拡張保護のトラブルシューティング (Reporting Services)

• RSWindowsExtendedProtectionLevel と RSWindowsExtendedProtectionScenario の設定は rsreportserver.config ファイルに保存されています。構成設定の詳細については、「Reporting Services での認証の拡張保護」を参照してください。

• WMI API を使用します。詳細については、「SetExtendedProtectionSettings メソッド (WMI MSReportServer_ConfigurationSetting)」を参照してください。

• reportserverservice トレース ログ ファイルに、現在の設定を示すエントリが記録されています。このトレース ログ エントリは、レポート サーバー サービスの開始時に書き込まれます。実際のエントリの例を次に示します。

library!DefaultDomain!698!12/29/2009-10:14:49:: i 情報: 構成ファイルの指定に従って RSWindowsExtendedProtectionLevel を 'Off' に初期化しています。

library!DefaultDomain!698!12/29/2009-10:14:49:: i 情報: 構成ファイルの指定に従って RSWindowsExtendedProtectionScenario を 'Proxy' に初期化しています。

レポート サーバーのサービス トレース ログ ファイルには、次のようなエントリが記録されています。

http!rshost!ec0!12/29/2009-11:01:37:: i 情報: 次のエラー状態で認証に失敗しました: 46

エラー状態番号と詳しい情報については、このトピックの最後にある「error states」の一覧を参照してください。

構成ファイル reportingservicesservice.exe.config を更新して、詳細ログを有効にします。<RStrace> セクションで、次のように設定します。

<add name=”Components” value=”all:4” /> 

• サービスを再起動します。

• 詳細ログを有効にすると、認証時にチャネル バインド、サービス バインド、またはその両方の検証が実行されたことを示す行が出力されます。その例を次に示します。

http!rshost!ec0!12/29/2009-11:01:37:: v 詳細: チャネル バインド チェックをプロキシとして実行しています。

http!rshost!7b0!12/29/2009-11:26:23:: v 詳細: サービス バインド チェックを実行しています。

詳細については、「ReportingServicesService 構成ファイル」を参照してください。

Microsoft SQL クライアントでは、SQL Server 2008 R2 がリリースされるまで、拡張保護はサポートされていませんでした。SQL クライアントは、SQL Server データ ソースおよび Reporting Services カタログ データベースへの接続に使用されます。Reporting Services には、この SQL クライアントの制限によって次のような影響が生じます。

• Reporting Services カタログ データベースを実行する SQL Server は拡張保護を有効にできません。つまり、レポート サーバーがカタログ データベースへの接続に失敗し、認証エラーが返されます。

• Reporting Services レポート データ ソースとして使用されるすべての SQL Server は拡張保護を有効にできません。つまり、レポート サーバーがレポート データ ソースへの接続に失敗し、認証エラーが返されます。回避策としては、(SQL クライアントではなく) ネイティブ プロバイダーを使用するように Reporting Services データ ソースを変更することが考えられます。たとえば、ODBC ドライバー用にデータ ソースを構成しておくと、拡張保護をサポートする SQL Native Client が使用されます。

rsreportserver.config 構成ファイル内の RSWindowsExtendedProtectionScenario の設定によって動作が異なります。

RSWindowsExtendedProtectionScenario が Direct に設定され、SSL が欠落している場合

RSWindowsExtendedProtectionScenario が Proxy に設定され、SSL が欠落している場合

このシナリオは、Windows 7 および Windows 2008 R2 より前のオペレーティング システムにのみ該当します。以前のバージョンの Windows リリースには、拡張保護機能が付属していませんでした。そのため、古いバージョンのオペレーティング システムが使用されているコンピューターには、.NET framework 用の拡張保護更新プログラムを含め、拡張保護の更新が一部適用されていない可能性があります。

RSWindowsExtendedProtectionLevel が Allow または Require の場合、拡張保護対応のオペレーティング システム上で動作するクライアント アプリケーションが、必ずチャネル バインドを (場合によってはサービス バインドも) 提供する必要があります。この例では、次の点に注意してください。

• Internet Explorer には、Windows 拡張保護更新プログラムの一部として、拡張保護のための更新がなされました。

• ただし、.NET Framework には更新プログラムが適用されていません。レポート ビルダーや Management Studio といった .NET クライアントには、.NET Framework が必須です。

この問題を診断するには、拡張保護を無効にして、.NET クライアント アプリケーションが接続できるかどうかを確認します。拡張保護を無効にするには、次の手順に従います。

1. RSReportServer.config ファイルで RSWindowsExtendedProtectionLevel を Off に設定します。

2. レポート サーバー サービスを再起動します。

解決するには、.NET Framework の更新プログラムをすべてダウンロードします。

ループバック認証の実行中、オペレーティング システムは認証メカニズムをスキップし、チャネル バインドを適用しません。

したがって、HTTP 接続を使用しているとき、構成設定が次のようになっている場合、

• RSWindowsExtendedProtectionLevel = Require

  および

• RSWindowsExtendedProtectionScenario = Proxy

ローカル接続では成功し、リモート接続では失敗するという結果が生じます。

ローカル接続に使用された URL や、レポート サーバーで構成されている URL 予約によっては、ローカル接続であっても、URL 予約から作成された SPN が有効な SPN リスト内のいずれの SPN にも一致しないために、サービス バインド エラーで失敗する可能性があります。

HTTP 接続を確立しようとしているとき、クライアントとレポート サーバー間に、SSL 接続を確立するように構成されたゲートウェイが存在しない場合は常に、リモート接続が失敗します。

これは、Reporting Services のスケールアウト配置に固有の状況です。レポート マネージャーとレポート サーバーとが同じコンピューター上に存在し、どちらもホスト ヘッダーを使用し、なおかつ Windows 認証を使用している場合に発生します。たとえば、http://<thename>/reports のレポート マネージャーにアクセスを試みた場合、リスト レポートもフォルダーも正しく表示されず、"HTTP 401 (権限がありません)" というエラー メッセージが表示されます。

<thename> で参照されている部分は、コンピューターの物理名ではなく、"ホスト ヘッダー" と見なされます。これは Reporting Services がインストールされているコンピューターの代替名です。ホスト ヘッダーは、Reporting Services が拡張保護の有効な SPN のリストを計算する際の、有効な SPN のソースとしても使用されます。

401 (権限がありません) エラーを防ぐには、Windows レジストリに格納されている BackConnectionHostNames のリストに、<thename> の完全修飾ドメイン名 (FQDN) および NetBIOS 名を追加する必要があります。レジストリに変更を加えた後はコンピューターを再起動してください。

レジストリの変更方法の詳細については、Microsoft サポート技術情報の記事 896861 の「IIS 5.1 または以降のバージョンでホストされ、統合認証を使用する Web サイトを参照するとエラー 401.1 が表示される」の「方法 2: ホスト名を指定する」を参照してください。