Problembeschreibung
Betrachten Sie das folgende Szenario:
-
Ein Webserver ist mit Microsoft Forefront Unified Access Gateway (UAG) 2010 veröffentlicht.
-
Forefront UAG 2010 verwendet Kerberos Constrained Delegation (KCD) Tickets Benutzeranmeldeinformationen an den veröffentlichten Webserver delegieren.
-
Der veröffentlichte Webserver weist KCD-Ticket, das von Forefront UAG 2010 bereitgestellt und eine 401-Fehlermeldung.
In diesem Szenario tritt Forefront UAG 2010 in einer Anforderung/Schleife. Außerdem können folgende Forefront UAG w3wp.exe-Workerprozess während der Anforderung-Neuversuch-Schleife auftreten:
-
Eine schnelle Anstieg der Speicherverbrauch
-
Hohe CPU-Auslastung
Ursache
Dieses Problem wird in der Regel durch ein Problem mit der Einrichtung KCD oder ein Problem auf dem veröffentlichten Webserver verursacht.
Forefront UAG Benutzer authentifiziert hat, ein Ticket KCD an den veröffentlichten Server wurde erfolgreich abgerufen erwartet die Anwendung nicht während der Aushandlung KCD mit dem veröffentlichten Server veröffentlichten Webserver einen 401-Fehler erhalten. Forefront UAG versucht unter diesen 401-Fehler behandeln, indem ein neues Ticket KCD und erneuten Senden der Anforderung an den veröffentlichten Webserver. Diese Aktivität wird die Anforderung/Schleife auftritt.
Wichtig Anforderung-Wiederholung Schleife Problem ist in Forefront Unified Access Gateway 2010 Service Pack 3 (SP3) behoben. Forefront UAG 2010 SP3 wird nicht die zugrunde liegende Authentifizierungsproblem da behandelt, das Problem nicht in Forefront UAG tritt. Forefront UAG Fehler 401 vom veröffentlichten Webserver erhält, da KCD-Aushandlung mit dem veröffentlichten Webserver fehlgeschlagen ist, wird der 401-Fehler an den Client zurückgegeben. Der Client erhält dann eine Authentifizierung aufgefordert. Der Client werden kann nicht die Authentifizierung durch das zugrunde liegende Problem abgeschlossen.
Hinweis Finden Sie im Abschnitt "Weitere Informationen" Informationen über die Ursachen unerwarteter Authentifizierungsfehler an den veröffentlichten Webserver.
Problemlösung
Um dieses Problem zu beheben, installieren Sie das Servicepack, das beschrieben wird im folgenden Artikel der Microsoft Knowledge Base:
2744025 Beschreibung des Forefront Unified Access Gateway 2010 Servicepack 3
Status
Microsoft hat bestätigt, dass es sich um ein Problem bei den Microsoft-Produkten handelt, die im Abschnitt „Eigenschaften“ aufgeführt sind.
Weitere Informationen
Microsoft-Kundensupport verzeichnete mehrmals das Problem in Outlook Anywhere Szenarien für die Veröffentlichung. In diesen Fällen wird die Authentifizierung KCD Clientzugriffsserver (CAS) für RPC über HTTP-Datenverkehr nicht verursacht. Weitere Informationen zu einem ähnlichen Problem folgendem folgenden Artikel der Microsoft Knowledge Base zu:
2545850 Benutzer können keine IIS-gehosteten Website zugreifen, nachdem das Kennwort für den Server in Windows 7 oder Windows Server 2008 R2 geändert wirdHinweise
-
KB 2545850 beschriebene Hotfix sollte auf den CAS nicht auf dem Forefront UAG-Server installiert werden.
-
Starten Sie zum Umgehen dieses Problems ohne Hotfix 2545850 die CAS. Diese Lösung bleibt bis zum nächsten, der dieses Problem auftritt.
Web Server kann auch ein 401-Fehler aufgrund eines Problems mit Berechtigungen zurück oder KCD ist nicht ordnungsgemäß eingerichtet. Beispielsweise kann der Dienstprinzipalnamens (SPN), die Forefront UAG delegiert das Webserverkonto Ziel oder Prozess-Dienstkonto nicht registriert werden. Weitere Informationen zur Installation der eingeschränkten Kerberos-Delegierung finden Sie im folgenden Microsoft TechNet-Website:
Eingeschränkte Delegierung konfigurieren einmaliges Anmelden mit Kerberos
Referenzen
Um weitere Informationen zur Terminologie für Softwareupdates zu erhalten, klicken Sie auf die folgende Artikelnummer, um den Artikel der Microsoft Knowledge Base anzuzeigen:
824684 Erläuterung von der standardmäßigen Standardbegriffen bei Microsoft Softwareupdates
