Saat mengakses layanan yang menggunakan jaringan berbagi di server tingkat menengah, pengguna diminta memasukkan kredensial, dan mereka akhirnya menemukan kesalahan akses ditolak. Dalam posting hari ini, kami akan menyajikan beberapa skenario kasus, mengidentifikasi penyebabnya dan kemudian memberikan solusi yang mungkin untuk masalah mengapa delegasi terbatas untuk CIFS gagal dengan kesalahan ACCESS_DENIED di Windows 10.

Common Internet File System (CIFS) adalah protokol file-sharing yang menyediakan mekanisme terbuka dan lintas platform untuk meminta file dan layanan server jaringan. CIFS  didasarkan pada versi yang disempurnakan dari protokol Server Message Block (SMB) Microsoft untuk berbagi file Internet dan intranet.^(Internet)

Delegasi terbatas untuk CIFS gagal di Windows

Anda mungkin mengalami masalah ini jika pengguna dimintai kredensial, dan akses akhirnya gagal dengan galat akses ditolak berdasarkan tiga skenario berikut.

skenario 1^{(Scenario 1)}

• Situs web IIS diatur dengan direktori home yang menunjuk ke berbagi jarak jauh menggunakan otentikasi pass-through dan delegasi terbatas yang dikonfigurasi untuk CIFS .
• Kumpulan aplikasi IIS yang mengakses bagian tersebut berjalan di bawah identitas akun layanan.
• Akun domain dipercaya untuk delegasi layanan CIFS di server file.

Skenario 2^{(Scenario 2)}

• Aplikasi web mencoba mengakses server file sebagai pengguna.
• Kumpulan aplikasi IIS yang mengakses berbagi itu berjalan di bawah identitas akun layanan. Akun domain dipercaya untuk delegasi layanan CIFS di server file.
• Delegasi terbatas dikonfigurasi untuk CIFS dikonfigurasi pada akun layanan untuk file server.

Skenario 3^{(Scenario 3)}

• Aplikasi sisi server apa pun yang sedang diakses dari klien mengakses berbagi jarak jauh sebagai pengguna.
• Aplikasi sisi server berjalan di bawah konteks akun layanan.
• Akun Layanan^(Service) dipercaya untuk delegasi dan dikonfigurasi untuk delegasi CIFS untuk server file.

Ini telah diidentifikasi sebagai masalah antara MrxSmb 2.0 dan Kerberos ketika delegasi dibatasi terlibat.

Untuk mengatasi masalah ini, Microsoft menawarkan dua solusi.

Solusi 1

Gunakan akun mesin alih-alih akun layanan sebagai identitas untuk aplikasi yang akan melakukan delegasi terbatas untuk CIFS . Konfigurasikan delegasi terbatas saat tingkat fungsional domain adalah Windows Server 2003 , Windows Server 2008 , atau Windows Server 2008 R2.

Untuk melakukannya di pengontrol domain untuk domain server web Anda, lakukan hal berikut:

• Klik Start > Administrative Tools > Pengguna dan Komputer Direktori Aktif^{(Active Directory Users and Computers)} .
• Perluas^(Expand) domain, lalu luaskan folder Komputer .^(Computers)
• Di panel kanan, klik kanan nama komputer untuk server web, pilih Properti^(Properties) , lalu klik   tab Delegasi .^(Delegation)
• Pilih  kotak centang Percayai komputer ini untuk didelegasikan ke layanan tertentu saja^{(Trust this computer for delegation to specified services only)} .
• Pastikan  Gunakan Kerberos only^{(Use Kerberos only)}  dipilih, lalu klik  OK .
• Klik  tombol Tambah^{(Add button)} .
• Di   kotak dialog  Tambahkan ^(Add) Layanan , klik ^(Services)Pengguna atau Komputer^{(Users or Computers)} , lalu telusuri atau masukkan nama server file yang akan menerima kredensial pengguna dari IIS .
• Klik  Oke^(OK) .
• Dalam  daftar Layanan yang ^(Services)Tersedia^(Available)  , pilih  layanan CIFS .
• Klik  Oke^(OK) .

Solusi 2

Pemecahan masalah ini tidak disarankan^{(not recommended)} karena memerlukan  delegasi^(Use) protokol autentikasi apa pun di akun komputer. Jika opsi  Gunakan protokol otentikasi apa pun^{(Use any authentication protocol)}  dipilih, akun menggunakan delegasi terbatas dengan transisi protokol.

Jika Anda harus menggunakan identitas aplikasi sebagai akun layanan dan/atau akun domain, lakukan hal berikut:

Langkah 1^{(Step 1)}

• Klik Mulai^{(Start )} >  Administrative Tools > Pengguna dan Komputer Direktori Aktif^{(Active Directory Users and Computers)} .
• Perluas^(Expand) domain, lalu luaskan folder Komputer .^(Computers)
• Di panel kanan, klik kanan nama komputer untuk server web, pilih Properti^(Properties) , lalu klik   tab Delegasi .^(Delegation)
• Pilih  kotak centang Percayai komputer ini untuk didelegasikan ke layanan tertentu^{(Trust this computer for delegation to specified services)} saja.
• Pastikan  Gunakan protokol otentikasi apa pun^{(Use any authentication protocol)} dipilih.
• Klik Oke^(OK) .
• Klik  tombol Tambah^{(Add button)} .
• Di   kotak dialog  Tambahkan ^(Add) Layanan , klik ^(Services)Pengguna atau Komputer^{(Users or Computers)} , lalu telusuri atau masukkan nama server file yang akan menerima kredensial pengguna dari IIS .
• Klik  Oke^(OK) .
• Dalam  daftar Layanan yang ^(Services)Tersedia^(Available)  , pilih layanan CIFS^{(CIFS service)} .
• Klik  Oke^(OK) .

Langkah 2^{(Step 2)}

• Di panel kiri, perluas folder Pengguna.
• Di panel kanan, klik kanan akun layanan yang merupakan identitas kumpulan aplikasi, pilih  Properti^(Properties) , lalu klik   tab Delegasi .^(Delegation)
• Pilih  kotak centang Percayai komputer ini untuk didelegasikan ke layanan tertentu saja^{(Trust this computer for delegation to specified services only)} .
• Pastikan  Use Kerberos only dipilih.
• Klik Oke^(OK) .
• Klik  tombol Tambah^{(Add button)} .
• Di  kotak dialog  Tambahkan ^(Add) Layanan , klik ^(Services)Pengguna atau Komputer^{(Users or Computers)} , lalu telusuri atau masukkan nama server file yang akan menerima kredensial pengguna dari IIS .
• Klik  Oke^(OK) .
• Dalam  daftar Layanan yang ^(Services)Tersedia^(Available)  , pilih layanan CIFS^{(CIFS service)} .
• Klik  Oke^(OK) .

Semoga postingan ini membantu.^{(Hope this post helps.)}

ACCESS DENIED - Constrained delegation for CIFS fails

While accessing a service that uses network shareѕ on a middle-tier server, users are prompted for credentials, and they eventually encounter an access denied error. In today’s post, we will present a couple of case scenarios, identify the cause аnd then provide the possible workarounds to the issue of why constraіned delegatіon for CІFS fails with ACCESS_DENIED error in Windows 10.

Common Internet File System (CIFS) is a file-sharing protocol that provides an open and cross-platform mechanism for requesting network server files and services. CIFS is based on the enhanced version of Microsoft’s Server Message Block (SMB) protocol for Internet and intranet file sharing.

Constrained delegation for CIFS fails in Windows

You may encounter this issue if the user is prompted for credentials, and access eventually fails with an access denied error based on the following three scenarios.

Scenario 1

• The IIS website is set up with the home directory pointing to the remote share using pass-through authentication and constrained delegation configured for CIFS.
• The IIS application pool accessing that share is running under the identity of the service account.
• The domain account is trusted for delegation for the CIFS service on the file server.

Scenario 2

• The web app is trying to access a file server as a user.
• The IIS application pool that accesses that share is running under the identity of the service account. The domain account is trusted for delegation for the CIFS service on the file server.
• Constrained delegation configured for CIFS is configured on the service account for the file server.

Scenario 3

• Any server-side application that’s being accessed from a client is accessing remote shares as a user.
• The server-side application is running under the context of a service account.
• The Service account is trusted for delegation and configured for CIFS delegation for the file server.

This has been identified as a problem between MrxSmb 2.0 and Kerberos when constrained delegation is involved.

To resolve this issue, Microsoft offers two workarounds.

Workaround 1

Use a machine account instead of a service account as the identity for applications that will be performing constrained delegation for CIFS. Configure constrained delegation when the domain functional level is Windows Server 2003, Windows Server 2008, or Windows Server 2008 R2.

To do this on the domain controller for your web servers domain, do the following:

• Click Start > Administrative Tools > Active Directory Users and Computers.
• Expand domain, and then expand the Computers folder.
• In the right pane, right-click the computer name for the webserver, select Properties, and then click the Delegation tab.
• Select the Trust this computer for delegation to specified services only checkbox.
• Make sure that Use Kerberos only is selected, and then click OK.
• Click the Add button.
• In the Add Services dialog box, click Users or Computers, and then browse to or enter the name of the file server that will receive the user’s credentials from IIS.
• Click OK.
• In the Available Services list, select the CIFS service.
• Click OK.

Workaround 2

This workaround is not recommended because it requires Use any authentication protocol delegation on the computer account. If the Use any authentication protocol option is selected, the account is using constrained delegation with protocol transition.

If you must use the identity of applications as a service account and/or domain account, then do the following:

Step 1

• Click Start > Administrative Tools > Active Directory Users and Computers.
• Expand domain, and then expand the Computers folder.
• In the right pane, right-click the computer name for the webserver, select Properties, and then click the Delegation tab.
• Select the Trust this computer for delegation to specified services only checkbox.
• Make sure that Use any authentication protocol is selected.
• Click OK.
• Click the Add button.
• In the Add Services dialog box, click Users or Computers, and then browse to or enter the name of the file server that will receive the user’s credentials from IIS.
• Click OK.
• In the Available Services list, select the CIFS service.
• Click OK.

Step 2

• In the left pane, expand the Users folder.
• In the right pane, right-click the service account that’s the identity of the application pool, select Properties, and then click the Delegation tab.
• Select the Trust this computer for delegation to specified services only checkbox.
• Make sure that Use Kerberos only is selected.
• Click OK.
• Click the Add button.
• In the Add Services dialog box, click Users or Computers, and then browse to or enter the name of the file server that will receive the user’s credentials from IIS.
• Click OK.
• In the Available Services list, select the CIFS service.
• Click OK.

Hope this post helps.

Related posts

• Fix Error 1005 Access Denied message saat mengunjungi situs web

• DHCP Client Service memberikan Access Denied error di Windows 11/10

• Cara Menyesuaikan Pesan Access Denied error pada Windows 10

• Access Denied, Anda tidak memiliki izin untuk mengakses di server ini

• Fix Access Control Entry adalah kesalahan korup di Windows 10

• Install Realtek HD Audio Driver Failure, Error OxC0000374 pada Windows 10

• Fix Microsoft Store Masuk error 0x801901f4 pada Windows 11/10

• Error 1327 Invalid Drive Saat menginstal atau menghapus program

• Buka Notepad sebagai Admin untuk Menghindari “Access is Denied”

• System error 6118, daftar server untuk workgroup ini tidak tersedia

• Perbaiki arsip dalam format yang tidak diketahui atau kesalahan yang rusak

• Setup tidak dapat membuat system partition error baru pada Windows 10

• Kesalahan Event ID 158 - Disk identik GUIDs assignment di Windows 10

• Fix Logitech Setpoint Runtime error pada Windows 10

• Remove Access Denied error Saat mengakses file atau folder di Windows

• Tidak dapat mengatur Owner baru pada OS, Access ditolak pada Windows 10

• MBR2GPT Gagal Mengaktifkan Privilege Backup / Restore pada Windows 10

• Cara untuk memperbaiki Disk Signature Collision problem di Windows 10

• Fix Bdeunlock.exe Bad image, System Error atau Tidak menanggapi kesalahan

• Windows tidak dapat memverifikasi tanda tangan digital (Code 52)