Connexion

Select the product you need help with

XADM : Des messages d'erreur Exchange 2000 sont g�n�r�s en raison de probl�mes li�s au droit SeSecurityPrivilege et � Policytest

Num�ro d'article: 314294 - Voir les produits auxquels s'applique cet article

Ancien n� de publication de cet article�: F314294

Sympt�mes

Il se peut que vous soyez dans l'incapacit� d'installer les bases de donn�es du magasin d'informations Exchange 2000. En outre, un ou plusieurs des messages d'erreur suivants peuvent �tre enregistr�s dans le journal d'�v�nements de l'application :

Type de l'�v�nement : Erreur
Source de l'�v�nement : MSExchangeDSAccess
Cat�gorie de l'�v�nement : (3)
ID de l'�v�nement : 2102
Date : 1/1/2002
Heure : 00:00:00
Utilisateur : S/O
Ordinateur : EXCHANGE1
Description : Processus MAD.EXE (PID=1088). Aucun des serveurs contr�leurs de domaine en cours d'utilisation ne r�pond :
dc1.company.com
dc2.company.com
dc3.company.com

Type de l'�v�nement : Erreur
Source de l'�v�nement : MSExchangeSA
Cat�gorie de l'�v�nement : (1)
ID de l'�v�nement : 9004
Date : 1/1/2002
Heure : 00:00:00
Utilisateur : S/O
Ordinateur : EXCHANGE1
Description : Impossible de d�marrer le service de mise � jour de la m�tabase, erreur '80040a01'.

Type de l'�v�nement : Erreur
Source de l'�v�nement : MSExchangeSA
Cat�gorie de l'�v�nement : (1)
ID de l'�v�nement : 1005
Date : 1/1/2002
Heure : 00:00:00
Utilisateur : S/O
Ordinateur : EXCHANGE1
Description : Erreur inattendue. Une erreur inconnue s'est produite. ID n� : 80040a01. Une erreur s'est produite au niveau du surveillant syst�me Microsoft Exchange.

Type de l'�v�nement : Erreur
Source de l'�v�nement : MSExchangeMU
Cat�gorie de l'�v�nement : (1)
ID de l'�v�nement : 1002
Date : 1/1/2002
Heure : 00:00:00
Utilisateur : S/O
Ordinateur : EXCHANGE1
Description : Impossible de d�marrer l'agent de mise � jour de la m�tabase. Le code d'erreur est 80040a01.

Type de l'�v�nement : Erreur
Source de l'�v�nement : MSExchangeIS
Cat�gorie de l'�v�nement : (6)
ID de l'�v�nement : 9519
Date : 1/1/2002
Heure : 00:00:00
Utilisateur : S/O
Ordinateur : EXCHANGE1
Description : Erreur 0x80004005 au d�marrage de la base de donn�es "First Storage
Group\Mailbox Store(EXCHANGE1)" sur le magasin d'informations Microsoft Exchange. Impossible de configurer MDB. Le service Magasin d'informations Microsoft Exchange n'a pas pu trouver l'objet sp�cifi�. ID n� : c1041722

Type de l'�v�nement : Erreur
Source de l'�v�nement : MSExchangeMU
Cat�gorie de l'�v�nement : G�n�ral
ID de l'�v�nement : 1029
Date : 1/1/2002
Heure : 00:00:00
Utilisateur : S/O
Ordinateur : EXCHANGE1
Description : Impossible de dupliquer le descripteur de s�curit� sur la m�tabase. Les utilisateurs risquent de ne pas pouvoir lire ou �crire des donn�es dans la m�tabase. Le code d'erreur est 8000500d.

Type de l'�v�nement : Erreur
Source de l'�v�nement : MSExchangeSA
Cat�gorie de l'�v�nement : Interface RFR
ID de l'�v�nement : 9074
Date : 1/1/2002
Heure : 00:00:00
Utilisateur : S/O
Ordinateur : EXCHANGE1
Description : L'interface DSR (Directory Service Referral) n'a pas pu honorer la requ�te d'un client. RFRI retourne le code d'erreur :[0x3f0].

Type de l'�v�nement : Erreur
Source de l'�v�nement : MSExchangeIS
Cat�gorie de l'�v�nement : G�n�ral
ID de l'�v�nement : 1121
Date : 1/1/2002
Heure : 00:00:00
Utilisateur : S/O
Ordinateur : EXCHANGE1
Description : Erreur 0x80004005 � la connexion avec le service Microsoft Active Directory.

Type de l'�v�nement : Erreur
Source de l'�v�nement : MSExchangeMTA
Cat�gorie de l'�v�nement : Configuration
ID de l'�v�nement : 125
Date : 1/1/2002
Heure : 00:00:00
Utilisateur : S/O
Ordinateur : EXCHANGE1
Description : Une erreur fatale s'est produite � la lecture d'une valeur de l'annuaire. Aucun nom MTA n'a �t� trouv�. Contactez le Support technique Microsoft. [MTA MAIN BASE 1 12] (16)

Retour au d�but | Envoyer des commentaires

Cause

Ce probl�me peut se produire si le droit "G�rer l'audit et le journal de s�curit�" (SeSecurityPrivilege) a �t� supprim� pour le groupe de domaines local Serveurs Exchange Enterprise ou sur une partie ou l'ensemble des contr�leurs de domaine.

Lors de l'installation du premier ordinateur Exchange dans un domaine ou de l'ex�cution du programme d'installation Exchange avec le commutateur /domainprep, le groupe de serveurs Exchange Enterprise re�oit le droit SeSecurityPrivilege.

En cas de suppression ult�rieure du droit SeSecurityPrivilege, les ordinateurs Exchange qui utilisent des contr�leurs de domaine dans le domaine arr�tent de fonctionner, mais pas imm�diatement. Ces probl�mes deviennent manifestes lors de l'expiration des intervalles entre deux actualisations de la s�curit� Kerberos ou lorsque les services Exchange sont red�marr�s sur des serveurs particuliers.

Retour au d�but | Envoyer des commentaires

R�solution

Pour r�soudre ce probl�me, servez-vous de l'utilitaire Policytest.exe pour contr�ler l'�tat du droit SeSecurityPrivilege sur l'ensemble des contr�leurs de domaine d'un domaine sp�cifique. L'utilitaire Policytest.exe est inclus sur le CD-ROM d'installation d'Exchange 2000.

Pour d�terminer si un serveur Exchange 2000 Enterprise dispose ou non du droit SeSecurityPrivilege sur un contr�leur de domaine, proc�dez comme suit :

Ouvrez une session sur le contr�leur de domaine en tant qu'administrateur de domaine, puis d�marrez la console Strat�gie de s�curit� des contr�leurs de domaine. (Par d�faut, cette console se trouve dans le menu D�marrer, sous le groupe Outils d'administration.)
D�veloppez Param�tres de s�curit�, puis Strat�gies locales. D�veloppez Attribution des droits utilisateur, puis ouvrez les propri�t�s de G�rer l'audit et le journal de s�curit� .

Vous pouvez accorder le droit SeSecurityPrivilege directement � des serveurs Exchange 2000 Enterprise, ou vous pouvez ex�cuter � nouveau le programme d'installation d'Exchange 2000 avec le commutateur /domainprep pour accorder automatiquement le droit SeSecurityPrivilege.

Si vous ex�cutez Setup.exe avec le commutateur /domainprep, vous n'interrompez pas le service sur les ordinateurs Exchange existants. Un autre avantage de cette m�thode est qu'elle contr�le et restaure les autres droits et appartenances de groupe par d�faut qui peuvent avoir �t� modifi�s.

Si le groupe Serveurs Exchange Enterprise s'est vu r�cemment accorder le droit SeSecurityPrivilege, cette modification ne prend effet qu'apr�s que la strat�gie de s�curit� a �t� actualis�e sur le contr�leur de domaine. L'intervalle de temps n�cessaire � l'actualisation de la strat�gie de s�curit� d�pend de la topologie et de la configuration du domaine. Par d�faut, une duplication de strat�gie sur d'autres contr�leurs de domaine se fait dans l'intervalle de cinq minutes, l'application de la modification de strat�gie n�cessitant cinq minutes suppl�mentaires.

M�me si un domaine particulier ne contient aucun ordinateur Exchange, les ordinateurs Exchange pr�sents dans d'autres domaines peuvent utiliser les contr�leurs de domaine de ce domaine. Si vous voulez que Exchange 2000 soit en mesure d'effectuer des consultations de catalogue globales et d'apporter des modifications au conteneur de configurations lorsqu'il utilise ces contr�leurs de domaine, proc�dez comme suit pour le domaine concern� :

� partir du CD-ROM d'installation d'Exchange 2000, ex�cutez le programme d'installation avec le commutateur /domainprep (Setup.exe /domainprep). Cela configure les groupes et les droits appropri�s pour les communications Exchange inter-domaines.
Dans l'Administrateur syst�me Exchange, cr�ez un service de mise � jour de destinataires pour le domaine. Ce service a la charge, pour chaque domaine, de garnir le groupe local Serveurs Exchange Enterprise avec des groupes globaux provenant d'autres domaines. Il a �galement d'autres t�ches � sa charge.

Retour au d�but | Envoyer des commentaires

Plus d'informations

Le groupe Serveurs Exchange Enterprise est un groupe de domaines local. Ce groupe prend en charge les communications inter-domaines n�cessaires entre les ordinateurs Exchange et entre Exchange et Active Directory. L'appartenance au groupe Serveurs Exchange Enterprise doit inclure les groups globaux Serveurs de domaine Exchange de chaque domaine o� il existe des ordinateurs Exchange.

Le droit SeSecurityPrivilege est n�cessaire pour prendre en charge les diff�rentes fonctions de s�curit� Exchange, comme la possibilit� de signaler quels comptes Windows sont utilis�s pour acc�der aux bo�tes � lettres.

Par d�faut, apr�s avoir install� un domaine, le seul compte ayant les droits SeSecurityPrivilege est le groupe Administrateurs int�gr� pour chaque domaine. Si vous r�appliquez le mod�le Security.inf au domaine, le droit SeSecurityPrivilege est restaur� sur sa valeur par d�faut. Il y a d'autres possibilit�s pour supprimer les droits du groupe Serveurs Exchange Enterprise. D'autres outils d'audit et de configuration de la s�curit� peuvent restaurer la strat�gie. Les administrateurs Active Directory qui suivent les recommandations g�n�rales de s�curit� peuvent �galement supprimer le groupe Serveurs Exchange Enterprise.

Si le droit SeSecurityPrivilege est restaur� plusieurs fois de suite, et que vous ne pouvez pas en d�terminer la cause, vous pouvez analyser les modifications apport�es � la strat�gie de s�curit� des contr�leurs de domaine :

Sur chaque contr�leur de domaine, modifiez les param�tres de taille et de substitution pour le journal de s�curit� autant que n�cessaire pour prendre en charge le volume croissant d'informations de journalisation.

AVERTISSEMENT : si vous activez l'option Arr�ter imm�diatement le syst�me si l'enregistrement des audits de s�curit� est impossible dans la section Options de s�curit� de la strat�gie du contr�leur de domaine par d�faut, le contr�leur de domaine s'arr�te imm�diatement en cas de saturation du journal de s�curit�.
D�marrez la console Strat�gie de s�curit� des contr�leurs de domaine.
D�veloppez Strat�gies locales, Strat�gie d'audit, puis activez audit des Succ�s pour les Modifications d'acc�s Active Directory et de strat�gie.

Apr�s avoir suivi la proc�dure ci-dessus, des messages d'�v�nement ID 608 (compte ajout�) et ID 609 (compte supprim�) sont enregistr�s en cas de changements de strat�gie apport�s au contr�leur de domaine. La cat�gorie de ces deux messages d'�v�nement est Strat�gie. La source de ces messages est S�curit�. Les messages ID 608 sont de ce type :

Type de l'�v�nement : Audit des succ�s
Source de l'�v�nement : S�curit�
Cat�gorie de l'�v�nement : Changement de strat�gie
ID de l'�v�nement : 608
Date : 12/12/2001
Heure : 16:32:20
Utilisateur : NT AUTHORITY\SYSTEM
Ordinateur : DC1
Description : Attribution de droit utilisateur :
Droit utilisateur : SeSecurityPrivilege
Attribu� � : DOMAIN\USER
Attribu� par :
Nom d'utilisateur : DC1$
Domaine : DOMAIN
ID d'ouverture de session : (0x0,0x3E7)

CONSEIL : dans l'Observateur d'�v�nements, cliquez avec le bouton droit sur l'objet Journal de s�curit�. Cliquez sur Afficher, puis recherchez le mot "SeSecurityPrivilege" (sans les guillemets) dans la bo�te de dialogue Rechercher.

Le syst�me effectuant lui-m�me le changement de strat�gie, vous ne pouvez par utiliser la journalisation Strat�gie pour d�terminer le compte utilisateur � l'origine de la modification. Cependant, la journalisation Acc�s Active Directory identifie ce compte utilisateur.

En g�n�ral, un changement de strat�gie d'un contr�leur de domaine r�sulte dans un �v�nement Acc�s Active Directory imm�diat sur le contr�leur de domaine objet du changement, suivi, plusieurs minutes apr�s, par un �v�nement Changement de strat�gie. Ce deuxi�me �v�nement se produit lors de l'actualisation effective de la strat�gie et de son application au contr�leur de domaine. La strat�gie �tant dupliqu�e sur les autres contr�leurs de domaine, elle est actualis�e et appliqu�e au bout de plusieurs minutes, et un �v�nement Changement de strat�gie est �galement enregistr� sur ces serveurs.

Apr�s avoir trouv� une modification aux param�tres SeSecurityPrivilege, remontez dans le journal S�curit� pour rechercher des �v�nements Acc�s Active Directory qui contiennent un champ Utilisateur contenant un utilisateur autre que le compte SYSTEM ou qu'un compte SERVERNAME$, comme par exemple :

Type de l'�v�nement : Audit des succ�s
Source de l'�v�nement : S�curit�
Cat�gorie de l'�v�nement : Acc�s Active Directory
ID de l'�v�nement : 565
Date : 12/12/2001
Heure : 17:52:53
Utilisateur : DOMAIN\adam
Ordinateur : DC1
Description : Ouverture d'un objet :
Serveur de l'objet : DS
Type de l'objet : groupPolicyContainer
Nom de l'objet : CN={6AC1786C-016F-11D2-945F-00C04fB984F9},CN=Policies,CN=System,DC=domain,DC=com
ID du nouveau descripteur : 0
ID de l'op�ration : {0,63067624}
ID du processus : 280
Nom de l'utilisateur principal : DC1$
Domaine principal : DOMAIN
ID d'ouverture de session principale : (0x0,0x3E7)
Nom de l'utilisateur client : adam
Domaine client : DOMAIN
ID d'ouverture de session client : (0x0,0x3C255DB)
Acc�s Propri�t� d'�criture
Privil�ges -
Propri�t�s :
Propri�t� d'�criture %{00000000-0000-0000-0000-000000000000}
versionNumber

Le champ "Nom de l'utilisateur client" dans le message d'�v�nement pr�c�dent identifie le compte d'utilisateur � l'origine de la modification. Le champ "Nom de l'objet" identifie la strat�gie qui a �t� modifi�e.

Dans l'exemple pr�c�dent, le nom de la strat�gie dans Active Directory est :

CN={6AC1786C-016F-11D2-945F-00C04fB984F9},CN=Policies,CN=System,DC=domain,DC=com

Vous pouvez utiliser la commande LDIFDE pour r�soudre les noms de strat�gie en une forme plus conviviale, de fa�on � vous assurer que l'�v�nement est bien associ� � la strat�gie pour laquelle vous effectuez un suivi des modifications :

LDIFDE -F POLICIES.LDF -D "CN=POLICIES,CN=SYSTEM,DC=DOMAIN,DC=COM" -L DISPLAYNAME -R (OBJECTCLASS=GROUPPOLICYCONTAINER)

Le fichier Policies.ldf file identifie chaque strat�gie et son nom convivial dans un format semblable � celui-ci :

dn: CN={6AC1786C-016F-11D2-945F-00C04fB984F9},CN=Policies,CN=System,DC=domain,DC=com
changetype : ajout
displayName : Strat�gie du domaine par d�faut

dn: CN={6AC1786C-016F-11D2-945F-00C04fB984F9},CN=Policies,CN=System,DC=domain,DC=com
changetype : ajout
displayName : Strat�gie des contr�leurs de domaine par d�faut

Pour �viter tout refus par inadvertance du droit SeSecurityPrivilege � des serveurs Exchange 2000 Enterprise, vous pouvez cr�er une strat�gie personnalis�e pour l'application du droit SeSecurityPrivilege par les contr�leurs de domaine :

D�marrez la console MMC (Microsoft Management Console) du composant logiciel enfichable Utilisateurs et ordinateurs Active Directory.
Ouvrez les propri�t�s du conteneur Contr�leurs de domaine.
Cliquez sur l'onglet Strat�gie de groupe, puis sur Nouveau. Attribuez un nom � la nouvelle strat�gie ("Droits d'audit de DOMAIN_NAME", par exemple).
Cette �tape est facultative. Elle permet de charger la strat�gie plus rapidement. Cliquez avec le bouton droit sur le nouvelle strat�gie, cliquez sur Propri�t�s, puis d�sactivez l'option Configuration utilisateur.
Cliquez sur la nouvelle strat�gie, puis sur Modifier. D�veloppez Configuration ordinateur, Param�tres Windows, puis d�veloppez Param�tres de s�curit�. D�veloppez Strat�gies locales, d�veloppez Attribution des droits utilisateur, puis configurez tous les comptes qui requi�rent le droit SeSecurityPrivilege.

IMPORTANT : tous les param�tres que vous configurez dans cette strat�gie remplacent les param�tres correspondants dans les autres strat�gies au lieu de les fusionner avec ceux-ci. Les options non configur�es continuent � s'appliquer � partir des autres strat�gies.
Param�trez la nouvelle strat�gie sur une priorit� plus �lev�e que celle de la strat�gie du contr�leur de domaine par d�faut. Si vous ne le faites pas, la strat�gie n'aura aucun effet puisque la strat�gie par d�faut configure le m�me param�tre.

Retour au d�but | Envoyer des commentaires

Propri�t�s

Num�ro d'article: 314294 - Derni�re mise � jour: mercredi 22 mai 2002 - Version: 1.0

Les informations contenues dans cet article s'appliquent au(x) produit(s) suivant(s):

Microsoft Exchange 2000 Server Standard Edition

kberrmsg kbprb KB314294

L'INFORMATION CONTENUE DANS CE DOCUMENT EST FOURNIE PAR MICROSOFT SANS GARANTIE D'AUCUNE SORTE, EXPLICITE OU IMPLICITE. L'UTILISATEUR ASSUME LE RISQUE DE L'UTILISATION DU CONTENU DE CE DOCUMENT. CE DOCUMENT NE PEUT ETRE REVENDU OU CEDE EN ECHANGE D'UN QUELCONQUE PROFIT.

Retour au d�but | Envoyer des commentaires