Felet "401 obehörig" vid användning av OAuth- och SAML-anspråk

  • Artikel
  • Gäller för:
    Microsoft SharePoint

Symptom

Tänk dig följande situation:

  • Du använder SAML-anspråkstyper (Security Assertions Markup Language) som använder Active Directory Federated Services (AD FS) som autentiseringsprovider i din servergrupp.
  • Du använder anspråket Role eller GroupSID för att bevilja behörigheter till användare på Microsoft SharePoint 2013-webbplatser i servergruppen.
  • Servergruppsversionen är tidigare än version 15.0.4805.1000 (den kumulativa uppdateringen mars 2016).

I det här scenariot får användare som har rätt behörigheter tilldelade till dem via anspråkstypen Roll eller GroupSID felmeddelanden "401 obehöriga" när de använder OAuth-autentiseringsmetoden i fall som följande:

  • Arbetsflödeshanteraren (SharePoint 2013-arbetsflöden)
  • Web Application Companion (WAC – Office Web Apps)
  • Värdbaserade appar för provider med högt förtroende eller lågt förtroende
  • Publicering/användning av tjänstprogram mellan servergrupp
  • Scenarier med Hybrid SharePoint 2013/SharePoint Online
  • SharePoint-integrering med Exchange och Lync 2013/Skype för företag

Åtgärd

Lös problemet genom att installera den kumulativa uppdateringen från mars 2016 för Microsoft SharePoint Server på alla servrar i servergruppen.

Som en del av korrigeringen läggs en ny egenskap, GroupClaimType, till i SPTrustedIdentityTokenIssuer-objektet. För att OAuth ska kunna fungera korrekt måste den här egenskapen anges till rätt anspråkstyp för auktorisering för användare som har tilldelats behörigheter via anspråkstypen Roll eller GroupSID.

Om du vill ange egenskapen GroupClaimType kör du följande Windows PowerShell kommandon:

#Create a variable containing the SPTrustedIdentityTokenIssuer object  
$issuer = Get-SPTrustedIdentityTokenIssuer  

#Set the GroupClaimType property to the Role claim type, do not run for GroupSID claim type  
$issuer.GroupClaimType = [Microsoft.IdentityModel.Claims.ClaimTypes]::Role   

#Set the GroupClaimType property to the GroupSID claim type, do not run for Role claim type  
$issuer.GroupClaimType = [Microsoft.IdentityModel.Claims.ClaimTypes]::GroupSid  

#Update the SPTrustedIdenityTokenIssuer object to apply the change   
$issuer.Update()

Mer information

Exempel på felmeddelande från ett misslyckat arbetsflöde:

RequestorId: <Requestor ID>. Details: System.ApplicationException: HTTP 401 {"error":{"code":"-2147024891, System.UnauthorizedAccessException","message":{"lang":"en-US","value":"Access denied. You do not have permission to perform this action or access this resource."}} } {"Transfer-Encoding":["chunked"],"X-SharePointHealthScore":["0"],"SPRequestGuid":["<SP Request GUID>"],"request-id":["<Request ID>"],"X-FRAME-OPTIONS":["SAMEORIGIN"],"MicrosoftSharePointTeamServices":["15.0.0.4805"],"X-Content-Type-Options":["nosniff"],"X-MS-InvokeApp":["1; RequireReadOnly"],"Cache-Control":["max-age=0, private"],"Date":["Fri, 19 Aug 2016 20:35:30 GMT"],"Server":["Microsoft-IIS\/8.0"],"WWW-Authenticate":["NTLM"],"X-AspNet-Version":["4.0.30319"],"X-Powered-By":["ASP.NET"]} at Microsoft.Activities.Hosting.Runtime.Subroutine.SubroutineChild.Execute(CodeActivityContext context) at System.Activities.CodeActivity.InternalExecute(ActivityInstance instance, ActivityExecutor executor, BookmarkManager bookmarkManager) at System.Activities.Runtime.ActivityExecutor.ExecuteActivityWorkItem.ExecuteBody(ActivityExecutor executor, BookmarkManager bookmarkManager, Location resultLocation)

Exempel på loggposter i ULS-loggarna (Unified Logging System):

15:54:30.25 w3wp.exe (0x9FCC) 0x5F78 SharePoint Foundation CSOM aii1c Verbose Checking   
SPBasePermissions.Open permission  

15:54:30.25 w3wp.exe (0x9FCC) 0x5F78 SharePoint Foundation Authentication Authorization ajmmu   
Medium Permission check failed. asking for 0x10000, have 0x2000000000 645f0edc-7ec9-44c5-84b7-  
2adfba2f7f92  

15:54:30.25 w3wp.exe (0x9FCC) 0x5F78 SharePoint Foundation CSOM afxwb High  
System.UnauthorizedAccessException: Attempted to perform an unauthorized operation. at   
Microsoft.SharePoint.SPGlobal.HandleUnauthorizedAccessException(UnauthorizedAccessException ex) at   
Microsoft.SharePoint.SPSecurableObject.CheckPermissions(SPBasePermissions permissionMask) at   
Microsoft.SharePoint.Client.SPClientServiceHost.OnBeginRequest() at   
Microsoft.SharePoint.Client.Rest.RestService.ProcessQuery(Stream inputStream, IList`1   
pendingDisposableContainer)  

15:54:30.25 w3wp.exe (0x9FCC) 0x5F78 SharePoint Foundation CSOM agmjp High Original error:  
System.UnauthorizedAccessException: Attempted to perform an unauthorized operation. at   
Microsoft.SharePoint.SPGlobal.HandleUnauthorizedAccessException(UnauthorizedAccessException ex) at   
Microsoft.SharePoint.SPSecurableObject.CheckPermissions(SPBasePermissions permissionMask) at   
Microsoft.SharePoint.Client.SPClientServiceHost.OnBeginRequest() at   
Microsoft.SharePoint.Client.Rest.RestService.ProcessQuery(Stream inputStream, IList`1   
pendingDisposableContainer)   

15:54:30.25 w3wp.exe (0x9FCC) 0x5F78 SharePoint Portal Server Microfeeds aizmo Medium   
SocialRESTExceptionProcessingHandler.DoServerExceptionProcessing - SharePoint Server Exception   
[System.UnauthorizedAccessException: Attempted to perform an unauthorized operation. at   
Microsoft.SharePoint.SPGlobal.HandleUnauthorizedAccessException(UnauthorizedAccessException ex) at   
Microsoft.SharePoint.SPSecurableObject.CheckPermissions(SPBasePermissions permissionMask) at   
Microsoft.SharePoint.Client.SPClientServiceHost.OnBeginRequest() at   
Microsoft.SharePoint.Client.Rest.RestService.ProcessQuery(Stream inputStream, IList`1   
pendingDisposableContainer)] 645f0edc-7ec9-44c5-84b7-2adfba2f7f92  

15:54:30.25 w3wp.exe (0x9FCC) 0x5F78 SharePoint Foundation Claims Authentication af32v Verbose   
Claims Windows Sign-In: Sending 401 for request  
'http://<;servername>;:30079/_vti_bin/client.svc/web/lists/getbyid(guid'<GUID>')' because the request is not from a browser.   

15:54:30.25 w3wp.exe (0x9FCC) 0x5F78 SharePoint Foundation Authentication Authorization alkvd   
Medium Throw UnauthorizedAccessException instead of SPUtilityInternal.Send401 for client.svc request.

Status

Microsoft har bekräftat att detta är ett problem i SharePoint-servergruppens versioner som är tidigare än den kumulativa uppdateringen i mars 2016 (v. 15.0.4805.1000).

Referenser

SharePoint Uppdateringar

Behöver du fortfarande hjälp? Gå till SharePoint Community.