- PR -

ADアカウントでのFTPユーザ認証について

1
投稿者投稿内容
linux
ベテラン
会議室デビュー日: 2005/10/24
投稿数: 50
投稿日時: 2007-09-13 10:55
いつも勉強させていただいております。よろしく御願いします。


【やりたい事】
FTP接続時にAD(ActiveDirectory)に登録されているドメインユーザの
アカウント、パスワードにて認証を行いたい。


【環境】
OS:Windows2000ServerSP4
ActiveDirectory:ドメインコントローラとして設定
ActiveDirectory動作モード:Windows2000ネイティブ
Soft:Microsoft IIS 5.0 FTPサービス


【FTP設定内容】
Windows2000Server(DC)にIISをインストールし、デフォルトでFTPサービスもインストールされました。
設定は下記のURLの「匿名ユーザーまたはドメイン ユーザーのアクセスを構成する」の部分の通りに設定しました。
http://support.microsoft.com/kb/318712/ja

[インターネット サービス マネージャ]
↓
[既定のFTP サイト]のオブジェクトを右クリックし、[プロパティ] をクリック
↓
[セキュリティ アカウント] タブをクリック
↓
[匿名接続を許可する] チェック ボックスをオフ
↓
IISサービスを再起動


【現象】
1.WindowsFTPコマンドやFFFTPを使い、ドメインユーザで接続すると下記のようにログインに失敗します。
　530 User testuser1 cannot log in.
　Login failed.

2.念の為、他のアカウントでもログインをしてみたのですが、Domain Adminsに
　所属しているアカウントは正常にログインできます。
　FTPで使用しているディレクトリの権限はEveryoneにフルコントロールとなっています。


FTP接続時にAD(ActiveDirectory)に登録されているドメインユーザの
アカウント、パスワードにて認証を行うには他に追加設定が必要なのでしょうか。
ご存知の方がいらっしゃいましたらお教え下さい。
よろしく御願いします。



[ メッセージ編集済み 編集者: linux 編集日時 2007-09-14 09:25 ]
Kozoo
ベテラン
会議室デビュー日: 2005/11/10
投稿数: 52
お住まい・勤務地: コンクリートジャングル東京
投稿日時: 2007-09-19 13:02
引用:

linuxさんの書き込み (2007-09-13 10:55) より:

【やりたい事】
FTP接続時にAD(ActiveDirectory)に登録されているドメインユーザの
アカウント、パスワードにて認証を行いたい。

【現象】
1.WindowsFTPコマンドやFFFTPを使い、ドメインユーザで接続すると下記のようにログインに失敗します。

　530 User testuser1 cannot log in.
　Login failed.

2.念の為、他のアカウントでもログインをしてみたのですが、Domain Adminsに
　所属しているアカウントは正常にログインできます。
　FTPで使用しているディレクトリの権限はEveryoneにフルコントロールとなっています。


FTPログイン時のユーザー名をダウンレベルログイン名にしてみては如何でしょうか。
Domainname\\Username
対象ディレクトリに対してアクセス権があれば、特に設定せずにログインできるようです。

　ServerA：Win2KSRV SP4 ＆ IIS5.0
　Client：WinXPPro SP2
　にて検証してみました。

[追記]
FTPサーバにしているサーバのローカルに対してアカウントを作っておけば
sAMACCOUNTNAME(Username)でログインが可能でした。
引用:

2.念の為、他のアカウントでもログインをしてみたのですが、Domain Adminsに
　所属しているアカウントは正常にログインできます。

これは、当方では再現できませんでした。

[ メッセージ編集済み 編集者: Kozoo 編集日時 2007-09-19 13:13 ]
柴田　たけお
常連さん
会議室デビュー日: 2007/09/19
投稿数: 40
お住まい・勤務地: 米国カリフォルニア州オレンジカウンティー
投稿日時: 2007-09-19 14:23
domainname\User
でログインしてみたらいかがでしょうか？

私もだいぶ前にためしたことがありましたが
domainnameがFTPからだと自動的に認識してくれるようではないので
domainnameをいれないと失敗するようです。

Kozooさんがすでに答えていますね。失礼しました。
linux
ベテラン
会議室デビュー日: 2005/10/24
投稿数: 50
投稿日時: 2007-09-19 18:18
Kozooさん、柴田さん、レスありがとうございます。


Domainname\\Usernameでログインを試しましたが、現象は変わりませんでした。
同じメッセージが表示されます。
530 User domainname\testuser1 cannot log in.
　Login failed.

＞ FTPサーバにしているサーバのローカルに対してアカウントを作っておけば
＞ sAMACCOUNTNAME(Username)でログインが可能でした。
今回のFTPサーバはドメインコントローラを兼ねているので、ローカルアカウントは有りませんでした。


Kozooさんの環境で同一の現象が再現しないという事はAD環境特有の問題なのでしょうか。
ADとFTPの併用を再度調べてみます。
linux
ベテラン
会議室デビュー日: 2005/10/24
投稿数: 50
投稿日時: 2007-09-20 10:37
お世話になっております。自己レスです。
解決しました。Kozooさん、柴田さん、ありがとうございました。

【原因】
1.ドメインコントローラにFTPサービスを設定
↓
2.ドメインコントローラ用のグループポリシーが適用される
↓
3.デフォルトのドメインコントローラ用のグループポリシーでは
　ログインアカウント、グループを制限
↓
4.Domain Usersに属するアカウントでFTPログインできない


【対応】
1.[ActiveDirectoryユーザーとコンピュータ]コンソール→[Domain Controller]→[プロパティ]
2.[DefaultDomainControllersPolicy]を選択して[編集]
3.[コンピュータの構成]→[Windowsの設定]→[セキュリティの設定]→[ローカルポリシー]→
→[ユーザー権利の割当]→[ローカルログオン]→[セキュリティ]
4.[追加]→Domain Users(FTP接続させたいグループ)を入力→[OK]
5.[secedit /refreshpolicy machine_policy]コマンドでポリシー反映

これでDomain UsersでFTP接続できるようになりました。
みなさん、ありがとうございました。
1

スキルアップ／キャリアアップ（JOB@IT）