Resolução de problemas erros de HTTP 401 no IIS

Introdução

Olá. Meu nome estiver Lou Prete. Tenha sido ISS (Serviços de informação Internet Information Services) de suporte os últimos cinco anos e ter sido IIS conteúdo conduzir os anos de dois últimos.

HTTP 401 erros estão entre os erros mais comuns que poderá ter de enfrentar no IIS. Enquanto as causas para estes erros podem variar, as causas enquadram-se um número finito de categorias. Identificar correctamente a categoria da causa o erro HTTP 401 pode diminuir a quantidade de tempo necessário para identificar a causa do erro.

Uma excelente ferramenta para resolver estes problemas é a autenticação e diagnóstico de controlo de acesso ou AuthDiag. Pode transferir esta ferramenta a partir do seguinte Microsoft Download Center Web site:Esta ferramenta também faz parte o Toolkit de diagnóstico do IIS que pode transferir a partir do seguinte Microsoft Transferir Center Web site: Em quase todas as situações descritas nesta coluna, AuthDiag pode fornecer respostas rápidas para o erro HTTP 401 à mão.

Nesta coluna, irá destacar uma abordagem eficaz para identificar e corrigir os problemas comuns que conduzir a erros de HTTP 401. Também irá apontar um número de artigos da base de dados de conhecimento da Microsoft que serão úteis e várias ferramentas que irão ajudá-lo ao longo da forma.

Passos de resolução de problemas

Identificar o código de subestado do erro HTTP 401

Existem duas formas comuns de identificar o código de subestado:

• A partir do IIS 6.0, o código de subestado é registado nos registos de Web. Os registos Web estão localizados na seguinte localização:
  %SYSTEMROOT%\System32\LogFiles\W3SVC###\
  Nos registos Web, os últimos três números cada entrada representam o estado, o sub-estado e o estado de Win32.

  #Fields: date time s-sitename s-ip cs-method cs-uri-stem cs-uri-query s-port cs-username c-ip cs(User-Agent) sc-status sc-Sub-status sc-win32-status
  2006-03-06 20:37:42 W3SVC1 192.168.1.101 GET /default.aspx - 80 - 192.168.17.45 Mozilla/4.0+(compatible;+MSIE+6.0;+Windows+NT+5.1;+SV1;+.NET+CLR+1.1.4322;+.NET+CLR+2.0.50727;+InfoPath.1) 401 2 2148074254
  2006-03-06 20:37:42 W3SVC1 192.168.1.101 GET /default.aspx - 80 - 192.168.17.45 Mozilla/4.0+(compatible;+MSIE+6.0;+Windows+NT+5.1;+SV1;+.NET+CLR+1.1.4322;+.NET+CLR+2.0.50727;+InfoPath.1) 401 1 0
  2006-03-06 20:38:36 W3SVC1 192.168.1.101 GET /default.aspx - 80 DOMAIN\user 192.168.17.45 Mozilla/4.0+(compatible;+MSIE+6.0;+Windows+NT+5.1;+SV1;+.NET+CLR+1.1.4322;+.NET+CLR+2.0.50727;+InfoPath.1) 200 0 0

• Nas versões do IIS anteriores ao IIS 6.0, o código de subestado não é registado nos registos de Web. Nestes casos (ou em casos onde não tem acesso aos registos Web), pode utilizar as informações enviadas para o browser. No Microsoft Internet Explorer, terá de desactivar o Mostrar mensagens de erro de HTTP amigável definição. Com esta alteração, deverá ver uma página de erro semelhante à abaixo. Neste caso, a Microsoft tem um HTTP 401.2 erro e a página mesmo fornece uma breve descrição do que significa o erro:
  Não está autorizado a ver esta página
  
  Não tem permissão para visualizar este directório ou página utilizando as credenciais fornecidas porque o browser é enviar um campo de cabeçalho WWW-Authenticate que o servidor Web não está configurada para aceitar.
  
  Tente o seguinte:
  Contacte o administrador do Web site se for da opinião que deve ter permissão para visualizar este directório ou página.
  Clique no botão Actualizar para tentar novamente com credenciais diferentes.
  
  Erro de HTTP 401.2 - não autorizado: Acesso negado devido à configuração do servidor. Serviços de informação Internet (IIS)
  
  Técnicas Informações (para equipe de suporte)
  Ir para o suporte técnico da Microsoft serviços e efectuar uma procura por palavras HTTP e 401 título.
  Abra a ajuda do IIS, acessível no Gestor de IIS ' Serviços de informação Internet ' (IIS) (inetmgr) e procure tópicos com os títulos acerca da segurança, autenticação e acerca das mensagens de erro personalizadas.

Nota Também pode utilizar ferramentas, como WFetch e monitor de rede, para recolher os códigos de subestado. Para obter mais informações sobre estas ferramentas, clique números de artigo que se seguem para visualizar os artigos na base de dados de conhecimento da Microsoft:

Basear a resolução de problemas no código de subestado

Quando souber o código de subestado HTTP, focar problemas relacionados com esse subestado específico. Todos os outros podem ser ignorados.

HTTP 401.1: Negado por credenciais de utilizador inválidas

Descrição

IIS não conseguiu iniciar sessão um utilizador a executar o pedido. Todos os pedidos tem de estar associados a um utilizador, mesmo se o pedido for anónimo.

razões comuns

• O nome de utilizador incorrecto ou a palavra-passe é fornecido. Identificar o utilizador não conseguiu iniciar sessão e corrija o nome de utilizador ou palavra-passe.
• A autenticação Kerberos falhará. Para obter mais informações, clique no número de artigo que se segue para visualizar o artigo na Microsoft Knowledge Base:
  326985  (http://support.microsoft.com/kb/326985/ ) Como resolver problemas relacionados com Kerberos no IIS
  Outros artigos Kerberos úteis são:
  871179  (http://support.microsoft.com/kb/871179/ ) Recebe um "Erro de HTTP 401.1 - não autorizado: acesso negado devido a credenciais inválidas" mensagem de erro quando tenta aceder a um Web site que faz parte de um agrupamento de aplicações IIS 6.0
  Configurar identidade de agrupamento de aplicações com o IIS 6.0 (IIS 6.0)
  http://www.microsoft.com/technet/prodtechnol/WindowsServer2003/Library/IIS/f05a7c2b-36b0-4b6e-ac7c-662700081f25.mspx (http://www.microsoft.com/technet/prodtechnol/WindowsServer2003/Library/IIS/f05a7c2b-36b0-4b6e-ac7c-662700081f25.mspx)
  
  Autenticação integrada do Windows (IIS 6.0)
  http://www.microsoft.com/technet/prodtechnol/WindowsServer2003/Library/IIS/523ae943-5e6a-4200-9103-9808baa00157.mspx (http://www.microsoft.com/technet/prodtechnol/WindowsServer2003/Library/IIS/523ae943-5e6a-4200-9103-9808baa00157.mspx)
  
  Configurar a delegação restrição para Kerberos (IIS 6.0)
  http://www.microsoft.com/technet/prodtechnol/WindowsServer2003/Library/IIS/df979570-81f6-4586-83c6-676bb005b13e.mspx (http://www.microsoft.com/technet/prodtechnol/WindowsServer2003/Library/IIS/df979570-81f6-4586-83c6-676bb005b13e.mspx)
• A política local ou domínio ou a atribuição de direitos de utilizador impede o utilizador a aceder ao servidor. Se o servidor estiver configurado para falhas de início de sessão de auditoria, podem existir informações adicionais no registo de segurança. Consulte os seguintes artigos para os direitos de utilizador:
  812614  (http://support.microsoft.com/kb/812614/ ) Permissões e direitos de utilizador para o IIS 6.0 predefinidos
  271071  (http://support.microsoft.com/kb/271071/ ) Como definir necessárias permissões de NTFS e direitos de utilizador para um servidor Web do IIS 5.0
  832981  (http://support.microsoft.com/kb/832981/ ) Os utilizadores não consegue aceder Web sites, quando o registo de eventos de segurança estiver cheio
  300549  (http://support.microsoft.com/kb/300549/ ) Como activar e aplicar a auditoria de segurança no Windows 2000
• Este erro também poderá ocorrer quando o acesso anónimo está configurado. Isto pode ocorrer se o nome de utilizador ou a palavra-passe para a conta anónima que é armazenada na metabase do IIS difere as informações reais armazenadas na base de dados local do utilizador (ou serviço de directório Active Directory,) se for utilizada uma conta de domínio. Repor a palavra-passe para a conta e no IIS resolve este problema.
• Depois de actualizar um servidor com o IIS 5.0 para o IIS 6.0, o IIS está a ser executado em modo de compatibilidade IIS 5.0. Depois do servidor é comutado para o IIS 6.0 modo de isolamento, poderá ver erros de HTTP 401.1 em pedidos anónimos. Isto ocorre devido a sincronização de palavra-passe anónima do IIS 5.0. Para resolver este problema, defina a chave de metabase AnonymousPasswordSync como false e repor palavra-passe do utilizador anónimo para a conta e no IIS.
• Para obter mais informações sobre este erro, clique números de artigo que se seguem para visualizar os artigos na base de dados de conhecimento da Microsoft:
  896861  (http://support.microsoft.com/kb/896861/ ) Recebe o erro 401.1 quando navega num Web site que utiliza autenticação integrada e está hospedado no IIS 5.1 ou no IIS 6
  304201  (http://support.microsoft.com/kb/304201/ ) Não é possível acesso Web sites ou não é possível iniciar o IIS serviços executados em conta sistema local não e utilizar a autenticação do Windows com o IIS
  263140  (http://support.microsoft.com/kb/263140/ ) Falhas de autenticação anónima e Basic quando liga ao IIS 5.0 num controlador de domínio

HTTP 401.2: Negado pela configuração do servidor

Descrição

O browser cliente e o IIS não conseguiu de concordar num protocolo de autenticação.

razões comuns

• Nenhum protocolo de autenticação (incluindo anónimo) está seleccionado no IIS. Tem de ser seleccionado tipo de autenticação pelo menos um. Para obter mais informações, clique no número de artigo que se segue para visualizar o artigo na Microsoft Knowledge Base:
  253667  (http://support.microsoft.com/kb/253667/ ) Mensagem de erro: HTTP 401.2 - não autorizado: início de sessão falhou devido ao configuração do servidor com sem autenticação
• Apenas a autenticação integrada estiver activada e um mais antigo não-Internet Explorer browser cliente tenta aceder ao site. Isto acontece porque o browser cliente não consegue efectuar a autenticação integrada. Para resolver este problema, utilize um dos seguintes métodos:
  • Configure o IIS para aceitar a autenticação básica. Isto só deverá ocorrer através de SSL por motivos de segurança.
  • Utilize um browser cliente que pode efectuar a autenticação integrada. Internet Explorer e novas versões do Netscape Navigator e o Mozilla Firefox, podem efectuar a autenticação integrada.
• A autenticação integrada é através de um proxy. Isto acontece porque o proxy não manter a ligação autenticado por NTLM e, portanto, envia um pedido anónimo do cliente para o servidor. Opções para resolver este problema são:
  • Configure o IIS para aceitar a autenticação básica. Isto só deverá ocorrer através de SSL por motivos de segurança.
  • Não utilize um proxy.

HTTP 401.3: Negado pelo ACL do recurso

Descrição

Este erro é devolvido quando o utilizador autenticado com êxito para o servidor, mas o utilizador não tem permissões de NTFS para o conteúdo pedido.

soluções comuns

• Defina as permissões NTFS correctamente no conteúdo. Reveja a secção "Permissões de NTFS" nos seguintes artigos:
  812614  (http://support.microsoft.com/kb/812614/ ) Permissões e direitos de utilizador para o IIS 6.0 predefinidos
  271071  (http://support.microsoft.com/kb/271071/ ) Como definir necessárias permissões de NTFS e direitos de utilizador para um servidor Web do IIS 5.0
• Verifique se o método de autenticação correcto está definido. Por exemplo, quando utilizar a autenticação integrada, não é pedido aos utilizadores credenciais de autenticação. Neste caso, pode ser confusa se estiver a autenticar o pedido ou não.
• Se o conteúdo estiver localizado numa partilha remota, verifique se os utilizadores têm permissões de NTFS e partilhar suficientes. Para obter mais informações, clique no número de artigo que se segue para visualizar o artigo na Microsoft Knowledge Base:
  332142  (http://support.microsoft.com/kb/332142/ ) Pedidos de NTLM conteúdo numa partilha UNC podem ser devolvidos com mensagens de erro 401

HTTP 401.4: Negado pelo filtro ISAPI personalizado

Descrição

Carregar um filtro ISAPI negou o pedido.

solução

Identifique o filtro ISAPI negou o pedido e contacte o programador ou o fornecedor para determinar uma solução.

HTTP 401.5: Negado pela aplicação de ISAPI/CGI Web personalizada

Descrição

Uma extensão ISAPI ou CGI aplicação negou o pedido.

solução

Identificar que extensão ISAPI ou CGI aplicação negou o pedido e contacte o programador ou o fornecedor para determinar uma solução.

Resumo

Em resumo, quando resolver erros de HTTP 401, o primeiro passo deverá ser sempre determinar o código de subestado.

• 401.1: Autenticação foi tentada, mas falhou.
• 401.2: Autenticação não foi tentada uma vez que o servidor e cliente não conseguiu concordar num protocolo de autenticação.
• 401.3: Autenticação foi concluída com êxito, mas a conta autenticada não tem permissões suficientes para aceder ao recurso pedido ou conteúdo.
• 401.4: Um filtro ISAPI negou o pedido.
• 401.5: Uma extensão ISAPI ou CGI aplicação negou o pedido.

Ferramentas úteis e recursos

Ferramentas da Microsoft

• Autenticação e de diagnóstico de controlo do Access 1.0
  http://www.microsoft.com/downloads/details.aspx?FamilyID=e90fe777-4a21-4066-bd22-b931f7572e9a&DisplayLang=en (http://www.microsoft.com/downloads/details.aspx?FamilyID=e90fe777-4a21-4066-bd22-b931f7572e9a&DisplayLang=en)
• IIS Diagnostics Toolkit
  http://www.microsoft.com/downloads/details.aspx?FamilyID=9bfa49bc-376b-4a54-95aa-73c9156706e7&DisplayLang=en (http://www.microsoft.com/downloads/details.aspx?FamilyID=9bfa49bc-376b-4a54-95aa-73c9156706e7&DisplayLang=en)
• WFetch
  284285  (http://support.microsoft.com/kb/284285/ ) Como utilizar Wfetch.exe resolver problemas de ligações HTTP
• Monitor de rede
  148942  (http://support.microsoft.com/kb/148942/ ) Como capturar tráfego de rede com o Monitor de rede
• Registo de auditoria/segurança
  300549  (http://support.microsoft.com/kb/300549/ ) Como activar e aplicar a auditoria de segurança no Windows 2000

Ferramentas de outros fabricantes

• FileMon
  http://technet.microsoft.com/en-us/sysinternals/bb896642.aspx (http://technet.microsoft.com/en-us/sysinternals/bb896642.aspx)
• Regmon
  http://technet.microsoft.com/en-us/sysinternals/bb963881.aspx (http://technet.microsoft.com/en-us/sysinternals/bb963881.aspx)

Até próxima vez, Obrigado pelo seu tempo e ter um excelente dia. Como sempre, vontade submeter ideias sobre os tópicos que pretende referidas nas colunas futuras ou na base de dados de conhecimento utilizando o formulário Ask For It (http://support.microsoft.com/common/survey.aspx?scid=sw;en;1176&p0=&p1=&p2=&p3=&p4=) .

Microsoft fornece informações de contactos outros fabricantes para ajudar a encontrar suporte técnico. Poderá ser alterado estas informações de contacto sem aviso prévio. Microsoft não garante a precisão destas informações de contacto outros fabricantes.

Os produtos de outros fabricantes explicado neste artigo são fabricados por empresas independentes da Microsoft. A Microsoft não oferece nenhuma garantia, expressa ou implícita, relativamente ao desempenho ou fiabilidade destes produtos.