Solucionando erros de HTTP 401 no IIS

Introdução

Hello. Meu nome é Lou Prete. Eu ter sido suporte Microsoft (IIS) nos últimos cinco anos e tem sido IIS conteúdo levar nos últimos dois anos.

HTTP 401 erros estão entre os erros mais comuns que talvez você precise lidar com no IIS. Enquanto as causas para esses erros podem variar muito, o faz com que se enquadram em um número finito de categorias. Identificando a categoria da causa o erro HTTP 401 corretamente pode diminuir a quantidade de tempo necessário para identificar a causa raiz do erro.

Uma excelente ferramenta para solucionar esses problemas é autenticação e diagnóstico de controle de acesso ou AuthDiag. Você pode baixar essa ferramenta no seguinte site da Central de download da Microsoft:Essa ferramenta também faz parte do IIS Diagnostics Toolkit que você pode baixar do site do Centro de download da Microsoft: Em quase todas as situações descrita nesta coluna, o AuthDiag pode fornecer respostas rápidas para o erro HTTP 401 à mão.

Nesta coluna, será descrevem uma abordagem eficiente para identificar e corrigir os problemas comuns que levam a erros de HTTP 401. Eu também destaque um número de artigos da Base de dados de Conhecimento da Microsoft que serão úteis e várias ferramentas que ajudarão você a seu caminho.

Etapas de solução de problemas

Identificar o código de substatus do erro HTTP 401

Há duas maneiras de identificar o código de substatus:

• Iniciando no IIS 6.0, o código de substatus é registrado nos logs de Web. Os logs da Web estão localizados no seguinte local:
  %SYSTEMROOT%\System32\LogFiles\W3SVC###\
  Em logs da Web, os três últimos números em cada entrada representam o status, o substatus e o status do Win32.

  #Fields: date time s-sitename s-ip cs-method cs-uri-stem cs-uri-query s-port cs-username c-ip cs(User-Agent) sc-status sc-Sub-status sc-win32-status
  2006-03-06 20:37:42 W3SVC1 192.168.1.101 GET /default.aspx - 80 - 192.168.17.45 Mozilla/4.0+(compatible;+MSIE+6.0;+Windows+NT+5.1;+SV1;+.NET+CLR+1.1.4322;+.NET+CLR+2.0.50727;+InfoPath.1) 401 2 2148074254
  2006-03-06 20:37:42 W3SVC1 192.168.1.101 GET /default.aspx - 80 - 192.168.17.45 Mozilla/4.0+(compatible;+MSIE+6.0;+Windows+NT+5.1;+SV1;+.NET+CLR+1.1.4322;+.NET+CLR+2.0.50727;+InfoPath.1) 401 1 0
  2006-03-06 20:38:36 W3SVC1 192.168.1.101 GET /default.aspx - 80 DOMAIN\user 192.168.17.45 Mozilla/4.0+(compatible;+MSIE+6.0;+Windows+NT+5.1;+SV1;+.NET+CLR+1.1.4322;+.NET+CLR+2.0.50727;+InfoPath.1) 200 0 0

• Nas versões anteriores ao IIS 6.0 do IIS, o código de substatus não é registrado nos logs de Web. Nesses casos (ou em casos onde você não tem acesso aos logs da Web), você pode usar as informações enviadas de volta para o navegador. No Microsoft Internet Explorer, você precisará desativar o Mostrar mensagens de erro HTTP amigáveis configuração. Com essa alteração, você deve ver uma página de erro semelhante à abaixo. Nesse caso, obtivemos um HTTP 401.2 erro e a página mesmo fornece uma breve descrição do que significa o erro:
  Você não está autorizado a exibir esta página
  
  Você não tem permissão para exibir este diretório ou página usando as credenciais que você forneceu porque seu navegador da Web está enviando um campo de cabeçalho WWW-Authenticate que o servidor Web não está configurada para aceitar.
  
  Tente o seguinte:
  Contate o administrador do site se você acha que deve ser capaz de exibir este diretório ou página.
  Clique no botão Atualizar para tentar novamente com credenciais diferentes.
  
  Erro HTTP 401.2 - não autorizado: Acesso negado devido à configuração do servidor. Internet Information Services (IIS)
  
  Técnicas Informações (para equipe de suporte)
  Vá para o Atendimento Microsoft Services e execute uma pesquisa de título para as palavras HTTP e 401.
  Abra a Ajuda do IIS, que pode ser acessada no Gerenciador do IIS (inetmgr), e procure pelos tópicos sobre segurança, autenticação e sobre mensagens de erro personalizadas.

Observação Você também pode usar ferramentas, como WFetch e o Monitor de rede, para reunir os códigos de substatus. Para obter mais informações sobre essas ferramentas, clique nos números abaixo para ler os artigos na Base de dados de Conhecimento da Microsoft:

Basear sua solução de problemas no código de substatus

Se você souber o código de substatus HTTP, se concentrar em problemas relacionados a esse determinado substatus. Todos os outros podem ser ignorados.

HTTP 401.1: Negado pelas credenciais de usuário inválido

Descrição

IIS ao logon de um usuário para executar a solicitação. Todas as solicitações devem ser associadas a um usuário, mesmo se a solicitação for anônima.

motivos comuns

• O nome de usuário incorreto ou senha é fornecida. Identificar o usuário que falha no logon e corrija o nome de usuário ou senha.
• A autenticação Kerberos falha. Para obter mais informações, clique no número abaixo para ler o artigo na Base de dados de Conhecimento da Microsoft:
  326985  (http://support.microsoft.com/kb/326985/ ) Como solucionar problemas relacionados ao Kerberos no IIS
  Outros artigos úteis do Kerberos são:
  871179  (http://support.microsoft.com/kb/871179/ ) Você receberá um "Erro HTTP 401.1 - não autorizado: acesso negado devido a credenciais inválidas" mensagem de erro quando você tenta acessar um site que faz parte de um pool de aplicativos IIS 6.0
  Configurando identidade de pool de aplicativos com o IIS 6.0 (IIS 6.0)
  http://www.microsoft.com/technet/prodtechnol/WindowsServer2003/Library/IIS/f05a7c2b-36b0-4b6e-ac7c-662700081f25.mspx (http://www.microsoft.com/technet/prodtechnol/WindowsServer2003/Library/IIS/f05a7c2b-36b0-4b6e-ac7c-662700081f25.mspx)
  
  Autenticação integrada do Windows (IIS 6.0)
  http://www.microsoft.com/technet/prodtechnol/WindowsServer2003/Library/IIS/523ae943-5e6a-4200-9103-9808baa00157.mspx (http://www.microsoft.com/technet/prodtechnol/WindowsServer2003/Library/IIS/523ae943-5e6a-4200-9103-9808baa00157.mspx)
  
  Configurando a delegação restrita de Kerberos (IIS 6.0)
  http://www.microsoft.com/technet/prodtechnol/WindowsServer2003/Library/IIS/df979570-81f6-4586-83c6-676bb005b13e.mspx (http://www.microsoft.com/technet/prodtechnol/WindowsServer2003/Library/IIS/df979570-81f6-4586-83c6-676bb005b13e.mspx)
• A diretiva local ou de domínio ou a atribuição de direitos de usuário impede que o usuário acessar o servidor. Se o servidor estiver configurado para auditoria de falhas de logon, pode haver informações adicionais no log de segurança. Consulte os seguintes artigos para os direitos de usuário necessário:
  812614  (http://support.microsoft.com/kb/812614/ ) Permissões padrão e direitos de usuário para o IIS 6.0
  271071  (http://support.microsoft.com/kb/271071/ ) Como definir necessárias permissões de NTFS e direitos de usuário para um servidor Web do IIS 5.0
  832981  (http://support.microsoft.com/kb/832981/ ) Os usuários não é possível acessar sites da Web quando o log de eventos de segurança estiver cheio
  300549  (http://support.microsoft.com/kb/300549/ ) Como ativar e aplicar a auditoria de segurança no Windows 2000
• Este erro também pode ocorrer quando o acesso anônimo está configurado. Isso pode ocorrer se o nome de usuário ou senha para a conta anônima é armazenada na metabase do IIS difere reais informações armazenadas no banco de dados de usuário local (ou serviço de diretório do Active Directory,) se uma conta de domínio for usada. Redefinindo a senha para a conta e no IIS resolve esse problema.
• Depois de atualizar um servidor que executa IIS 5.0 para o IIS 6.0, o IIS está sendo executado no modo de compatibilidade do IIS 5.0. Depois que o servidor é alternado para o IIS 6.0 modo de isolamento, você poderá ver erros 401.1 de HTTP em solicitações anônimas. Isso ocorre devido a sincronização de senha anônima do IIS 5.0. Para resolver esse problema, defina a chave de metabase AnonymousPasswordSync para false e redefinir a senha de usuário anônimo para a conta e no IIS.
• Para obter mais informações sobre esse erro, clique nos números abaixo para ler os artigos na Base de dados de Conhecimento da Microsoft:
  896861  (http://support.microsoft.com/kb/896861/ ) Erro 401.1 ao navegar em um site que usa a autenticação integrada e está hospedado no IIS 5.1 ou IIS 6
  304201  (http://support.microsoft.com/kb/304201/ ) Não é possível acesso Web sites ou não é possível iniciar o IIS serviços executados em conta do sistema não-local e usar autenticação do Windows com o IIS
  263140  (http://support.microsoft.com/kb/263140/ ) Autenticação anônima e Basic falhar quando você se conectar ao IIS 5.0 em um controlador de domínio

HTTP 401.2: Negado pela configuração de servidor

Descrição

O navegador do cliente e o IIS não puderam negociar um protocolo de autenticação.

motivos comuns

• Nenhum protocolo de autenticação (incluindo anônimo) é selecionado no IIS. Tipo de autenticação pelo menos um deve ser selecionado. Para obter mais informações, clique no número abaixo para ler o artigo na Base de dados de Conhecimento da Microsoft:
  253667  (http://support.microsoft.com/kb/253667/ ) Mensagem de erro: HTTP 401.2 - não autorizado: falha no logon devido à configuração sem autenticação do servidor
• Somente autenticação integrada é ativada e um mais antigos, não-Internet Explorer navegador cliente tenta acessar o site. Isso acontece porque o navegador do cliente não é possível executar a autenticação integrada. Para resolver esse problema, use um dos seguintes métodos:
  • Configure o IIS para aceitar a autenticação básica. Isso deve ocorrer somente sobre SSL para fins de segurança.
  • Use um navegador cliente que pode executar a autenticação integrada. Internet Explorer e novas versões do Netscape Navigator e o Mozilla Firefox podem executar a autenticação integrada.
• Autenticação integrada é através de um proxy. Isso acontece porque o proxy não manter a conexão autenticado NTLM e, portanto, envia uma solicitação anônima do cliente para o servidor. Opções para resolver esse problema são:
  • Configure o IIS para aceitar a autenticação básica. Isso deve ocorrer somente sobre SSL para fins de segurança.
  • Não use um proxy.

HTTP 401.3: Negado por recurso ACL

Descrição

Esse erro é retornado quando o usuário autenticado com êxito para o servidor, mas o usuário não tem permissões de NTFS para o conteúdo solicitado.

soluções comuns

• Defina as permissões NTFS corretamente no conteúdo. Revise a seção "Permissões de NTFS" nos seguintes artigos:
  812614  (http://support.microsoft.com/kb/812614/ ) Permissões padrão e direitos de usuário para o IIS 6.0
  271071  (http://support.microsoft.com/kb/271071/ ) Como definir necessárias permissões de NTFS e direitos de usuário para um servidor Web do IIS 5.0
• Verifique se o método de autenticação correta está definido. Por exemplo, quando você usa autenticação integrada, os usuários não são solicitados para credenciais de autenticação. Neste exemplo, pode ser incorreta se a solicitação estiver autenticando ou não.
• Se o conteúdo estiver localizado em um compartilhamento remoto, verifique se os usuários têm permissões de NTFS e compartilhamento suficientes. Para obter mais informações, clique no número abaixo para ler o artigo na Base de dados de Conhecimento da Microsoft:
  332142  (http://support.microsoft.com/kb/332142/ ) As solicitações NTLM de conteúdo em compartilhamento UNC podem ser retornadas com mensagens de erro 401

HTTP 401.4: Negado pelo filtro ISAPI personalizado

Descrição

Um filtro ISAPI carregado negou a solicitação.

solução

Identificar que filtro ISAPI negou a solicitação e contate o fornecedor ou desenvolvedor para determinar uma solução.

HTTP 401.5: Negado pelo aplicativo ISAPI/CGI Web personalizado

Descrição

Uma extensão ISAPI ou CGI aplicativo negou a solicitação.

solução

Identifique qual extensão ISAPI ou CGI aplicativo negou a solicitação e contate o fornecedor ou desenvolvedor para determinar uma solução.

Resumo

Em resumo, quando você solucionar erros de HTTP 401, a primeira etapa deve ser sempre determinar o código de substatus.

• 401.1: Autenticação foi tentada, mas falhou.
• 401.2: Autenticação não foi tentada, pois o servidor e o cliente não puderam negociar um protocolo de autenticação.
• 401.3: Autenticação bem-sucedida, mas a conta que autenticado não tem permissões suficientes para acessar o recurso solicitado ou o conteúdo.
• 401.4: Um filtro ISAPI negou a solicitação.
• 401.5: Uma extensão ISAPI ou CGI aplicativo negou a solicitação.

Recursos e ferramentas úteis

Ferramentas da Microsoft

• Autenticação e Access Control Diagnostics 1.0
  http://www.microsoft.com/downloads/details.aspx?FamilyID=e90fe777-4a21-4066-bd22-b931f7572e9a&DisplayLang=en (http://www.microsoft.com/downloads/details.aspx?FamilyID=e90fe777-4a21-4066-bd22-b931f7572e9a&DisplayLang=en)
• IIS Diagnostics Toolkit
  http://www.microsoft.com/downloads/details.aspx?FamilyID=9bfa49bc-376b-4a54-95aa-73c9156706e7&DisplayLang=en (http://www.microsoft.com/downloads/details.aspx?FamilyID=9bfa49bc-376b-4a54-95aa-73c9156706e7&DisplayLang=en)
• WFetch
  284285  (http://support.microsoft.com/kb/284285/ ) Como usar Wfetch.exe para solucionar problemas de conexões HTTP
• Monitor de rede
  148942  (http://support.microsoft.com/kb/148942/ ) Como capturar o tráfego de rede com o Monitor de rede
• Log de auditoria/segurança
  300549  (http://support.microsoft.com/kb/300549/ ) Como ativar e aplicar a auditoria de segurança no Windows 2000

Ferramentas de terceiros

• FileMon
  http://technet.microsoft.com/en-us/sysinternals/bb896642.aspx (http://technet.microsoft.com/en-us/sysinternals/bb896642.aspx)
• Regmon
  http://technet.microsoft.com/en-us/sysinternals/bb963881.aspx (http://technet.microsoft.com/en-us/sysinternals/bb963881.aspx)

Até próxima vez, Obrigado por seu tempo e ter um ótimo dia. Como sempre, vontade enviar idéias sobre tópicos que deseja endereçada em colunas futuras ou na Base de dados de Conhecimento usando o formulário Ask For It (http://support.microsoft.com/common/survey.aspx?scid=sw;en;1176&p0=&p1=&p2=&p3=&p4=) .

A Microsoft fornece terceiros informações de contatos para ajudá-lo a encontrar suporte técnico. Essa informações de contatos podem ser alteradas sem aviso prévio. A Microsoft não garante a precisão dessas informações contatos de terceiros.

Os produtos de terceiros mencionados neste artigo são fabricados por empresas que são independentes da Microsoft. A Microsoft não oferece garantia, implícita ou não, em relação ao desempenho ou à confiabilidade desses produtos.