액세스가 거부되었습니다. (HRESULT 예외 : 0x80070005 (E_ACCESSDENIED)) Active Directory 계정 추가

Question

이 질문은 여러 번 질문되었지만 지금까지 우리 문제와 비슷한 답변을 보지 못했습니다.

먼저 두 개의 중복 환경이 있습니다. 둘 다 Active Directory 페더레이션 서비스와 함께 사용하기 위해 Active Directory가있는 Windows 2012 R2 서버를 실행합니다.

우리 시스템은 WCF 서비스를 통해 통신하는 웹 포털로 구성됩니다. 이를 통해 새로운 AD 계정을 만들 수있는 보안 WCF 서비스가 제공됩니다.

02:07:24 [17] ERROR UserService !!! ERROR !!! System.Reflection.TargetInvocationException: Exception has been thrown by the target of an invocation. ---> System.UnauthorizedAccessException: Access is denied. (Exception from HRESULT: 0x80070005 (E_ACCESSDENIED)) --- End of inner exception stack trace --- at System.DirectoryServices.DirectoryEntry.Invoke(String methodName, Object[] args) at System.DirectoryServices.AccountManagement.SDSUtils.SetPassword(DirectoryEntry de, String newPassword) at System.DirectoryServices.AccountManagement.ADStoreCtx.SetPassword(AuthenticablePrincipal p, String newPassword) at System.DirectoryServices.AccountManagement.SDSUtils.InsertPrincipal(Principal p, StoreCtx storeCtx, GroupMembershipUpdater updateGroupMembership, NetCred credentials, AuthenticationTypes authTypes, Boolean needToSetPassword) at System.DirectoryServices.AccountManagement.ADStoreCtx.Insert(Principal p) at System.DirectoryServices.AccountManagement.Principal.Save() at UserService.Implementation.LDAPManager.CreateUser(String logon, String firstName, String lastName, String userPassword, String EmailAddress) in e:\Bld\1\User Service\UserService\Implementation\LDAPManager.cs:line 60 at UserService.createNewUser(NewUserValueObject newUser) in e:\Bld\1\User Service\UserService\UserService.cs:line 127

이 현재 (이 동일한 광고 및 ADFS 기계를 사용 althought), 그러나 우리의 생산 환경에서 우리가 같은 함수를 호출 할 때 우리는 다음과 같은 오류를 얻을 새 사용자를 만들기 위해 우리의 dev에 테스트 시스템에서 완벽하게 작동

내가 말했듯이 우리는 광고 측면을 보았고 명백한 것을 발견 할 수는 없지만 훌륭한 op와 dev 's가 곧 다르게 말할 것입니다.

Answer 1

서비스가 실행중인 계정과 사용 권한을 확인해야합니다. 최근에 그룹 관리 서비스 계정으로 서비스를 실행하려는 비슷한 문제가 있었으며 서비스 계정에 도메인에서 컴퓨터를 추가/제거 할 수있는 액세스 권한이 없었습니다. 그룹 관리 서비스 계정의 제어 보안 그룹에 대한 액세스 권한을 위임해야했습니다.

다음 문서는 꽤 좋은 참조가 : SPN의 위해를 만들 방지하기 위해

https://richardstk.com/2013/11/29/create-a-dedicated-account-to-join-computers-to-a-domain/

내가 관리하는 데 필요한 서비스 계정의 다양한 OU의, 그냥 자신의 보안 그룹으로 그들을 던져 보안 그룹을 기반으로 위임 된 액세스. 마일리지는 상황에 따라 그리고 서비스 계정을 사용하여 서비스를 실행하는지 여부에 따라 달라질 수 있습니다.