ID do artigo: 907434 - �ltima revis�o: segunda-feira, 26 de novembro de 2007 - Revis�o: 9.1

O direito "Enviar Como" � removido de um objeto de usu�rio ap�s a configura��o do direito "Enviar Como" no snap-in Usu�rios e computadores do Active Directory no Exchange Server

Exibir os produtos aos quais esse artigo se aplica.

Dica do SistemaEste artigo aplica-se a um sistema operativo diferente do que est� a utilizar. Foi desactivado o conte�do do artigo, que pode n�o ser relevante para si.

Expandir tudo | Recolher tudo

Sintomas

Voc� configura diretamente o direito Enviar Como em um objeto do usu�rio no snap-in Usu�rios e computadores do Active Directory no Microsoft Exchange Server. No entanto, o direito Enviar Como � removido do objeto do usu�rio aproximadamente uma hora ap�s a configura��o do direito Enviar Como.

Al�m disso, outras altera��es efetuadas no descritor de seguran�a no objeto do usu�rio podem ser removidas. Por exemplo: a caixa de sele��o Permitir permiss�es n�o herdadas do pai para propagar este objeto pode n�o estar mais marcada.

Se voc� tem um ambiente que inclui o Microsoft Exchange Server 5.5 e um Active Directory Connector (ADC) em funcionamento, caixas de entrada do Exchange Server 5.5 configuradas para usar contas de usu�rio do Active Directory integrantes de grupos protegidos podem ser exibidas como "PERSONALIZADAS" no programa Administrador do Exchange Server 5.5.

Voltar para o in�cio

Causa

O servi�o de diret�rio do Active Directory tem um processo que garante que os integrantes de grupos protegidos n�o t�m seus descritores de seguran�a manipulados. Se um descritor de seguran�a de uma conta de usu�rio integrante de um grupo protegido n�o corresponder ao descritor de seguran�a no objeto AdminSDHolder, o descritor de seguran�a de usu�rio ser� substitu�do por um novo descritor de seguran�a origin�rio do objeto AdminSDHolder.

O direito Enviar Como � delegado alterando o descritor de seguran�a de um objeto do usu�rio. Portanto, se um usu�rio for integrante de um grupo protegido, a altera��o ser� substitu�da em aproximadamente uma hora.

Voltar para o in�cio

Resolu��o

� aconselh�vel que voc� n�o use contas integrantes de grupos protegidos para prop�sitos relacionados a email. Se voc� obtiver os direitos adquiridos para um grupo protegido, � recomend�vel que voc� tenha duas contas de usu�rio do Active Directory. Essas contas do Active Directory incluem, uma conta de usu�rio adicionada a um grupo protegido e outra conta de usu�rio usada para prop�sitos relacionados a emails em todas as outras ocasi�es.

Voltar para o in�cio

Como Contornar

As seguintes informa��es podem ajud�-lo a solucionar o problema, quando as caixas de entrada do Exchange Server 5.5 s�o exibidas como "PERSONALIZADAS" para o usu�rio no programa do administrador do Exchange Server 5.5. A solu��o alternativa baseia-se no fato de que as entradas de controle de acesso SELF (ACEs) devem estar presentes no objeto do usu�rio, quando o objeto do usu�rio for replicado para o Active Directory pelo Active Directory Connector (ADC).

� poss�vel usar o utilit�rio Dsacls.exe para adicionar entradas sendo retiradas de objetos de usu�rio. Para fazer isto, altere as permiss�es do AdminSDHolder. Depois, adicione as entradas desejadas. Como todas as entradas usam o SEL principal de seguran�a, esta solu��o alternativa n�o apresenta nenhum problema de seguran�a.

Observa��o Voc� deve executar o utilit�rio Dsacls.exe uma vez para adicionar uma entrada de controle de acesso que est� faltando do descritor de seguran�a do AdminSDHolder. Por exemplo: se desejar adicionar seis entradas diferentes, ser� necess�rio executar o utilit�rio Dsacls.exe seis vezes.

A solu��o alternativa a seguir altera o objeto AdminSDHolder. O objeto AdminSDHolder ser� propagado para cada conta do usu�rio integrante de um grupo protegido. Execute as seguintes etapas:

Instale o Ferramentas de Suporte do Microsoft Windows 2000 pelo CD do Windows 2000. Essas ferramentas incluem o utilit�rio Dsacls.exe. � poss�vel usar o utilit�rio Dsacls.exe para visualizar, modificar ou remover ACEs em objetos do Active Directory.

Crie um arquivo em lote que tenha o seguinte c�digo:

 dsacls "cn=adminsdholder,cn=system,dc=mydomain,dc=com" /G "\SELF:CA;Send As"
 dsacls "cn=adminsdholder,cn=system,dc=<mydomain>,dc=com" /G "\SELF:CA;Receive As"
 dsacls "cn=adminsdholder,cn=system,dc=<mydomain>,dc=com" /G "\SELF:CA;Change Password"
 dsacls "cn=adminsdholder,cn=system,dc=<mydomain>,dc=com" /G "\SELF:RPWP;Personal Information"
 dsacls "cn=adminsdholder,cn=system,dc=<mydomain>,dc=com" /G "\SELF:RPWP;Phone and Mail Options"
 dsacls "cn=adminsdholder,cn=system,dc=<mydomain>,dc=com" /G "\SELF:RPWP;Web Information"

Observa��o Substitua "dc=<meu_dom�nio>,dc=com" pelo nome exclusivo do seu dom�nio.

Aguarde uma hora para que o Active Directory tenha tempo de regravar o descritor de seguran�a de todas as contas de usu�rio integrantes dos grupos propagados.
Ap�s o ADC replicar as altera��es, todos os usu�rios ser�o exibidos como "usu�rio" em vez de "PERSONALIZADO".

� poss�vel que voc� queira aplicar a atualiza��o de seguran�a 916803, a atualiza��o de seguran�a 912442 ou a atualiza��o de hor�rio de ver�o para o Exchange Server descritos no seguinte artigo da Base de Dados de Conhecimento Microsoft (alguns artigos podem estar em ingl�s):

926666� (http://support.microsoft.com/kb/926666/ ) Atualiza��o para altera��es do hor�rio de ver�o em 2007 para o Exchange 2003 Service Pack 2 (SP2)

Para fazer isto, � necess�rio evitar que o AdminSDHolder substitua permiss�es concedidas para uma conta do BlackBerry Services em grupos protegidos. Para isso, crie um arquivo em lote que tenha o seguinte c�digo:

dsacls "cn=adminsdholder,cn=system,dc=mydomain,dc=com" /G "\SELF:CA;Send As" 
dsacls "cn=adminsdholder,cn=system,dc=<mydomain>,dc=com" /G "\SELF:CA;Receive As" 
dsacls "cn=adminsdholder,cn=system,dc=<mydomain>,dc=com" /G "\SELF:CA;Change Password" 
dsacls "cn=adminsdholder,cn=system,dc=<mydomain>,dc=com" /G "\SELF:RPWP;Personal Information" 
dsacls "cn=adminsdholder,cn=system,dc=<mydomain>,dc=com" /G "\SELF:RPWP;Phone and Mail Options" dsacls "cn=adminsdholder,cn=system,dc=<mydomain>,dc=com" /G "\SELF:RPWP;Web Information" 
dsacls "cn=adminsdholder,cn=system,dc=mydomain,dc=com" /G "\BlackBerrySA:CA;Send As"

Observa��o Nesse arquivo em lote, BlackBerrySA � um espa�o reservado para o nome da conta do BlackBerry Service. Se voc� tiver contas em v�rios dom�nios, tamb�m � poss�vel especificar o dom�nio na linha de comando usando o seguinte formato:Domain\BlackberrySA.

Como alternativa, � aconselh�vel que voc� n�o use contas integrantes de grupos protegidos para prop�sitos relacionados a email. Se voc� obtiver os direitos adquiridos para um grupo protegido, � recomend�vel que voc� tenha duas contas de usu�rio do Active Directory. Essas contas do Active Directory incluem uma conta de usu�rio adicionada a um grupo protegido e outra conta de usu�rio usada para prop�sitos relacionados aos emails em todas as outras ocasi�es.

Voltar para o in�cio

Situa��o

A Microsoft confirmou que este � um problema nos produtos Microsoft que est�o listados na se��o "Aplica-se a".

Voltar para o in�cio

Mais Informa��es

Para obter mais informa��es sobre como delegar direitos "Enviar Como" para uma conta de usu�rio, clique no n�mero abaixo para ler o artigo na Base de Dados de Conhecimento Microsoft (a p�gina pode estar em ingl�s):

281208� (http://support.microsoft.com/kb/281208/ ) Como conceder direitos "Enviar Como" a um usu�rio no Exchange Server 5.5 e no Exchange 2000

Para obter mais informa��es sobre o objeto AdminSDHolder, clique no n�mero abaixo para visualizar o artigo na Base de Dados de Conhecimento Microsoft (a p�gina pode estar em ingl�s):

232199� (http://support.microsoft.com/kb/232199/ ) Descri��o e atualiza��o do objeto AdminSDHolder do Active Directory

817433� (http://support.microsoft.com/kb/817433/ ) Permiss�es delegadas n�o est�o dispon�veis e a heran�a � desabilitada automaticamente

O local do objeto AdminSDHolder � o seguinte:

CN=AdminSDHolder,CN=System,DC=MeuDom�nio, DC=Com

Observa��o Substitua DC=MeuDom�nio, DC=Com neste caminho pelo nome distinto do seu dom�nio.

A lista a seguir relaciona os grupos protegido no Windows 2000:

Administradores de empresa
Administradores de esquema
Administradores de dom�nio
Administradores

A lista a seguir cont�m os grupos protegidos no Microsoft Windows Server 2003 e no Windows 2000 ap�s a aplica��o da corre��o 327825 ou ap�s a instala��o do Windows 2000 Service Pack 4 (SP4):

Administradores
Operadores de conta
Operadores de servidor
Operadores de impress�o
Operadores de backup
Administradores de dom�nio
Administradores de esquema
Administradores de empresa
Editores de certificados

Al�m disso, os seguintes usu�rios s�o considerados protegidos tamb�m:

Administrador
Krbtgt

Para obter mais informa��es sobre o hotfix 327825, clique no n�mero abaixo para visualizar o artigo na Base de Dados de Conhecimento Microsoft (a p�gina pode estar em ingl�s):

327825� (http://support.microsoft.com/kb/327825/ ) Nova solu��o para problemas com a autentica��o Kerberos quando usu�rios pertencem a muitos grupos

Voltar para o in�cio