TFS 2010 - 管理员对“/tfs”的访问被拒绝

Question

我正在尝试设置 TFS2010（带有 SP1）服务器，但我一直遇到障碍。

最新版本阻止我做任何有用的事情，因为对“https://tfs.myserver.com/tfs”的每个 HTTP 请求都会导致 HTTP 401。这些请求来自 TFS 管理控制台还是来自 Web 并不重要- 浏览器。每次系统提示我进行身份验证时，我都会输入域管理员的完全限定用户名和密码，但总是收到此错误消息：

Team Foundation Server
TF30063: You are not authorized to access https://tfs.myserver.com/tfs. - The remote erver returned an error: (401) Unauthorized.

管理控制台中只有少数设置有效（例如“更改 URL”），但其他设置（例如“组”）有效。成员资格”（在应用程序层节点上或在团队项目集合上）会导致相同的提示然后失败。

SSL 证书有效，并且 URL 看起来一致。我想不出我错过了什么。

编辑：通常的事件日志中没有任何相关内容。安全日志确实显示了我的审核失败，但我不明白它们，因为我正确输入了用户名和密码（与我用于通过 RDP 访问服务器的用户名和密码完全相同）：

An account failed to log on.

Subject:
    Security ID:        NULL SID
    Account Name:       -
    Account Domain:     -
    Logon ID:       0x0

Logon Type:         3

Account For Which Logon Failed:
    Security ID:        NULL SID
    Account Name:       Administrator
    Account Domain:     DOMAIN

Failure Information:
    Failure Reason:     Unknown user name or bad password.
    Status:         0xc000006d
    Sub Status:     0xc000006a

Answer 1

团体会员资格和团体会员资格有何不同？安全对话框是通过客户端 API 并通过 IIS 进行访问。所有其他内容（例如更改服务器 URL）都会通过服务器模型直接到达数据库。这意味着 IIS 由于某种原因无法在您的域上进行身份验证...

从描述来看，它似乎是一台加入域的计算机。 IIS 是否有权访问域控制器？ （它是否连接到域网络）向导会验证您是否可以访问 AD，但如果您随后断开连接...如果 IIS 无法访问 AD，它将无法进行身份验证。 TFS 依赖 IIS 进行 Windows 身份验证。看来它不能这样做。

其他一些要尝试的事情：

1. 在管理控制台的应用程序层面板上，尝试更改服务器运行的帐户（域帐户）。
2. 您是否在高级向导中选择了 Kerberos 身份验证？如果您使用域用户作为服务帐户来执行此操作，则会出现一个弹出对话框，告诉您需要额外的 AD 管理。如果您这样做了，您可以从管理控制台更改为 NTLM。
3. 尝试通过 http://machinename:8080/tfs （而不是 FQDN）在本地和远程访问它。也可以从网络浏览器尝试 http://machinename:8080/tfs/web 。确保您没有代理服务器问题（通过代理服务器路由 NTLM 可能会出现问题 - 如果您在 IE 设置中绕过本地，则不带点的地址将不会通过代理路由，并将其从故障排除图中排除）。您还可以完全禁用 IE 中的代理以进行故障排除。
4. 使用与匿名和匿名帐户相同的帐户运行 hello world aspx，手动创建另一个网站。禁用基本身份验证并启用集成 Windows 身份验证。确保它有效。

Answer 2

在尝试了人们提出的有用建议但没有取得任何进展而感到沮丧之后，我决定重新开始并再试一次。我完全卸载了 TFS、SQL Server 和 SharePoint 服务，然后从头开始重新安装。

这次效果很好——无需干预安全性，系统开箱即用。

回想起来，我认为问题在于我使用 SharePoint 的高级选项设置了 TFS，然后我可能摆弄了一些我不熟悉的设置，最终得到了一些东西。

未来的自己请注意：在生产环境中部署之前先在虚拟机中进行练习。