WebServices und Delegierung

Hallo allerseits,
Ich versuche anhand der Anleitungen aus dem MSDN [Walkthrough: Installing the Three Tiers on Three Computers] und [How to: Configure Web Services with Delegation] Web Services zum Laufen zu kriegen. In [...Configure Web Services ...] ersetze ich im 4. Schritt den Befehl mit httpcfg.exe durch:

Code:

netsh http add urlacl url=http://+:7047/DynamicsNAV user=domain\NAVSERVER$
(NAVSERVER$ verwende ich, da der WebService mit dem Netzwerkdienstkonto gestartet wird.)

Der Dienst WebServices lässt sich aber nicht starten:

Code:

Fehler beim Starten des Diensts MicrosoftDynamicsNavWS. Der Grund hierfür ist möglicherweise ein Konfigurationsfehler. Ausführliche Fehlerinformationen: System.ServiceModel.AddressAccessDeniedException: HTTP konnte URL "http://+:7047/DynamicsNAV/" nicht registrieren. Der Prozess weist keine Zugriffsrechte für diesen Namespace auf (Details finden Sie unter http://go.microsoft.com/fwlink/?LinkId=70353). ---> System.Net.HttpListenerException: Zugriff verweigert

Nachdem ich diese urlacl wieder entfernt habe, lässt sich der Dienst auch wieder starten. Allerdings fehlt dann der letzte Schritt der Anleitung!

Hat jemand eine Idee?

Gruß,
Peter

Hallo Peter,

Code:

netsh http add urlacl url=http://+:7047/DynamicsNAV user=domain\NAVSERVER$
(NAVSERVER$ verwende ich, da der WebService mit dem Netzwerkdienstkonto gestartet wird.)

Versuch bitte stattdessen folgendes auf dem Dynamics NAV Server Computer:

Code:

netsh http add urlacl url=http://+:7047/DynamicsNAV user="NT AUTHORITY\NETWORK SERVICE"

In einer Produktivumgebung sollte man dann trotzdem einen AD-User mit Delegation benutzen, um Service Tier/WebService bereitzustellen.

netsh http add urlacl url=http://+:7047/DynamicsNAV user="NT AUTHORITY\NETWORK SERVICE"

Damit funktioniert es, danke!

@JanGD
Ja, ich weiß. Seitens der Sicherheit ist das der bessere Weg.

Ich möchte den Beitrag nochmal hervorholen, da das Problem erneut aufgetreten ist.

Ich habe zwei Webservices bei uns laufen, für unser Echtsystem und für das Testsystem. Der WS des Echtsystems ist als Dienst mit einem eigenen Benutzerkonto angemeldet, während beim WS des Testsystems das Netzwerkdienstekonto gewählt ist.

Beim WS des Echtsystems funktioniert die Delegierung ohne Probleme und ich kann von einem beliebigen Rechner oder aus dem Internet den WS erreichen.

Beim WS des Testsystems funktioniert die Delegierung, d.h. der Zugriff von extern, nur ohne Probleme in der folgenden Konstellation: Ich muss zuerst am Server, auf dem der WS installiert ist, per Browser die WS aufrufen und dabei den gewünschten Benutzername zur Anmeldung angeben. Erst danach kann ich von extern ebenfalls den WS erreichen.

Hat jemand eine Idee, was da los ist?

Gruß,
Peter