Solução de problemas de proteção estendida (Reporting Services)

• As configurações RSWindowsExtendedProtectionLevel e RSWindowsExtendedProtectionScenario são salvas no arquivo rsreportserver.config. Para obter mais informações sobre as definições de configuração, consulte Proteção Estendida para Autenticação com Reporting Services.

• Use as APIs do WMI. Para obter mais informações, consulte Método SetExtendedProtectionSettings (WMI MSReportServer_ConfigurationSetting).

• O arquivo de log de rastreamento reportserverservice contém itens que indicam a configuração atual. As entradas de log de rastreamento são gravadas quando o serviço do servidor de relatórios é iniciado. As entradas terão um aspecto semelhante ao seguinte:

library!DefaultDomain!698!12/29/2009-10:14:49:: i INFO: Initializing RSWindowsExtendedProtectionLevel to 'Off' conforme especificado no arquivo de Configuração.

library!DefaultDomain!698!12/29/2009-10:14:49:: i INFO: Initializing RSWindowsExtendedProtectionScenario to 'Proxy' conforme especificado no arquivo de Configuração.

O arquivo de log de rastreamento de serviço do servidor de relatórios conterá entradas semelhante às seguintes:

http!rshost!ec0!12/29/2009-11:01:37:: i INFO: A autenticação falhou com o estado de erro: 46

Localize o número do estado de erro e informações adicionais na lista de error states no final deste tópico.

Habilite o log detalhado, atualizando o arquivo de configuração reportingservicesservice.exe.config. Na seção <RStrace> defina:

<add name=”Components” value=”all:4” /> 

• Reinicie o serviço.

• Com o log detalhado ativado, a autenticação gravará linhas semelhante às seguintes, indicando que a verificação da Associação de Canal, Associação de Serviço ou ambas está sendo executada:

http!rshost!ec0!12/29/2009-11:01:37:: v VERBOSE: Realizando Verificação de Associação de Canal como Proxy.

http!rshost!7b0!12/29/2009-11:26:23:: v VERBOSE: Realizando Verificação de Associação de Serviço como Proxy.

Para obter mais informações, consulte Arquivo de configuração ReportingServicesService.

O Cliente SQL Microsoft SQL não foi atualizado para suportar a proteção estendida no momento da liberação do SQL Server 2008 R2. O Cliente SQL é usado para conexão a fontes de dados do SQL Server e ao banco de dados de catálogo Reporting Services. Esta limitação no Cliente de SQL afeta Reporting Services das seguintes formas:

• O SQL Server que executa o banco de dados de catálogo Reporting Services não pode ter a proteção estendida ativada, caso contrário, o servidor de relatório não se conectará ao banco de dados de catálogo e gerará erros de autenticação.

• Todos os Servidores SQL usados como fontes de dados de relatórios Reporting Services não podem ter a proteção estendida habilitada. Caso contrário, as tentativas do servidor de relatório de se conectar à fonte de dados de relatório falharão e gerarão erros de autenticação. Um possível contorno é alterar as fontes de dados do Reporting Services para usar provedores originais e não o Cliente de SQL. Por exemplo, configure as fontes de dados para o driver ODBC e, então o SQL Native Client será usado porque permite o uso da Proteção Estendida.

O comportamento depende da configuração de RSWindowsExtendedProtectionScenario no arquivo de configuração rsreportserver.config.

Se RSWindowsExtendedProtectionScenario for definido como Direto e o SSL estiver faltando

Se RSWindowsExtendedProtectionScenario for definido como Proxy e o SSL estiver faltando

Essa situação só ocorre em sistemas operacionais anteriores ao Windows 7 e Windows 2008 R2. Versões anteriores do Windows não vêm, originalmente, com a função de Proteção Estendida e, portanto, um computador com a versão anterior do sistema operacional talvez não tenha todas as atualizações da proteção estendida, inclusive a atualização da proteção estendida para o .NET framework.

Quando RSWindowsExtendedProtectionLevel for Allow ou Require, um aplicativo cliente executado em um sistema operacional que suporta a proteção estendida deve criar uma associação de canal e, às vezes, uma associação de serviço. Neste exemplo:

• O Internet Explorer foi atualizado para a proteção estendida como parte da atualização da proteção estendida do Windows.

• Porém, o .NET Framework não recebeu um patch. O .NET Framework é obrigatório nos clientes .NET, como o Report Builder e o Management Studio.

Para diagnosticar esse problema, desabilite a Proteção Estendida e verifique se é possível conectar o aplicativo do cliente .NET. Para desabilitar a Proteção Estendida:

1. Defina RSWindowsExtendedProtectionLevel como Off no arquivo RSReportServer.config.

2. Reinicie o serviço Servidor de Relatório.

A solução é baixar todas as atualizações do .NET Framework.

Ao fazer uma autenticação de loopback, o sistema operacional salta o mecanismo de autenticação e não impõe a Associação de Canal.

Portanto, ao usar uma conexão HTTP e os parâmetros de configuração de:

• RSWindowsExtendedProtectionLevel definido como Require

  AND

• RSWindowsExtendedProtectionScenario definido como Proxy

A conexão local será realizada com êxito, mas as conexões remotas falharão.

Dependendo da URL usada para efetuar a conexão local e das Reservas de URL configuradas no servidor de relatórios, ainda é possível que a conexão local falhe com uma falha de associação de serviço porque o SPN criado a partir da reserva de URL talvez não corresponda a um SPN na lista de SPN válida.

A conexão remota sempre falhará se você estiver efetuando uma conexão HTTP e não houver nenhum gateway entre o cliente e o servidor de relatórios que esteja configurado para fazer uma conexão SSL.

Esta situação é específica de uma implantação de expansão do Reporting Services e ocorre se o Gerenciador de Relatórios e o Servidor de Relatórios estiverem no mesmo computador e se ambos usarem cabeçalhos de host e usarem a autenticação do Windows. Por exemplo, se você tentar acessar Gerenciador de Relatórios em http://<thename>/relatórios, não verá a lista esperada de relatórios e pastas e sim uma mensagem de erro "HTTP 401 (Sem Autorização)."

A referência <thename> não é o nome físico do computador e é considerada um "Cabeçalho de Host". É um nome alternativo para o computador no qual o Reporting Services está instalado. Os Cabeçalhos de Host também são usados como uma fonte de SPNs válidos quando o Reporting Services calcular a lista válida de SPNs para a Proteção Estendida.

Para impedir o erro 401 (sem autorização), você precisará acrescentar o NetBIOS e um Nome de Domínio Totalmente Qualificado (FQDN) de <thename> à lista de BackConnectionHostNames armazenada no Registro do Windows. Reinicialize o computador depois de fazer a alteração no Registro.

Para obter mais informações sobre como fazer a alteração do Registro, consulte a seção "Método 2: Especifique nomes de hosts" no Microsoftartigo da Base de Dados de Conhecimento 896861,Você verá o erro 401.1 procurar um site que utiliza a Autenticação Integrada e está hospedado no IIS 5.1 ou em uma versão subsequente.