Announcement

**Andreas Kosch** · 10.02.2003, 12:36

Hallo,

DCOM verwendet das so genannte "Wasserstands-Prinzip", bei dem der h�chste Sicherheitseintrag auf einer der beiden Rechner die Regeln f�r beide festlegt. Sind beide Rechner in der gleichen Dom�ne (ADS)? Unter welchem Benutzerkonto werden die DCOM-Server ausgef�hrt - gibt es dieses Konto auch auf dem anderen Rechner?

P.S: Den Sonderfall Callback habe ich in meinem Buch (1. Auflage) auf den Seiten 353ff beschrieben

**Andr� Mellenthin** · 10.02.2003, 15:12

Hallo, 
 
erst einmal vielen Dank f�r die Antwort. Also, ich verwende als Server W2K (Mitgliedsserver in einer W2K-Dom�ne) und als Client WinXP Prof., ebenfalls Mitglied und angemeldet in der Dom�ne. 
 
SERVER: 
 
Standardeigenschaften: 
 
DCOM auf diesem Computer aktivieren: JA 
COM-Internetdienste auf diesem Computer aktivieren: NEIN (falsch?) 
Authentifizierungsebene; (Kein) 
Identit�tswechselebene: (Kein) 
 
Spezielle Eigenschaften f�r das Objekt DBManagerObjekt 
 
Authentifizierungsebene; (Kein) 
Anwendung auf diesem Computer ausf�hren: JA (da Server) 
Identit�t: Benutzer, der die Anwendung startet 
 
 
CLIENT: 
 
Standardeigenschaften: 
 
DCOM auf diesem Computer aktivieren: JA 
COM-Internetdienste auf diesem Computer aktivieren: NEIN (falsch?) 
Authentifizierungsebene; (Kein) 
Identit�tswechselebene: Anonym 
 
Spezielle Eigenschaften f�r das Objekt DBManagerObjekt 
 
Authentifizierungsebene; (Kein) 
Anwendung auf diesem Computer ausf�hren: NEIN (da Client) 
Anwendung auf dem folgenden Computer ausf�hren: JA (hier steht der W2K-Server) 
Identit�t: Benutzer, der die Anwendung startet 
 
Der Benutzer der den Client startet ist Dom�nen-Benutzer, jedoch lokaler Administrator auf dem Server. 
 
Wie ich feststellen konnte, tritt der Fehler "Zugriff verweigert" nicht schon beim Erzeugen, sondern erst 2 Zeilen sp�ter bei der folgenden Anweisung auf: 
 
FDBManager.BroadcastInfo(FUserName, 'Connect'); 
 
Haben Sie hierzu eine Idee? 
 
Sch�nen Gru�, 
 
Andr� Mellenthin 
<br&gt

**Andr� Mellenthin** · 10.02.2003, 22:57

M�ssen nach �nderungen an den Sicherheitseinstellung eigentlich irgendwelche Dienste neu gestartet werden oder greifen die Einstellungen sofort beim n�chsten Start der entsprechenden COM- Objekte? 
<br&gt

**Andreas Kosch** · 12.02.2003, 12:09

Hallo,

generell ist es bei DCOM immer eine gute Idee, am Anfang mit der einfachsten Konfiguration anzufangen und das Ganze erst dann schrittweise an die eigenen Bed�rfnisse anzupassen, wenn der erste Aufruf erfolgreich war. Da Microsoft in aktuellen Service Packs bzw. in XP die Sicherheits-Regeln zus�tzlich versch�rft hat, w�rde ich den ersten Versuch mit der folgenden Einstellung machen:

Umgebung: Windows XP-Client greift auf W2K-Server in der gleichen Dom�ne zu

Server: 
a) DCOM aktivieren: Ja 
b) COM-Internetdienste: Nein (keine HTTP-Tunnelung �ber Port 80) 
c) Standard-Authentifizierungsebene: Verbinden 
d) Standard-Identit�tswechselebene: Identifizieren 
Wenn Werte ge�ndert werden, Rechner neu booten ! 
(die Punkt c und d sind immer dann wichtig, wenn WinXP oder NT4 SP6 oder W2K SP>=2 genutzt werden) 
e) DCOMCNFG: DCOM-Objekt unter einem festen Benutzer-Konto ausf�hren (1. Versuch: Administrator-Konto nutzen)

Client: 
a) DCOM aktivieren: Ja 
b) COM-Internetdienste: Nein (keine HTTP-Tunnelung �ber Port 80) 
c) Standard-Authentifizierungsebene: Verbinden 
d) Standard-Identit�tswechselebene: Identifizieren 
Wenn Werte ge�ndert werden, Rechner neu booten ! 
(die Punkt c und d sind immer dann wichtig, wenn WinXP oder NT4 SP6 oder W2K SP>=2 genutzt werden) 
e) DCOMCNFG: COM-Standardsicherheit | Zugriffsberechtigung auf das Callback-Objekt f�r den Benutzer, den der Server im Punkt e) festlegt.

F�r den 1. Test ist es au�erdem sinnvoll, wenn f�r die Punkte e) ein Benutzerkonto gew�hlt wird, dass auf beiden Rechnern eine identische Benutzernamen- und Passwort-Kombination verwendet. War dann der Zugriff erfolgreich, kann man alle globalen Einstellungen durch die Anwendungsspezifischen Einstellungen ersetzen und die Rechte einschr�nken

**Andr� Mellenthin** · 12.02.2003, 23:11

Hallo Herr Kosch, 
 
nochmals vielen Dank. Ihr Tip bzgl. der Verwendung eines festen Benutzerkontos war der Schl�ssel! Ich hatte zuvor die Einstellung "Benutzer, der die Anwendung startet.". Nun ist sowohl am Client als auch am Server ein festes Konto hinterlegt. Und nun funktioniert es. 
 
Mir ist der Unterschied zwar noch nicht ganz klar, aber Hauptsache ich habe eine L�sung auf der ich aufsetzen kann. 
 
Sch�nen Gru�, 
 
Andr� Mellenthin 
<br&gt

Announcement

Zugriff verweigert beim Callback-Manager

Zugriff verweigert beim Callback-Manager

Comment

Comment

Comment

Comment

Comment