а http://localhost/CCM_System_WindowsAuth 500

если в грубой форме, то удалить роль MP, удалить IIS, удалить BITS, перезагрузить сервер, поставить в обратном порядке всё

это по-дурацки но скорее всего сработает

а http://localhost/CCM_System_WindowsAuth 500

Интересно, а никакось виндовс аутентификация полетела...

это по-дурацки но скорее всего сработает

вариант, а BiTS как удалить?

вариант, а BiTS как удалить?

через роли и фичи

если в грубой форме, то удалить роль MP, удалить IIS, удалить BITS, перезагрузить сервер, поставить в обратном порядке всё

Да погоди ты, может ювелирно найдем

Видишь ли, если Windows Auth не пашет, то это может быть что угодно вплоть до кербероса сурового

было тбы здорово, понять бы куда копать, гугл завёл уже за 3-ю страницу...

Тогда переустановка IIS не поможет

причём http://localhost/CCM_System_WindowsAuth пишет ошибку 403

А должно быть 200 и белая пустая страничка

ковыряйтесь тогда, у меня с менеджером скоро звонок, а конь не валялся

ковыряйтесь тогда, у меня с менеджером скоро звонок, а конь не валялся

Та же хренота )))

ковыряйтесь тогда, у меня с менеджером скоро звонок, а конь не валялся

спасибо за помощь

Я знал, что тебе помогут @ox0tnik

мигрируйте на новую иерархию, и дело с концом

спасибо за помощь

это без иронии)

было тбы здорово, понять бы куда копать, гугл завёл уже за 3-ю страницу...

Для начала в ролях и фичах сервера проверить наличие Windows Authentification в Web Server

Для начала в ролях и фичах сервера проверить наличие Windows Authentification в Web Server

есть

Затем в консоли IIS Sites>Default Web Sites> CCM_System_Windows_Auth

Там должно быть в Authentification>Windows Authentification Enabled , а остальное нет

чот не вижу

нашёл

Надо в IIS ещё там проверить

ошибка 500 может указвать на отсутствие разрешений на рабочие папки MP, кстати

а для SMS_MP_WindowsAuth не должен быть включен анонимус?

либо их блокировку антивирусом на чтение

ошибка 500 может указвать на отсутствие разрешений на рабочие папки MP, кстати

как проверить?

а для SMS_MP_WindowsAuth не должен быть включен анонимус?

не, она даже называется WindowsAuth

либо их блокировку антивирусом на чтение

нет антивируса на сайт сервере

как проверить?

ну это маловероятно, как последнее прибежище просто

не, она даже называется WindowsAuth

да, но их две же

короче, включи Verbose logging на этом сервере для клиента, логи MP станут более насыщенными

ага, ок

Время на MP верное? Домен-контроллеры доступные?

В качестве временного решения можно поднять временную MP на отдельной маленькой виртуалочке

И тем самым снизить критичность

Время на MP верное? Домен-контроллеры доступные?

да да

И тем самым снизить критичность

ну так то я уже неделю почти с этим ебусь, так что потерпят

у меня уже начинают мысли закрадыватся о переносе всего сайта

у меня уже начинают мысли закрадыватся о переносе всего сайта

Не могу сказать. что я хорошо умею чинить керберос. Суровый вариант - перевогнать сервак в домен. Сделать бэкап, остановить сайт (Preinst /stopsite), выгнать-вогнать

у меня уже начинают мысли закрадыватся о переносе всего сайта

это была шутка про миграцию

смотри журналы событий > система на предмет работы с доменом

Ну и да, включить расширенное логирование в MP за допхинтами

оооо, идея: а SPN нет случайно кривого для HTTP?

оооо, идея: а SPN нет случайно кривого для HTTP?

а?

HTTP/Siteserver.domain.local

не очень понял

Не зарегистрирован ли SPN для HTTP-службы на этом сервере на левое имя пользователя? MP работает от имени системы, если есть SPN на имя пользователя - ломается аутентификация и капут

Я сам недавно так сделал, зарегав HTTP SPN для Reporting Services, которые крутились от имени пользователя на сайт-сервере.

И поломал MP )

по идее, в системном журнале должна быть ругань

а где это посмотреть можно?

setspn

https://blogs.technet.microsoft.com/configurationmgr/2010/01/20/how-it-works-automatic-client-approval-in-configuration-manager-2007/ The HTTP SPN is registered under a user account: Normally, there is no HTTP SPN for a server so the HOST SPN, which should always be on the computer object, is used in obtaining the Kerberos ticket. If web based services, such as SQL Reporting Services, are running under user context on the MP, and the HTTP SPN is linked to that user account, the Kerberos ticket obtained by the client will be for the same user. When presented to the MP, which runs as Local Service (System), it is rejected because it is linked to the wrong user. The solution for this is to delete the HTTP SPN from the user object, move the web service running as the user to a different web site using a different port and create a new HTTP SPN to refer to the new port. For example, for a new web site using TCP port 81, the new HTTP SPN, created under the user object in AD, would be similar to:

setspn -Q HTTP/Hostname.Domain.local

И setspn -Q HTTP/Hostname

В нынешних версиях даже можно Setspn - Q */hostname

это прям в поше?

Даже в cmd

hostname я так понял сайт сервер вводить?

ага

No such SPN found.

А так? Setspn -Q */hostname

ERROR: S client not available

кучу всего выплюнул

В студию )

PS C:\Users\sc> Setspn -Q */sc Checking domain DC=fkpuzks,DC=local CN=SC,OU=??????????,OU=???????,OU=??,DC=fkpuzks,DC=local KSCM8/EXCHANGE KSCM8/exchange.fkpuzks.local CmRcService/sc.fkpuzks.local CmRcService/SC MSOMHSvc/SC MSOMHSvc/sc.fkpuzks.local MSOMSdkSvc/SC MSOMSdkSvc/sc.fkpuzks.local MSSQLSvc/sc.fkpuzks.local:1433 MSSQLSvc/sc.fkpuzks.local TERMSRV/SC TERMSRV/sc.fkpuzks.local WSMAN/sc WSMAN/sc.fkpuzks.local RestrictedKrbHost/SC HOST/SC RestrictedKrbHost/SC.fkpuzks.local HOST/SC.fkpuzks.local

KSCM8/EXCHANGE KSCM8/exchange.fkpuzks.local )))

Эх, не угадал. Походу всё тут ок. (((

ну каспер, да)

А я уж вознадеялся, что халява

я тоже(

я пропустил, переставлять IIS пробовали?

если в грубой форме, то удалить роль MP, удалить IIS, удалить BITS, перезагрузить сервер, поставить в обратном порядке всё

значит это?

я пропустил, переставлять IIS пробовали?

Нет ещё

я бы да, MP это расходник, она ничего ценного не несёт в себе, просто функция

я бы да, MP это расходник, она ничего ценного не несёт в себе, просто функция

Ну вот чёрт его знает, я сомневаюсь, что поможем

Правильный путь для начала - поднять дополнительную MP

для неё проца и памяти не надо много

Любой говносервер подойдёт

А клиенты заработают

ну ок, допустим подниму, а дальше?)

а дальше можно IISы переставлять до опупения )

да в принципе можео и переставить, потерпят

sc это ж для нас, админов фича, на работу простого пользователя это не влияет

каков процесс? 1) удаляю битс (ребут?) 2) удаляю иис (ребут?) 3) удалаю mp (ребут?) восстанавливаю всё в обратном порядке?

каков процесс? 1) удаляю битс (ребут?) 2) удаляю иис (ребут?) 3) удалаю mp (ребут?) восстанавливаю всё в обратном порядке?

3 + удалить прочие роли, которые на IIS хостятся (DP, Appcatalog, Reporting), потом 1+2, потом ребут Я так понимаю, у вас один сервак на все случаи жизни. поэтому мне тема с удалением IIS не очень нравится

WSUS тоже IIS пользует

3 + удалить прочие роли, которые на IIS хостятся (DP, Appcatalog, Reporting), потом 1+2, потом ребут Я так понимаю, у вас один сервак на все случаи жизни. поэтому мне тема с удалением IIS не очень нравится

мне тоже неочень... есть ещё какие то варианты?

поднять другую MP и потом ковыряться с этой тогда

а может реально имеет смысл новый чистыйсвежийохуенный сайт сервер поднять?

серверные мощности есть

очень большие трудозатраты будут

как развернуть новый SCCM считай

понимаю

тем более у тебя вторичников миллион ещё