중간 계층 서버에서 네트워크 공유를 사용하는 서비스에 액세스하는 동안 사용자에게 자격 증명을 묻는 메시지가 표시되고 결국 액세스 거부 오류가 발생합니다. 오늘 게시물에서는 몇 가지 사례 시나리오를 제시하고 원인을 확인한 다음 CIFS에 대한 제한 위임이 ACCESS_DENIED로 실패하는 문제에 대한 가능한 해결 방법을 제공합니다. Windows 10에서 오류가 발생했습니다.
공통 인터넷 파일 시스템(CIFS) 네트워크 서버 파일 및 서비스를 요청하기 위한 개방형 교차 플랫폼 메커니즘을 제공하는 파일 공유 프로토콜입니다. CIFS 인터넷 및 인트라넷 파일 공유를 위한 Microsoft SMB(Server Message Block) 프로토콜의 향상된 버전을 기반으로 합니다.
Windows에서 CIFS에 대한 제한된 위임 실패
사용자에게 자격 증명을 묻는 메시지가 표시되고 다음 세 가지 시나리오에 따라 액세스 거부 오류와 함께 결국 액세스가 실패하는 경우 이 문제가 발생할 수 있습니다.
시나리오 1
- IIS 웹 사이트는 CIFS에 대해 구성된 통과 인증 및 제한된 위임을 사용하여 원격 공유를 가리키는 홈 디렉토리로 설정됩니다.
- 해당 공유에 액세스하는 IIS 응용 프로그램 풀은 서비스 계정의 ID로 실행됩니다.
- 도메인 계정은 파일 서버의 CIFS 서비스에 대한 위임을 위해 신뢰할 수 있습니다.
시나리오 2
- 웹 앱이 사용자로 파일 서버에 액세스하려고 합니다.
- 해당 공유에 액세스하는 IIS 응용 프로그램 풀은 서비스 계정의 ID로 실행됩니다. 도메인 계정은 파일 서버의 CIFS 서비스에 대한 위임을 위해 신뢰할 수 있습니다.
- CIFS에 대해 구성된 제한된 위임은 파일 서버의 서비스 계정에 구성됩니다.
시나리오 3
- 클라이언트에서 액세스하는 모든 서버측 애플리케이션은 사용자로 원격 공유에 액세스하고 있습니다.
- 서버 측 애플리케이션이 서비스 계정 컨텍스트에서 실행 중입니다.
- 서비스 계정은 위임용으로 신뢰할 수 있으며 파일 서버에 대한 CIFS 위임용으로 구성됩니다.
이는 제한된 위임이 포함될 때 MrxSmb 2.0과 Kerberos 간의 문제로 확인되었습니다.
이 문제를 해결하기 위해 Microsoft는 두 가지 해결 방법을 제공합니다.
해결 방법 1
CIFS에 대한 제한 위임을 수행할 애플리케이션의 ID로 서비스 계정 대신 시스템 계정을 사용합니다. 도메인 기능 수준이 Windows Server 2003, Windows Server 2008 또는 Windows Server 2008 R2인 경우 제한 위임을 구성합니다.
웹 서버 도메인의 도메인 컨트롤러에서 이 작업을 수행하려면 다음을 수행하십시오.
- 시작>을 클릭합니다. 관리 도구> Active Directory 사용자 및 컴퓨터 .
- 도메인을 확장한 다음 Computers 폴더를 확장합니다.
- 오른쪽 창에서 웹서버의 컴퓨터 이름을 마우스 오른쪽 버튼으로 클릭하고 속성을 선택합니다. 을 클릭한 다음 위임을 클릭합니다. 탭.
- 지정된 서비스에 대한 위임용으로만 이 컴퓨터를 신뢰를 선택합니다. 확인란.
- Kerberos만 사용 선택한 다음 확인을 클릭합니다. .
- 추가 버튼을 클릭합니다. .
- 서비스 추가 대화상자에서 사용자 또는 컴퓨터를 클릭합니다. 을 클릭한 다음 IIS에서 사용자의 자격 증명을 받을 파일 서버의 이름을 찾거나 입력합니다.
- 확인을 클릭합니다. .
- 사용 가능한 서비스 목록에서 CIFS 서비스를 선택합니다.
- 확인을 클릭합니다. .
해결 방법 2
이 해결 방법은 권장하지 않습니다. 컴퓨터 계정에서 모든 인증 프로토콜 위임을 사용해야 하기 때문입니다. 인증 프로토콜을 사용하는 경우 옵션이 선택되면 계정이 프로토콜 전환과 함께 제한된 위임을 사용하고 있습니다.
애플리케이션의 ID를 서비스 계정 및/또는 도메인 계정으로 사용해야 하는 경우 다음을 수행하십시오.
1단계
- 시작 을 클릭합니다.> 관리 도구> Active Directory 사용자 및 컴퓨터 .
- 도메인을 확장한 다음 Computers 폴더를 확장합니다.
- 오른쪽 창에서 웹서버의 컴퓨터 이름을 마우스 오른쪽 버튼으로 클릭하고 속성을 선택합니다. 을 클릭한 다음 위임을 클릭합니다. 탭.
- 지정된 서비스에 대한 위임을 위해 이 컴퓨터 신뢰를 선택합니다. 확인란만.
- 인증 프로토콜 사용 선택되었습니다.
- 확인을 클릭합니다. .
- 추가 버튼을 클릭합니다. .
- 서비스 추가 대화상자에서 사용자 또는 컴퓨터를 클릭합니다. 을 클릭한 다음 IIS에서 사용자 자격 증명을 수신할 파일 서버의 이름을 찾거나 입력합니다.
- 확인을 클릭합니다. .
- 사용 가능한 서비스 목록에서 CIFS 서비스를 선택합니다. .
- 확인을 클릭합니다. .
2단계
- 왼쪽 창에서 사용자 폴더를 확장합니다.
- 오른쪽 창에서 애플리케이션 풀의 ID인 서비스 계정을 마우스 오른쪽 버튼으로 클릭하고 속성을 선택합니다. 을 클릭한 다음 위임을 클릭합니다. 탭.
- 지정된 서비스에 대한 위임용으로만 이 컴퓨터를 신뢰를 선택합니다. 확인란.
- Kerberos만 사용 선택되었습니다.
- 확인을 클릭합니다. .
- 추가 버튼을 클릭합니다. .
- 서비스 추가 대화상자에서 사용자 또는 컴퓨터를 클릭합니다. 를 클릭한 다음 IIS에서 사용자의 자격 증명을 받을 파일 서버의 이름을 찾거나 입력합니다.
- 확인을 클릭합니다. .
- 사용 가능한 서비스 목록에서 CIFS 서비스를 선택합니다. .
- 확인을 클릭합니다. .
이 게시물이 도움이 되기를 바랍니다.