Artikel-ID: 942637 - Geändert am: Freitag, 20. Juni 2008 - Version: 2.0

Ein Benutzer kann keine Website zuzugreifen, die in ISA Server 2006 veröffentlicht wird, mithilfe der Kerberos-abhängige Delegierung, wenn der Benutzer nicht in derselben Domäne wie der ISA Server-Computer ist

Deutsch und Englisch nebeneinanderMaschinell-übersetzte und englische Version des Artikels nebenander anzeigen
Maschinell übersetzter ArtikelHinweis: Dies ist ein maschinell übersetzter Artikel.
Produkte anzeigen, auf die sich dieser Artikel bezieht
SystemtippDieser Artikel bezieht sich auf ein anderes Betriebssystem als das von Ihnen verwendete. Für Sie möglicherweise nicht relevante Artikelinhalte wurden deaktiviert.
Alles erweitern | Alles schließen

Problembeschreibung

Stellen Sie sich das folgende Szenario vor:
  • Sie veröffentlichen eine Website in Microsoft Internet Security and Acceleration (ISA) Server 2006.
  • In der Webveröffentlichungsregel konfigurieren Sie ISA Server zum Kerberos-abhängige Delegierung (KCD) verwenden, um Benutzeranmeldeinformationen auf der Website zu delegieren.
  • Ein Benutzer authentifiziert mit ISA Server, indem Sie ein Benutzerprinzipalname (UPN) in die Anmeldeinformationen angeben.
  • Der Benutzer ist nicht in der gleichen Domäne wie der ISA Server-Computer.
Wenn der Benutzer versucht, auf die veröffentlichte Website zugreifen erhält der Benutzer in diesem Szenario folgende Fehlermeldung:
Die Seite kann nicht angezeigt werden
Fehlercode: 403 Verboten. Der Server hat den angegebenen URL (Uniform Resource Locator) verweigert. Wenden Sie sich an den Serveradministrator. (12202)
Hinweis: Dieses Problem tritt nicht auf, wenn der Benutzer eine Sicherheitskontenverwaltung (Security Account Manager, SAM) gibt-kompatiblen Benutzername in den Anmeldeinformationen.
Zum Anfang

Ursache

ISA Server analysiert den Domänennamen aus der UPN-Anmeldeinformationen nicht korrekt. Stattdessen verwendet ISA Server Ihren eigenen Domänennamen im Ticket-genehmigender Dienst (TGS) Anforderung auf Anforderung eine Kerberos-Ticket im Auftrag des Benutzers. Wenn der Benutzer zu einer anderen Domäne gehört, weiß der Active Directory-Dienst nicht den Namen des Dienstes. Aus diesem Grund steht Active Directory-Verzeichnisdienst ISA Server ein Ticket für die Authentifizierung nicht.
Zum Anfang

Lösung

Installieren Sie das Hotfix Rollup-Paket, das im der folgenden Artikel der Microsoft Knowledge Base beschrieben wird, um dieses Problem zu beheben: Weitere Informationen finden Sie im folgenden Artikel der Microsoft Knowledge Base:
942639  (http://support.microsoft.com/kb/942639/ ) Beschreibung des Hotfix-Pakets von ISA Server 2006: 24 September 2007
Zum Anfang

Abhilfe

Um dieses Problem zu umgehen, kann ein Benutzer einen SAM-kompatiblen Benutzernamen in die Anmeldeinformationen angeben, wenn der Benutzer mit ISA Server authentifiziert. Ein Benutzername SAM-kompatiblen ähnelt dem folgenden:
DomainName\ Username
Hinweis: Diese Problemumgehung kann dennoch fehlschlagen, wenn das Benutzerkonto ein Mitglied einer Domäne in einer vertrauenswürdigen Gesamtstruktur ist. Weitere Informationen über diese Einschränkungen finden Sie im folgenden Artikel der Microsoft Knowledge Base:
949015  (http://support.microsoft.com/kb/949015/ ) Anwendungen, die Delegierung KCD möglicherweise nicht den S4U-Prozess auf einem Computer abgeschlossen, auf dem Windows Server 2008 oder Windows Server 2003 ausgeführt wird
Zum Anfang

Status

Microsoft hat bestätigt, dass dies ein Problem in Microsoft-Produkten handelt, die im Abschnitt "Gilt für" aufgeführt sind.
Zum Anfang
Die Informationen in diesem Artikel beziehen sich auf:
  • Microsoft Internet Security and Acceleration Server 2006 Enterprise Edition
  • Microsoft Internet Security and Acceleration Server 2006 Standard Edition
Zum Anfang
Keywords: 
kbmt kbexpertiseinter kbqfe KB942637 KbMtde
Zum Anfang
Maschinell übersetzter ArtikelMaschinell übersetzter Artikel
Wichtig: Dieser Artikel wurde maschinell und nicht von einem Menschen übersetzt. Die Microsoft Knowledge Base ist sehr umfangreich und ihre Inhalte werden ständig ergänzt beziehungsweise überarbeitet. Um Ihnen dennoch alle Inhalte auf Deutsch anbieten zu können, werden viele Artikel nicht von Menschen, sondern von Übersetzungsprogrammen übersetzt, die kontinuierlich optimiert werden. Doch noch sind maschinell übersetzte Texte in der Regel nicht perfekt, insbesondere hinsichtlich Grammatik und des Einsatzes von Fremdwörtern sowie Fachbegriffen. Microsoft übernimmt keine Gewähr für die sprachliche Qualität oder die technische Richtigkeit der Übersetzungen und ist nicht für Probleme haftbar, die direkt oder indirekt durch Übersetzungsfehler oder die Verwendung der übersetzten Inhalte durch Kunden entstehen könnten.
Den englischen Originalartikel können Sie über folgenden Link abrufen: 942637  (http://support.microsoft.com/kb/942637/en-us/ )
Zum Anfang
Microsoft stellt Ihnen die in der Knowledge Base angebotenen Artikel und Informationen als Service-Leistung zur Verfügung. Microsoft übernimmt keinerlei Gewährleistung dafür, dass die angebotenen Artikel und Informationen auch in Ihrer Einsatzumgebung die erwünschten Ergebnisse erzielen. Die Entscheidung darüber, ob und in welcher Form Sie die angebotenen Artikel und Informationen nutzen, liegt daher allein bei Ihnen. Mit Ausnahme der gesetzlichen Haftung für Vorsatz ist jede Haftung von Microsoft im Zusammenhang mit Ihrer Nutzung dieser Artikel oder Informationen ausgeschlossen.