मध्य-स्तरीय सर्वर पर नेटवर्क शेयरों का उपयोग करने वाली सेवा तक पहुँचने के दौरान, उपयोगकर्ताओं को क्रेडेंशियल के लिए संकेत दिया जाता है, और वे अंततः एक एक्सेस अस्वीकृत त्रुटि का सामना करते हैं। आज की पोस्ट में, हम कुछ केस परिदृश्य प्रस्तुत करेंगे, कारण की पहचान करेंगे और फिर इस मुद्दे पर संभावित समाधान प्रदान करेंगे कि CIFS के लिए विवश प्रतिनिधिमंडल विंडोज 10 में ^(CIFS)ACCESS_DENIED त्रुटि के साथ क्यों विफल हो जाता है ।

कॉमन इंटरनेट फाइल सिस्टम (सीआईएफएस)^{(Common Internet File System (CIFS))} एक फाइल-शेयरिंग प्रोटोकॉल है जो नेटवर्क सर्वर फाइलों और सेवाओं के अनुरोध के लिए एक खुला और क्रॉस-प्लेटफॉर्म तंत्र प्रदान करता है। सीआईएफएस ^(CIFS)इंटरनेट^(Internet) और इंट्रानेट फाइल शेयरिंग के लिए माइक्रोसॉफ्ट के सर्वर मैसेज ब्लॉक (एसएमबी) प्रोटोकॉल  के उन्नत संस्करण पर आधारित है ।

विंडोज़ में ^(Windows)सीआईएफएस^(CIFS) के लिए विवश प्रतिनिधिमंडल विफल रहता है

यदि उपयोगकर्ता को क्रेडेंशियल्स के लिए संकेत दिया जाता है, तो आप इस समस्या का सामना कर सकते हैं, और एक्सेस अंततः विफल हो जाता है, जिसमें निम्नलिखित तीन परिदृश्यों के आधार पर एक्सेस अस्वीकृत त्रुटि होती है।

दृष्टांत 1^{(Scenario 1)}

• IIS वेबसाइट को होम डायरेक्टरी के साथ स्थापित किया गया है, जो पास-थ्रू प्रमाणीकरण और CIFS के लिए कॉन्फ़िगर किए गए विवश प्रतिनिधिमंडल का उपयोग करके दूरस्थ शेयर की ओर इशारा करती है ।
• उस शेयर तक पहुँचने वाला IIS एप्लिकेशन पूल सेवा खाते की पहचान के तहत चल रहा है।
• डोमेन खाता फ़ाइल सर्वर पर सीआईएफएस^(CIFS) सेवा के प्रतिनिधिमंडल के लिए विश्वसनीय है ।

परिदृश्य 2^{(Scenario 2)}

• वेब ऐप उपयोगकर्ता के रूप में फ़ाइल सर्वर तक पहुंचने का प्रयास कर रहा है।
• IIS अनुप्रयोग पूल जो उस शेयर तक पहुँचता है, सेवा खाते की पहचान के अंतर्गत चल रहा है। डोमेन खाता फ़ाइल सर्वर पर सीआईएफएस^(CIFS) सेवा के प्रतिनिधिमंडल के लिए विश्वसनीय है ।
• सीआईएफएस^(CIFS) के लिए कॉन्फ़िगर किया गया प्रतिबंधित प्रतिनिधिमंडल फ़ाइल सर्वर के लिए सेवा खाते पर कॉन्फ़िगर किया गया है।

परिदृश्य 3^{(Scenario 3)}

• क्लाइंट से एक्सेस किया जा रहा कोई भी सर्वर-साइड एप्लिकेशन उपयोगकर्ता के रूप में दूरस्थ शेयरों तक पहुंच रहा है।
• सर्वर-साइड एप्लिकेशन सेवा खाते के संदर्भ में चल रहा है।
• सेवा^(Service) खाता प्रतिनिधिमंडल के लिए विश्वसनीय है और फ़ाइल सर्वर के लिए सीआईएफएस प्रतिनिधिमंडल के लिए कॉन्फ़िगर किया गया है ।^(CIFS)

इसे MrxSmb 2.0 और Kerberos के बीच एक समस्या के रूप में पहचाना गया है जब विवश प्रतिनिधिमंडल शामिल है।

इस समस्या को हल करने के लिए, Microsoft दो समाधान प्रस्तुत करता है।

समाधान 1

सेवा खाते के बजाय मशीन खाते का उपयोग उन अनुप्रयोगों के लिए पहचान के रूप में करें जो सीआईएफएस^(CIFS) के लिए विवश प्रतिनिधिमंडल का प्रदर्शन करेंगे । जब डोमेन कार्यात्मक स्तर Windows Server 2003^{(Windows Server 2003)} , Windows Server 2008 , या Windows Server 2008 R2 हो, तो बाधित डेलिगेशन कॉन्फ़िगर करें ।

अपने वेब सर्वर डोमेन के डोमेन नियंत्रक पर ऐसा करने के लिए, निम्न कार्य करें:

• Start > Administrative Tools > सक्रिय निर्देशिका उपयोगकर्ता और कंप्यूटर^{(Active Directory Users and Computers)} पर क्लिक करें ।
• ^(Expand)डोमेन का विस्तार करें, और उसके बाद कंप्यूटर फ़ोल्डर^(Computers) का विस्तार करें।
• दाएँ फलक में, वेबसर्वर के लिए कंप्यूटर नाम पर राइट-क्लिक करें, गुण^(Properties) चुनें , और फिर  डेलिगेशन^(Delegation)  टैब पर क्लिक करें।
• केवल निर्दिष्ट सेवाओं के प्रत्यायोजन के लिए इस कंप्यूटर^{(Trust this computer for delegation to specified services only)} पर विश्वास करें  चेकबॉक्स चुनें।
• सुनिश्चित करें कि  केवल केर्बेरोस का उपयोग करें^{(Use Kerberos only)}  चयनित है, और फिर ठीक क्लिक  करें^(OK) ।
• जोड़ें बटन^{(Add button)} पर क्लिक  करें ।
• सेवाएँ ^(Services)जोड़ें^(Add)  संवाद बॉक्स में, उपयोगकर्ता या कंप्यूटर क्लिक करें  ,  और फिर उस फ़ाइल सर्वर पर ब्राउज़ करें या उसका नाम दर्ज करें जो ^{(Users or Computers)}IIS से उपयोगकर्ता के क्रेडेंशियल प्राप्त करेगा ।
• ठीक^(OK) क्लिक करें  ।
• उपलब्ध ^(Available) सेवाओं^(Services)  की सूची में,  सीआईएफएस  सेवा^(CIFS) का चयन करें।
• ठीक^(OK) क्लिक करें  ।

समाधान 2

इस समाधान की अनुशंसा नहीं की जाती^{(not recommended)} है क्योंकि इसके  लिए कंप्यूटर खाते पर किसी प्रमाणीकरण प्रोटोकॉल डेलिगेशन का उपयोग करने की आवश्यकता होती है। ^(Use)यदि  किसी प्रमाणीकरण प्रोटोकॉल का उपयोग करें^{(Use any authentication protocol)}  विकल्प चयनित है, तो खाता प्रोटोकॉल ट्रांज़िशन के साथ सीमित डेलिगेशन का उपयोग कर रहा है।

यदि आपको सेवा खाते और/या डोमेन खाते के रूप में एप्लिकेशन की पहचान का उपयोग करना चाहिए, तो निम्न कार्य करें:

स्टेप 1^{(Step 1)}

• प्रारंभ^{(Start )} >  Administrative Tools > सक्रिय निर्देशिका उपयोगकर्ता और कंप्यूटर^{(Active Directory Users and Computers)} पर क्लिक करें ।
• ^(Expand)डोमेन का विस्तार करें, और उसके बाद कंप्यूटर फ़ोल्डर^(Computers) का विस्तार करें।
• दाएँ फलक में, वेबसर्वर के लिए कंप्यूटर नाम पर राइट-क्लिक करें, गुण^(Properties) चुनें , और फिर  डेलिगेशन^(Delegation)  टैब पर क्लिक करें।
• केवल निर्दिष्ट सेवाओं के लिए डेलिगेशन के लिए इस कंप्यूटर पर विश्वास^{(Trust this computer for delegation to specified services)} करें चेकबॉक्स का चयन करें  ।
• सुनिश्चित करें कि  किसी भी प्रमाणीकरण प्रोटोकॉल^{(Use any authentication protocol)} का उपयोग करें चयनित है।
• ठीक^(OK) क्लिक करें ।
• जोड़ें बटन^{(Add button)} पर क्लिक  करें ।
• सेवाएँ ^(Services)जोड़ें^(Add)  संवाद बॉक्स में, उपयोगकर्ता या कंप्यूटर क्लिक करें  ,  और फिर उस फ़ाइल सर्वर पर ब्राउज़ करें या उसका नाम दर्ज करें जो ^{(Users or Computers)}IIS से उपयोगकर्ता के क्रेडेंशियल प्राप्त करेगा ।
• ठीक^(OK) क्लिक करें  ।
• उपलब्ध ^(Available) सेवाओं^(Services)  की सूची में, सीआईएफएस  सेवा^{(CIFS service)} का चयन करें ।
• ठीक^(OK) क्लिक करें  ।

चरण 2^{(Step 2)}

• बाएँ फलक में, उपयोगकर्ता फ़ोल्डर का विस्तार करें।
• दाएँ फलक में, सेवा खाते पर राइट-क्लिक करें जो कि अनुप्रयोग पूल की पहचान है,  गुण^(Properties) चुनें , और फिर  डेलिगेशन^(Delegation)  टैब पर क्लिक करें।
• केवल निर्दिष्ट सेवाओं के प्रत्यायोजन के लिए इस कंप्यूटर^{(Trust this computer for delegation to specified services only)} पर विश्वास करें  चेकबॉक्स चुनें।
• सुनिश्चित करें कि  केवल Kerberos का उपयोग करें^{(Use Kerberos only)} चयनित है।
• ठीक^(OK) क्लिक करें ।
• जोड़ें बटन^{(Add button)} पर क्लिक  करें ।
• सेवाएँ ^(Services)जोड़ें^(Add)  संवाद बॉक्स में, उपयोगकर्ता या कंप्यूटर क्लिक करें  , और फिर उस फ़ाइल सर्वर पर ब्राउज़ करें या उसका नाम दर्ज करें जो ^{(Users or Computers)}IIS से उपयोगकर्ता के क्रेडेंशियल प्राप्त करेगा ।
• ठीक^(OK) क्लिक करें  ।
• उपलब्ध ^(Available) सेवाओं^(Services)  की सूची में, सीआईएफएस  सेवा^{(CIFS service)} का चयन करें ।
• ठीक^(OK) क्लिक करें  ।

आशा है कि यह पोस्ट मदद करता है।^{(Hope this post helps.)}

ACCESS DENIED - Constrained delegation for CIFS fails

While accessing a ѕervice that uses network shares on a middle-tier servеr, usеrs are prompted for credentials, and thеy eventually encounter an access dеnied error. Іn tоday’s poѕt, we will present a couple оf case scenariоs, identify the cause and then provide the possible workarounds to the іѕsue of why constrained delegation for CIFS fails with ACCESS_DENIED error in Windows 10.

Common Internet File System (CIFS) is a file-sharing protocol that provides an open and cross-platform mechanism for requesting network server files and services. CIFS is based on the enhanced version of Microsoft’s Server Message Block (SMB) protocol for Internet and intranet file sharing.

Constrained delegation for CIFS fails in Windows

You may encounter this issue if the user is prompted for credentials, and access eventually fails with an access denied error based on the following three scenarios.

Scenario 1

• The IIS website is set up with the home directory pointing to the remote share using pass-through authentication and constrained delegation configured for CIFS.
• The IIS application pool accessing that share is running under the identity of the service account.
• The domain account is trusted for delegation for the CIFS service on the file server.

Scenario 2

• The web app is trying to access a file server as a user.
• The IIS application pool that accesses that share is running under the identity of the service account. The domain account is trusted for delegation for the CIFS service on the file server.
• Constrained delegation configured for CIFS is configured on the service account for the file server.

Scenario 3

• Any server-side application that’s being accessed from a client is accessing remote shares as a user.
• The server-side application is running under the context of a service account.
• The Service account is trusted for delegation and configured for CIFS delegation for the file server.

This has been identified as a problem between MrxSmb 2.0 and Kerberos when constrained delegation is involved.

To resolve this issue, Microsoft offers two workarounds.

Workaround 1

Use a machine account instead of a service account as the identity for applications that will be performing constrained delegation for CIFS. Configure constrained delegation when the domain functional level is Windows Server 2003, Windows Server 2008, or Windows Server 2008 R2.

To do this on the domain controller for your web servers domain, do the following:

• Click Start > Administrative Tools > Active Directory Users and Computers.
• Expand domain, and then expand the Computers folder.
• In the right pane, right-click the computer name for the webserver, select Properties, and then click the Delegation tab.
• Select the Trust this computer for delegation to specified services only checkbox.
• Make sure that Use Kerberos only is selected, and then click OK.
• Click the Add button.
• In the Add Services dialog box, click Users or Computers, and then browse to or enter the name of the file server that will receive the user’s credentials from IIS.
• Click OK.
• In the Available Services list, select the CIFS service.
• Click OK.

Workaround 2

This workaround is not recommended because it requires Use any authentication protocol delegation on the computer account. If the Use any authentication protocol option is selected, the account is using constrained delegation with protocol transition.

If you must use the identity of applications as a service account and/or domain account, then do the following:

Step 1

• Click Start > Administrative Tools > Active Directory Users and Computers.
• Expand domain, and then expand the Computers folder.
• In the right pane, right-click the computer name for the webserver, select Properties, and then click the Delegation tab.
• Select the Trust this computer for delegation to specified services only checkbox.
• Make sure that Use any authentication protocol is selected.
• Click OK.
• Click the Add button.
• In the Add Services dialog box, click Users or Computers, and then browse to or enter the name of the file server that will receive the user’s credentials from IIS.
• Click OK.
• In the Available Services list, select the CIFS service.
• Click OK.

Step 2

• In the left pane, expand the Users folder.
• In the right pane, right-click the service account that’s the identity of the application pool, select Properties, and then click the Delegation tab.
• Select the Trust this computer for delegation to specified services only checkbox.
• Make sure that Use Kerberos only is selected.
• Click OK.
• Click the Add button.
• In the Add Services dialog box, click Users or Computers, and then browse to or enter the name of the file server that will receive the user’s credentials from IIS.
• Click OK.
• In the Available Services list, select the CIFS service.
• Click OK.

Hope this post helps.

Related posts

• फिक्स एरर 1005 वेबसाइटों पर जाने के दौरान एक्सेस अस्वीकृत संदेश

• डीएचसीपी क्लाइंट सर्विस विंडोज 11/10 में एक्सेस अस्वीकृत त्रुटि देता है

• विंडोज 10 पर एक्सेस अस्वीकृत त्रुटि संदेश को कैसे अनुकूलित करें

• एक्सेस अस्वीकृत, आपको इस सर्वर पर एक्सेस करने की अनुमति नहीं है

• फिक्स एक्सेस कंट्रोल एंट्री विंडोज 10 में भ्रष्ट त्रुटि है

• 2738 त्रुटि, कस्टम कार्रवाई के लिए VBScript रनटाइम तक नहीं पहुंच सका

• विंडोज 10 पर लॉजिटेक सेटपॉइंट रनटाइम त्रुटि को ठीक करें

• SFC मरम्मत में विफल और DISM विंडोज 10 में त्रुटि 0x800f081f दिखाता है

• विंडोज 10 पर स्टब को एक खराब डेटा त्रुटि संदेश प्राप्त हुआ

• Bdeunlock.exe खराब छवि, सिस्टम त्रुटि या प्रतिसाद न देने वाली त्रुटियों को ठीक करें

• इवेंट आईडी 158 त्रुटि - विंडोज 10 में समान डिस्क GUIDs असाइनमेंट

• उफ़! हम उसे सहेज नहीं सके - Windows Photos App

• Windows सेवा प्रारंभ नहीं कर सका, त्रुटि 0x80070005, प्रवेश निषेध है

• सेटअप विंडोज 10 पर एक नया सिस्टम पार्टीशन एरर बनाने में असमर्थ था

• विंडोज में फाइल या फोल्डर को एक्सेस करते समय एक्सेस अस्वीकृत त्रुटि को हटा दें

• कुछ गलत हुआ, एंटी-वायरस सॉफ़्टवेयर बंद करें, 0x8007045d

• कैसे ठीक करें uTorrent एक्सेस अस्वीकृत है (डिस्क पर लिखें)

• ड्राइवर ने DeviceVBoxNetLwf पर एक आंतरिक ड्राइवर त्रुटि का पता लगाया

• Windows 11/10 में ShellExecuteEx विफल त्रुटि को ठीक करें

• IPersistFile सहेजें विफल, कोड 0x80070005, प्रवेश निषेध है