現象
1 つの Microsoft Exchange Server 上に配布グループを作成することを想定しています。 この場合、他の Exchange Server から add-ADPermission コマンドレットを使用して、ユーザーに配布グループへの送信者または受信者アクセス許可を付与することはできません。 次のようなメッセージが表示されます。
注
<computer.domain.com> で Active Directory 操作が失敗しました。 このエラーは再試行できません。 追加情報: アクセスは拒否されます。
Active Directory の応答: 00000005: SecErr: DSID-031521D0、問題 4003 (INSUFF_ACCESS_RIGHTS)、データ 0
+ CategoryInfo : WriteError: (0:Int32) [Add-ADPermission], ADOperationException
+ FullyQualifiedErrorId : 5557AD82,Microsoft.Exchange.Management.RecipientTasks.AddADPermission
この例では、 <computer.domain.com> は、コンピューターの完全修飾ドメイン名を表します。
原因
既定では、Exchange の信頼されたサブシステムには "アクセス許可の変更" アクセス許可が付与されていません。 これにより、状況によっては、アクセス拒否エラーが発生して Add-ADPermission コマンドレットが失敗することがあります。
具体的には、次のいずれかの状況で、このエラーが発生します。
- 変更を行う管理者ユーザーにメールボックスが関連付けられている場合、変更対象の Active Directory グループ オブジェクトの所有者が、そのメールボックスをホストするコンピューターと異なる場合に、このエラーが発生します。
- 変更を行う管理者ユーザーにメールボックスが関連付けられていない場合、変更対象の Active Directory グループ オブジェクトの所有者が調停メールボックスをホストするコンピューターと異なる場合 (調停メールボックスの名前は SystemMailbox{bb558c35-97f1-4cb9-8ff7-d53741dc928c に似ています)、このエラーが発生します。
解決策
この問題を回避するには、Exchange の信頼されたサブシステムに対する "アクセス許可の変更" アクセス許可を、配布グループを含む組織単位 (OU) に追加します。 手順は次のとおりです。
[Active Directory ユーザーとコンピューター] を開きます。
[ 高度な機能 > 表示] を選択します。
配布リストを含む OU を右クリックし、[ プロパティ] を選択します。
[セキュリティ>詳細設定] を選択します。
[アクセス許可>追加] を選択します。
[<OU NAME> のアクセス許可エントリ] ウィンドウで、[プリンシパルの選択] を選択します。
[ 選択するオブジェクト名を入力してください ] ボックスに「 Exchange 信頼されたサブシステム」と入力し、[ OK] を選択します。
注
Exchange Server がこの組織単位のドメイン以外のドメインにインストールされている場合、Exchange の信頼されたサブシステムが現在のドメインに見つからないことがあります。 [ この場所から ] の設定を、Exchange がインストールされているドメインに変更する必要があります。
[<OU NAME> のアクセス許可エントリ] ウィンドウで、[適用先] の値を子グループ オブジェクトに変更します。
既定で追加されているすべてのアクセス許可の選択をクリアするには、ウィンドウの一番下までスクロールし、[ すべてクリア] を選択します。
ウィンドウの [アクセス許可] セクションで、[ アクセス許可の変更] を選択します。
アクセス許可を適用してすべてのウィンドウを閉じるには、[ OK ] を 3 回選択します。