SSRS Berechtigungen

Question

Hi,

meine Zeiten des SSRS sind schon etwas länger her, daher vielleicht auch meine etwas einfach anmutende Frage:

Welche Berechtigungen sind auf dem Windows Server erforderlich, damit ein User einen Report aufrufen kann. (Also auf dem Windows-Server, wo der SSRS läuft)

Ich habe folgendes Setup:

Mitarbeiter-PC

SSRS Server inklusive der Datenbanken für die Reporte

Der Mitarbeiter kann sich die erstellen Reporte nur anzeigen lassen, wenn er auf dem Windows Server selbst einen Login hat.

Soweit ich das aus meiner Vergangenheit weiß, ist das doch nicht immer erforderlich, oder?

Wir verwenden noch das NTLM, Kerberos ist in Planung. Muss ich hierbei auch schon etwas delegieren?

Das mit den Berechtigungen auf die Ordner, die Datenquellen etc. habe ich soweit durch, ich verzweifle nur an dem Punkt, dass der Benutzer über ein Konto auf dem Windows Server verfügen muss, wo der SSRS läuft.

Das kann doch nicht richtig sein, oder hat sich in den Versionen mittlerweile so viel geändert?

Danke euch,

Beste Grüße

Andreas

Answer 1

Hallo Andreas,

das Domänenkonto des Users muss im Reportserver berechtigt werden. Das geht über "Ordner verwalten" im Stamm oder "Verwalten" bei einem einzelnen Ordner, bzw. Report.

Auf dem Windows-Server benötigt der User kein Konto. Da hast Du vollkommen Recht.

Welche Fehlermeldung bekommt der User denn, wenn er versucht den Stamm anzuzeigen oder einen Report?

---

Einen schönen Tag noch, Christoph - http://www.insidesql.org/blogs/cmu

Answer 2

Hi,

die Fehlermeldung ist die folgende:

Ordnerinhalte konnten nicht geladen werden.

Sie haben keine Berechtigung zum Anzeigen dieses Ordners. Wenden Sie sich an Ihren Administrator, um die erforderlichen Berechtigungen anzufordern.

Das bedeutet, ich sehe ja noch gar keine Ordner, oder Datasets oder Datasources. Den Fehler bekomme ich nur weg, wenn ich den entsprechenden User lokal auf dem Windows Server berechtige, und das verstehe ich an der Stelle überhaupt nicht mehr.

Die Arbeitsplatzrechner stehen in der Domain1, die SSRS stehen in der Domain2, wobei beim Aufruf der URL auch der Login erscheit, wo ich mit den Daten aus der Domain2 anmelde. Das muss aber so sein, sonst habe ich ja keinen Zugriff auf den Server selbst.

Beste Grüße

Andreas

Answer 3

Hallo Andreas,

mit verschiedenen Domänen sieht die Sache natürlich etwas komplizierter aus. Das hattest Du zu Anfang auch gar nicht erwähnt.

Bitte noch einmal beschreiben:

- Sind es vertraute Domänen?

- Welches Login verwendest Du im Browser?

- Welchen Browser verwendest Du?

- Welches Login hat Rechte auf dem Stamm-Verzeichnis? Domain1 oder Domain2 oder beide?

Bei uns sind es vertraute Domänen und die User verwenden ihr Windows-Login aus der fremden Domäne. Das habe ich im Report-Server berechtigt, wobei wir ein gemeinsames AD verwenden.

Probier auch mal z. B. Chrome oder Firefox für die Anmeldung

Du könntest auch mal zum Test Everyone berechtigen: Reporting for Everyone

---

Einen schönen Tag noch, Christoph - http://www.insidesql.org/blogs/cmu

Answer 4

Hallo,

da bekommt man echt graue Haare. Also, komischerweise wurde irgendetwas bei uns geändert, denn vorher ging es mal.

Ich musste zusätzlich die folgenden Berechtigungen setzen:

Im Stamm auf der rechten Seite unter "Ordner verwalten"

Hier fehlten wohl die Rechte, überhaupt den "Stamm" anzusehen.

Das erklärt aber auch, wieso die Mitglieder der lokalen Administrator-Gruppe die Inhalte sehen konnte, diese sind wohl als Default in der Berechtigung enthalten.

Ist ja erschreckend, dann man so viel Wissen, in so kurzer Zeit verlieren kann.

Danke dir für die Hilfe,

Grüße

Andreas

PS: hier nochmal der Link auf die Seite, wo ich die Lösung gefunden hatte:

https://social.msdn.microsoft.com/Forums/SECURITY/en-US/ab51020e-6b16-4855-a2ed-06b381718f06/ssrs-2016-access-denied-by-default?forum=sqlreportingservices

Answer 5

Nachtrag:

Auf den folgenden Seiten ist nochmals sehr gut erklärt, wieso man bei den Credentials einer Datasource ggf. das Recht des local logins auf dem SSRS selbst benötigt:

Specify Credential and Connection Information for Report Data Sources

Auszug aus der Seite:

How to Grant "Allow log on locally" Permissions to Domain User Accounts

If you use stored credentials to connect to an external data source, the Windows domain user account must have permission to log on locally. This permission allows the report server to impersonate the user on the report server and send the request to the external data source as that impersonated user.

Das war dann der finale Punkt, wo es zuletzt gehakt hatte. Vielleicht hilft ja jemandem in einer ähnlichen Situation weiter.

Beste Grüße

Andreas