد المستخدم من IIS .
• انقر فوق  "موافق"^(OK) .
• في  قائمة الخدمات ^(Services)المتوفرة^(Available)  ، حدد خدمة CIFS^{(CIFS service)} .
• انقر فوق  "موافق"^(OK) .

الخطوة 2^{(Step 2)}

• في الجزء الأيمن ، قم بتوسيع مجلد المستخدمون.
• في الجزء الأيسر ، انقر بزر الماوس الأيمن فوق حساب الخدمة الذي يمثل هوية تجمع التطبيقات ، وحدد  خصائص^(Properties) ، ثم انقر فوق   علامة التبويب التفويض .^(Delegation)
• حدد خانة الاختيار  الوثوق بهذا الكمبيوتر للتفويض إلى الخدمات المحددة فقط^{(Trust this computer for delegation to specified services only)} .
• تأكد من  تحديد استخدام Kerberos فقط^{(Use Kerberos only)} .
• انقر فوق "موافق"^(OK) .
• انقر فوق  الزر "إضافة^{(Add button)} " .
• في  مربع الحوار  إضافة ^(Add) خدمات ، انقر فوق ^(Services)المستخدمون أو أجهزة الكمبيوتر^{(Users or Computers)} ، ثم استعرض أو أدخل اسم خادم الملفات الذي سيتلقى بيانات اعتماد المستخدم من IIS .
• انقر فوق  "موافق"^(OK) .
• في  قائمة الخدمات ^(Services)المتوفرة^(Available)  ، حدد خدمة CIFS^{(CIFS service)} .
• انقر فوق  "موافق"^(OK) .

آمل أن يساعد هذا المنشور.^{(Hope this post helps.)}

ACCESS DENIED - Constrained delegation for CIFS fails

While accessing a ѕervice that uses network shares on a middle-tier servеr, userѕ are prоmptеd for credentials, and they eventually encounter an acceѕs denied error. In today’s poѕt, we will present а couple of case scenarios, identifу the cause and then provide the рoѕsible workarounds to the issue of why constraіned delegation for CIFS fails with ACCESS_DENIED error in Windows 10.

Common Internet File System (CIFS) is a file-sharing protocol that provides an open and cross-platform mechanism for requesting network server files and services. CIFS is based on the enhanced version of Microsoft’s Server Message Block (SMB) protocol for Internet and intranet file sharing.

Constrained delegation for CIFS fails in Windows

You may encounter this issue if the user is prompted for credentials, and access eventually fails with an access denied error based on the following three scenarios.

Scenario 1

• The IIS website is set up with the home directory pointing to the remote share using pass-through authentication and constrained delegation configured for CIFS.
• The IIS application pool accessing that share is running under the identity of the service account.
• The domain account is trusted for delegation for the CIFS service on the file server.

Scenario 2

• The web app is trying to access a file server as a user.
• The IIS application pool that accesses that share is running under the identity of the service account. The domain account is trusted for delegation for the CIFS service on the file server.
• Constrained delegation configured for CIFS is configured on the service account for the file server.

Scenario 3

• Any server-side application that’s being accessed from a client is accessing remote shares as a user.
• The server-side application is running under the context of a service account.
• The Service account is trusted for delegation and configured for CIFS delegation for the file server.

This has been identified as a problem between MrxSmb 2.0 and Kerberos when constrained delegation is involved.

To resolve this issue, Microsoft offers two workarounds.

Workaround 1

Use a machine account instead of a service account as the identity for applications that will be performing constrained delegation for CIFS. Configure constrained delegation when the domain functional level is Windows Server 2003, Windows Server 2008, or Windows Server 2008 R2.

To do this on the domain controller for your web servers domain, do the following:

• Click Start > Administrative Tools > Active Directory Users and Computers.
• Expand domain, and then expand the Computers folder.
• In the right pane, right-click the computer name for the webserver, select Properties, and then click the Delegation tab.
• Select the Trust this computer for delegation to specified services only checkbox.
• Make sure that Use Kerberos only is selected, and then click OK.
• Click the Add button.
• In the Add Services dialog box, click Users or Computers, and then browse to or enter the name of the file server that will receive the user’s credentials from IIS.
• Click OK.
• In the Available Services list, select the CIFS service.
• Click OK.

Workaround 2

This workaround is not recommended because it requires Use any authentication protocol delegation on the computer account. If the Use any authentication protocol option is selected, the account is using constrained delegation with protocol transition.

If you must use the identity of applications as a service account and/or domain account, then do the following:

Step 1

• Click Start > Administrative Tools > Active Directory Users and Computers.
• Expand domain, and then expand the Computers folder.
• In the right pane, right-click the computer name for the webserver, select Properties, and then click the Delegation tab.
• Select the Trust this computer for delegation to specified services only checkbox.
• Make sure that Use any authentication protocol is selected.
• Click OK.
• Click the Add button.
• In the Add Services dialog box, click Users or Computers, and then browse to or enter the name of the file server that will receive the user’s credentials from IIS.
• Click OK.
• In the Available Services list, select the CIFS service.
• Click OK.

Step 2

• In the left pane, expand the Users folder.
• In the right pane, right-click the service account that’s the identity of the application pool, select Properties, and then click the Delegation tab.
• Select the Trust this computer for delegation to specified services only checkbox.
• Make sure that Use Kerberos only is selected.
• Click OK.
• Click the Add button.
• In the Add Services dialog box, click Users or Computers, and then browse to or enter the name of the file server that will receive the user’s credentials from IIS.
• Click OK.
• In the Available Services list, select the CIFS service.
• Click OK.

Hope this post helps.

Related posts

• Fix Error 1005 Access Denied message أثناء زيارة المواقع

• DHCP Client Service يعطي Access Denied error في Windows 11/10

• كيفية تخصيص رسالة Access Denied error على Windows 10

• Access Denied، ليس لديك إذن بالوصول إلى هذا الخادم

• Fix Access Control Entry هو خطأ فاسد في Windows 10

• كان Setup غير قادر على إنشاء system partition error جديد على Windows 10

• Remove Access Denied error عند الوصول إلى الملفات أو المجلدات في Windows

• غير موجود Fix Crypt32.dll أو خطأ مفقود في Windows 11/10

• كيفية إصلاح Disk Signature Collision problem في Windows 10

• لا يمكن ترقيت هذا الكمبيوتر إلى Windows 10 بسبب مساحات Parity Storage

• اكتشف السائق driver error داخليا على \ device \ vboxnetlwf

• حدث خطأ ما، Turn OFF anti-virus software، 0x8007045D

• تتطلب هذه الميزة الوسائط القابلة للإزالة - خطأ في إعادة تعيين Password

• Error 2738، Could عدم الوصول VBScript runtime ل custom action

• فشل MBR2GPT في تمكين امتيازات النسخ الاحتياطي / الاستعادة على نظام التشغيل Windows 10

• Install Realtek HD Audio Driver Failure، Error OxC0000374 على Windows 10

• خطأ Event ID 158 - قرص متطابق GUIDs assignment في Windows 10

• كيفية Access Denied Restricted Folder في Windows 10

• Fix Destination Folder Access Denied Error

• فشل SFC في Repair and DISM عروض error 0x800f081f في ويندوز 10