중간 계층 서버에서 네트워크 공유를 사용하는 서비스에 액세스하는 동안 사용자에게 자격 증명을 묻는 메시지가 표시되고 결국 액세스 거부 오류가 발생합니다. 오늘의 게시물에서는 몇 가지 사례 시나리오를 제시하고 원인을 확인한 다음 Windows 10에서 CIFS 에 대한 제한 위임이 실패하고 ACCESS_DENIED 오류가 발생하는 문제에 대한 가능한 해결 방법을 제공합니다.^{(ACCESS_DENIED)}

CIFS(Common Internet File System)^{(Common Internet File System (CIFS))} 는 네트워크 서버 파일 및 서비스를 요청하기 위한 개방형 교차 플랫폼 메커니즘을 제공하는 파일 공유 프로토콜입니다. CIFS 는 ^(CIFS)인터넷^(Internet) 및 인트라넷 파일 공유 를 위한 Microsoft SMB(Server Message Block) 프로토콜  의 향상된 버전을 기반으로 합니다 .

Windows 에서 ^(Windows)CIFS 에 대한 제한된 위임이 실패 함

사용자에게 자격 증명을 묻는 메시지가 표시되고 다음 세 가지 시나리오에 따라 액세스 거부 오류와 함께 결국 액세스가 실패하는 경우 이 문제가 발생할 수 있습니다.

시나리오 1^{(Scenario 1)}

• IIS 웹 사이트 는 통과 인증 및 CIFS 용으로 구성된 제한된 위임을 사용하여 원격 공유를 가리키는 홈 디렉토리로 설정됩니다 .
• 해당 공유에 액세스하는 IIS 응용 프로그램 풀은 서비스 계정의 ID로 실행됩니다.
• 도메인 계정은 파일 서버 의 CIFS 서비스에 대한 위임을 위해 신뢰할 수 있습니다.

시나리오 2^{(Scenario 2)}

• 웹 앱이 사용자로 파일 서버에 액세스하려고 합니다.
• 해당 공유에 액세스하는 IIS 응용 프로그램 풀은 서비스 계정의 ID로 실행됩니다. 도메인 계정은 파일 서버 의 CIFS 서비스에 대한 위임을 위해 신뢰할 수 있습니다.
• CIFS 에 대해 구성된 제한된 위임 은 파일 서버의 서비스 계정에 구성됩니다.

시나리오 3^{(Scenario 3)}

• 클라이언트에서 액세스하는 모든 서버 측 응용 프로그램은 사용자로 원격 공유에 액세스합니다.
• 서버 측 애플리케이션이 서비스 계정 컨텍스트에서 실행 중입니다.
• 서비스^(Service) 계정은 위 임용으로 신뢰되며 파일 서버에 대한 CIFS 위임용으로 구성됩니다.^(CIFS)

이는 제한된 위임이 포함될 때 MrxSmb 2.0 과 Kerberos 간의 문제로 확인되었습니다 .

이 문제를 해결하기 위해 Microsoft 는 두 가지 해결 방법을 제공합니다.

해결 방법 1

CIFS 에 대한 제한된 위임을 수행할 응용 프로그램의 ID로 서비스 계정 대신 시스템 계정을 사용합니다 . 도메인 기능 수준이 Windows Server 2003 , Windows Server 2008 또는 Windows Server 2008 R2인 경우 제한 위임을 구성합니다.

웹 서버 도메인의 도메인 컨트롤러에서 이 작업을 수행하려면 다음을 수행합니다.

• Start > Administrative Tools > Active Directory 사용자 및 컴퓨터를^{(Active Directory Users and Computers)} 클릭 합니다 .
• ^(Expand)도메인을 확장한 다음 컴퓨터 폴더^(Computers) 를 확장합니다.
• 오른쪽 창에서 웹 서버의 컴퓨터 이름을 마우스 오른쪽 버튼으로 클릭하고 속성 을 선택한 다음 ^(Properties)위임^(Delegation)  탭 을 클릭합니다  .
• 지정된 서비스에 대한 위임을 위해 이 컴퓨터만 신뢰^{(Trust this computer for delegation to specified services only)} 확인란 을 선택  합니다.
• Kerberos만 사용^{(Use Kerberos only)}  이 선택되어  있는지 확인한  다음 확인 을 클릭 합니다^(OK) .
• 추가 버튼을^{(Add button)} 클릭  합니다 .
• 서비스 ^(Services)추가^(Add)  대화 상자에서 사용자 또는 컴퓨터 를 클릭  한  다음 ^{(Users or Computers)}IIS 에서 사용자의 자격 증명을 받을 파일 서버의 이름을 찾거나 입력합니다 .
• 확인^(OK) 을 클릭  합니다.
• 사용 가능한 ^(Available) 서비스^(Services)  목록에서  CIFS  서비스^(CIFS) 를 선택합니다 .
• 확인^(OK) 을 클릭  합니다.

해결 방법 2

이 해결 방법은 컴퓨터 계정에 대한 모든 인증 프로토콜 위임 사용^(Use) 이 필요하기 때문에  권장되지 않습니다 . ^{(not recommended)}모든 인증 프로토콜 사용^{(Use any authentication protocol)}  옵션을 선택한 경우 계정은 프로토콜 전환과 함께 제한된 위임을 사용하고 있습니다 . 

응용 프로그램의 ID를 서비스 계정 및/또는 도메인 계정으로 사용해야 하는 경우 다음을 수행합니다.

1 단계^{(Step 1)}

• 시작^{(Start )} >  Administrative Tools > Active Directory 사용자 및 컴퓨터를^{(Active Directory Users and Computers)} 클릭 합니다 .
• ^(Expand)도메인을 확장한 다음 컴퓨터 폴더^(Computers) 를 확장합니다.
• 오른쪽 창에서 웹 서버의 컴퓨터 이름을 마우스 오른쪽 버튼으로 클릭하고 속성 을 선택한 다음 ^(Properties)위임^(Delegation)  탭 을 클릭합니다  .
• 지정된 서비스에 대한 위임을 위해 이 컴퓨터^{(Trust this computer for delegation to specified services)} 만 신뢰 확인란 을 선택  합니다.
• 모든 인증 프로토콜 사용^{(Use any authentication protocol)} 이 선택 되어 있는지 확인합니다  .
• 확인^(OK) 을 클릭 합니다.
• 추가 버튼을^{(Add button)} 클릭  합니다 .
• 서비스 ^(Services)추가^(Add)  대화 상자에서 사용자 또는 컴퓨터 를 클릭  한  다음 ^{(Users or Computers)}IIS 에서 사용자의 자격 증명을 받을 파일 서버의 이름을 찾거나 입력합니다 .
• 확인^(OK) 을 클릭  합니다.
• 사용 가능한 ^(Available) 서비스^(Services)  목록에서 CIFS  서비스^{(CIFS service)} 를 선택합니다 .
• 확인^(OK) 을 클릭  합니다.

2 단계^{(Step 2)}

• 왼쪽 창에서 사용자 폴더를 확장합니다.
• 오른쪽 창에서 응용 프로그램 풀의 ID인 서비스 계정을 마우스 오른쪽 단추로 클릭하고  속성 을 선택한 다음 ^(Properties)위임^(Delegation)  탭 을 클릭합니다  .
• 지정된 서비스에 대한 위임을 위해 이 컴퓨터만 신뢰^{(Trust this computer for delegation to specified services only)} 확인란 을 선택  합니다.
• Kerberos만 사용^{(Use Kerberos only)} 이 선택 되어 있는지 확인합니다  .
• 확인^(OK) 을 클릭 합니다.
• 추가 버튼을^{(Add button)} 클릭  합니다 .
• 서비스 ^(Services)추가^(Add)  대화 상자에서 사용자 또는 컴퓨터 를 클릭  한 다음 ^{(Users or Computers)}IIS 에서 사용자의 자격 증명을 받을 파일 서버의 이름을 찾거나 입력합니다 .
• 확인^(OK) 을 클릭  합니다.
• 사용 가능한 ^(Available) 서비스^(Services)  목록에서 CIFS  서비스^{(CIFS service)} 를 선택합니다 .
• 확인^(OK) 을 클릭  합니다.

이 게시물이 도움이 되기를 바랍니다.^{(Hope this post helps.)}

ACCESS DENIED - Constrained delegation for CIFS fails

While accessing a service that uses network shares on a middle-tier server, users are prompted fоr credentials, аnd they eventually encounter an acсess denied error. In today’s post, we will present a couple of case scenarios, identify the causе and then prоνide the possible workarounds to the issue оf why constraіned delegation for CIFS fails with ACCESS_DENIED error in Windows 10.

Common Internet File System (CIFS) is a file-sharing protocol that provides an open and cross-platform mechanism for requesting network server files and services. CIFS is based on the enhanced version of Microsoft’s Server Message Block (SMB) protocol for Internet and intranet file sharing.

Constrained delegation for CIFS fails in Windows

You may encounter this issue if the user is prompted for credentials, and access eventually fails with an access denied error based on the following three scenarios.

Scenario 1

• The IIS website is set up with the home directory pointing to the remote share using pass-through authentication and constrained delegation configured for CIFS.
• The IIS application pool accessing that share is running under the identity of the service account.
• The domain account is trusted for delegation for the CIFS service on the file server.

Scenario 2

• The web app is trying to access a file server as a user.
• The IIS application pool that accesses that share is running under the identity of the service account. The domain account is trusted for delegation for the CIFS service on the file server.
• Constrained delegation configured for CIFS is configured on the service account for the file server.

Scenario 3

• Any server-side application that’s being accessed from a client is accessing remote shares as a user.
• The server-side application is running under the context of a service account.
• The Service account is trusted for delegation and configured for CIFS delegation for the file server.

This has been identified as a problem between MrxSmb 2.0 and Kerberos when constrained delegation is involved.

To resolve this issue, Microsoft offers two workarounds.

Workaround 1

Use a machine account instead of a service account as the identity for applications that will be performing constrained delegation for CIFS. Configure constrained delegation when the domain functional level is Windows Server 2003, Windows Server 2008, or Windows Server 2008 R2.

To do this on the domain controller for your web servers domain, do the following:

• Click Start > Administrative Tools > Active Directory Users and Computers.
• Expand domain, and then expand the Computers folder.
• In the right pane, right-click the computer name for the webserver, select Properties, and then click the Delegation tab.
• Select the Trust this computer for delegation to specified services only checkbox.
• Make sure that Use Kerberos only is selected, and then click OK.
• Click the Add button.
• In the Add Services dialog box, click Users or Computers, and then browse to or enter the name of the file server that will receive the user’s credentials from IIS.
• Click OK.
• In the Available Services list, select the CIFS service.
• Click OK.

Workaround 2

This workaround is not recommended because it requires Use any authentication protocol delegation on the computer account. If the Use any authentication protocol option is selected, the account is using constrained delegation with protocol transition.

If you must use the identity of applications as a service account and/or domain account, then do the following:

Step 1

• Click Start > Administrative Tools > Active Directory Users and Computers.
• Expand domain, and then expand the Computers folder.
• In the right pane, right-click the computer name for the webserver, select Properties, and then click the Delegation tab.
• Select the Trust this computer for delegation to specified services only checkbox.
• Make sure that Use any authentication protocol is selected.
• Click OK.
• Click the Add button.
• In the Add Services dialog box, click Users or Computers, and then browse to or enter the name of the file server that will receive the user’s credentials from IIS.
• Click OK.
• In the Available Services list, select the CIFS service.
• Click OK.

Step 2

• In the left pane, expand the Users folder.
• In the right pane, right-click the service account that’s the identity of the application pool, select Properties, and then click the Delegation tab.
• Select the Trust this computer for delegation to specified services only checkbox.
• Make sure that Use Kerberos only is selected.
• Click OK.
• Click the Add button.
• In the Add Services dialog box, click Users or Computers, and then browse to or enter the name of the file server that will receive the user’s credentials from IIS.
• Click OK.
• In the Available Services list, select the CIFS service.
• Click OK.

Hope this post helps.

Related posts

• Fix Error 1005 웹 사이트를 방문하는 동안 Access Denied message

• DHCP Client Service Windows 11/10에서 Access Denied error을 제공합니다

• Windows 10에서 Access Denied error 메시지를 사용자 정의하는 방법

• Access Denied,이 서버에 액세스 할 수있는 권한이 없습니다

• Fix Access Control Entry은 Windows 10에서 손상된 오류입니다

• 방법 Fix Google Drive Access Denied Error

• Fix Application Error 0xc0150004 on Windows 11/10

• Error 2738, Could custom action에 대한 VBScript runtime에 액세스하지 못한다

• 드라이버가 \ Device \ VboxNetlWF의 내부 driver error를 감지했습니다

• Fix Application Load Error 5:0000065434 Windows 10에서

• Error 1327 Invalid Drive 프로그램을 설치하거나 제거 할 때

• 스텁은 윈도우 10에 나쁜 data error message을 받았다

• Fix Bdeunlock.exe Bad image, System Error 또는 응답하지 않음

• OS에 새로운 Owner을 설정할 수 없습니다, Access는 윈도우 10에서 거부

• Windows 10에서 Access Denied Restricted Folder 방법

• "액세스가 거부되었습니다"를 방지하기 위해 관리자로 메모장을 엽니다.

• 응용 프로그램은 Scanner - WIA_ERROR_OFFLINE, 0x80210005를 찾을 수 없습니다

• Parity Storage 공간으로 인해이 PC를 Windows 10로 업그레이드 할 수 없습니다

• Fix Windows Installer Access Denied Error

• Windows 10에서 Disk Signature Collision problem을 수정하는 방법