Iniciar Sess�o

Select the product you need help with

Recebe uma mensagem de erro "Erro 401.1 de HTTP - N�o autorizado: Acesso negado devido a credenciais inv�lidas" quando tenta aceder a um Web site que faz parte do conjunto de aplica��es do IIS 6.0

Artigo: 871179 - Ver produtos para os quais este artigo se aplica.

Sintomas

Quando tenta aceder a um Web site do Microsoft IIS 6.0 (Servi�os de informa��o Internet - Internet Information Services) configurado para utilizar apenas a autentica��o integrada do Windows, �-lhe pedido para fornecer as credenciais de utilizador. Quando tenta iniciar sess�o, recebe novamente o pedido de in�cio de sess�o. Depois de tentar iniciar sess�o tr�s vezes, recebe a seguinte mensagem de erro:

Erro 401.1 de HTTP - N�o autorizado: Acesso negado devido a credenciais inv�lidas.

Voltar ao topo | Submeter coment�rios

Causa

Este comportamento poder� ocorrer caso se verifiquem as seguintes condi��es:

O Web site do IIS 6.0 faz parte de um conjunto de aplica��es do IIS.
O conjunto de aplica��es est� a ser executado numa conta local ou numa conta de utilizador do dom�nio.
O Web site est� configurado para utilizar apenas a autentica��o integrada do Windows.

Neste cen�rio, quando a autentica��o integrada do Windows tentar utilizar a autentica��o Kerberos, esta poder� n�o funcionar. Para utilizar a autentica��o Kerberos, � necess�rio que um servi�o registe o nome principal de servi�o (SPN, service principal name) na conta do servi�o de direct�rio do Active Directory em que o servi�o est� a ser executado. Por predefini��o, o Active Directory regista o nome do computador de NetBIOS (network basic input/output system). O Active Directory tamb�m permite que o servi�o de rede ou a conta de sistema local utilizem Kerberos.

Este artigo poder� conter hiperliga��es para conte�do em ingl�s (ainda n�o traduzido).

Voltar ao topo | Submeter coment�rios

Resolu��o

Se este comportamento ocorrer quando o conjunto de aplica��es estiver em execu��o numa conta local, siga os passos da sec��o "Como contornar".

Para resolver este comportamento quando o conjunto de aplica��es est� em execu��o numa conta de utilizador do dom�nio, configure um SPN de HTTP com o nome de NetBIOS e o nome de dom�nio totalmente qualificado (FQDN, fully qualified domain name) da conta de utilizador do dom�nio em que o conjunto de aplica��es est� a ser executado. Para o fazer, siga estes passos num controlador de dom�nio:

Importante: um SPN de um servi�o s� pode ser associado a uma conta. Por conseguinte, se utilizar a resolu��o sugerida, qualquer outro conjunto de aplica��es em execu��o numa conta de utilizador do dom�nio diferente n�o poder� ser utilizado apenas com a autentica��o integrada do Windows.

Instale a ferramenta Setspn.exe. Para obter a vers�o do Microsoft Windows 2000 da ferramenta, visite o seguinte Web site da Microsoft:
http://www.microsoft.com/downloads/details.aspx?FamilyID=5fd831fd-ab77-46a3-9cfe-ff01d29e5c46&displaylang=en
(http://www.microsoft.com/downloads/details.aspx?FamilyID=5fd831fd-ab77-46a3-9cfe-ff01d29e5c46&displaylang=en)
A vers�o do Microsoft Windows Server 2003 da ferramenta da linha de comandos Setspn.exe est� dispon�vel nas ferramentas de suporte do Windows Server 2003 inclu�das no CD do Windows Server 2003. Para instalar as ferramentas, fa�a duplo clique no ficheiro Suptools.msi na pasta Support/Tools.
Inicie uma linha de comandos e altere o direct�rio em que instalou o Setspn.exe.
Na linha de comandos, escreva os seguintes comandos. Prima ENTER ap�s cada comando:
setspn.exe -a http/Nome_NetBIOS_computador_IIS NomeDom�nio\NomeUtilizador

setspn.exe -a http/FQDN_computador_IIS NomeDom�nio\NomeUtilizador
Nota: NomeUtilizador � a conta de utilizador em que est� a ser executado o conjunto de aplica��es.

Depois de definir o SPN do servi�o HTTP na conta de utilizador do dom�nio em que est� a ser executado o conjunto de aplica��es, pode aceder com �xito ao Web site sem que sejam solicitadas as credenciais de utilizador.

Voltar ao topo | Submeter coment�rios

Como contornar

Para contornar este comportamento, caso tenha m�ltiplos conjuntos de aplica��es em execu��o em diferentes contas de dom�nio, ter� de for�ar o IIS a utilizar NTLM como o mecanismo de autentica��o se pretender utilizar apenas a autentica��o integrada do Windows. Para o fazer, siga estes passos no servidor com o IIS:

Inicie uma linha de comandos.
Localize a mude para o direct�rio que cont�m o ficheiro Adsutil.vbs. Por predefini��o, este direct�rio � C:\Inetpub\Adminscripts.
Escreva o seguinte comando e prima ENTER:
cscript adsutil.vbs set w3svc/NTAuthenticationProviders "NTLM"
Para verificar se a propriedade de metabase NtAuthenticationProviders est� definida como NTLM, escreva o seguinte comando e prima ENTER:
cscript adsutil.vbs get w3svc/NTAuthenticationProviders
Dever� ser devolvido o texto que se segue:
```
NTAuthenticationProviders       : (CADEIA DE CARACTERES) "NTLM"
```

Voltar ao topo | Submeter coment�rios

Ponto Da Situa��o

Este comportamento ocorre por predefini��o.

Voltar ao topo | Submeter coment�rios

Mais Informa��o

Se definir o SPN utilizando apenas o FQDN do servidor com o IIS, ser�o solicitadas as credenciais de utilizador ap�s 30 minutos. O tempo limite de 30 minutos ocorre devido � forma como o Internet Explorer coloca as informa��es do sistema de nomes do dom�nio (DNS, Domain Name System) em cache. Ap�s 30 minutos, o Internet Explorer reverte para o nome de NetBIOS. Por conseguinte, tem de certificar-se de que tamb�m regista o SPN utilizando o nome de NetBIOS do servidor com o IIS para evitar que sejam solicitadas as credenciais de utilizador. Para obter mais informa��es, clique no n�mero de artigo que se segue para visualizar o artigo na base de dados de conhecimento da Microsoft (KB, Microsoft Knowledge Base):

263558

(http://support.microsoft.com/kb/263558/ )

How Internet Explorer uses the cache for DNS host entries

Para verificar os SPNs registados da conta de utilizador em que est� a ser executado o conjunto de aplica��es, inicie uma linha de comandos, escreva o seguinte comando a partir do direct�rio em que Setspn.exe est� instalado e prima ENTER:

setspn.exe -l NomeUtilizador

� devolvida uma lista de SPNs registados da conta de utilizador.

Voltar ao topo | Submeter coment�rios

Refer�ncias

Para obter informa��es adicionais sobre como utilizar a autentica��o integrada do Windows com conjuntos de aplica��es do IIS, consulte a sec��o "Worker Process Identity Restrictions with Kerberos" do seguinte Web site da Microsoft:

http://www.microsoft.com/technet/prodtechnol/WindowsServer2003/Library/IIS/523ae943-5e6a-4200-9103-9808baa00157.mspx

(http://www.microsoft.com/technet/prodtechnol/WindowsServer2003/Library/IIS/523ae943-5e6a-4200-9103-9808baa00157.mspx)

Para obter informa��es adicionais sobre falhas de autentica��o ou falhas de controlo de acesso no IIS, pode transferir o Authentication and Access Control Diagnostics 1.0. O ficheiro que se segue est� dispon�vel para transfer�ncia a partir do centro de transfer�ncias da Microsoft:

http://www.microsoft.com/downloads/details.aspx?FamilyId=E90FE777-4A21-4066-BD22-B931F7572E9A&displaylang=en

(http://www.microsoft.com/downloads/details.aspx?FamilyId=E90FE777-4A21-4066-BD22-B931F7572E9A&displaylang=en)

Nota: a ferramenta AuthDiag foi concebida para o ajudar quando visualizar as seguintes mensagens de erro: