Szenario
Nehmen Sie folgendes Szenario an:
- Sie führen Exchange Server mithilfe des freigegebenen Berechtigungsmodells aus, das standardmäßig für Exchange Server installiert ist.
- Access Control Einträge werden in die Active Directory-Gesamtstruktur eingefügt. Dadurch erhalten Exchange Server eine erhöhte Ebene von Verzeichnisberechtigungen.
Ursache
Exchange Server ist eine Verzeichnisdienst-fähige Anwendung. Daher muss es in der Lage sein, Attribute zu ändern, die sich auf Exchange Server-fähige Objekte beziehen. Dies umfasst die Möglichkeit, in einigen Fällen DACLs (Discretionary Access Control Lists) zu ändern. Da diese Objekte überall in der Domänenhierarchie vorhanden sein können, gewährt Exchange Server Server, die Exchange Server im Stammverzeichnis der Domäne ausführen, Rechte. Dies geschieht, um sicherzustellen, dass die Rechte an alle anwendbaren Objekte weitergegeben werden.
Exchange Server verwendet derzeit nicht das Flag Nur erben, wenn die DACL-Weitergabe ausgewertet wird. Dies gilt nicht für das Active Directory-Modell für geteilte Berechtigungen. In einer Konfiguration mit geteilten Berechtigungen wendet Exchange Server ein Berechtigungsmodell an, das Servern nicht die Möglichkeit gibt, Sicherheitsprinzipale im Verzeichnis zu erstellen oder zu ändern.
Status
Dieses Verhalten ist beabsichtigt. Es bietet Exchange-Administratoren die Flexibilität, Attribute für Exchange Server Objekte zu verwalten, die ihrer Rolle als Exchange-Administrator entsprechen. Es wird erwartet, dass Exchange-Administratoren Benutzerkonten und Postfächer erstellen und Postfachtypenobjekte als Ressourcenpostfächer oder freigegebene Postfächer neu zuweisen können, wenn Exchange Server im Freigegebenen Berechtigungsmodell ausgeführt wird.
Lösung
Microsoft hat die Rechte ausgewertet, die Servern gewährt werden, die Exchange Server und Exchange-Administratoren in den identifizierten Szenarien ausführen. Microsoft hat festgestellt, dass Es möglich ist, Änderungen vorzunehmen, die die Berechtigungen verringern, die innerhalb einer Active Directory-Domäne erteilt werden. Die tatsächlichen Berechtigungsänderungen variieren je nach verwendeter Version von Exchange Server.
Die Prozedur in diesem Abschnitt gibt alle Umgebungen in ein gemeinsames, reduziertes Verzeichnisberechtigungsprofil zurück.
Um dieses Problem unter Exchange Server 2013 oder einer höheren Version zu beheben, sollten Kunden das folgende kumulative Update installieren, je nach Umgebung:
- Exchange Server 2019 – Kumulatives Update 1
- Exchange Server 2016 – Kumulatives Update 12
- Exchange Server 2013 – Kumulatives Update 22
Umgebungen, in denen Exchange Server 2013 oder eine höhere Version verwendet wird, erfordern, dass das aktualisierte kumulative Updatepaket /PrepareAD manuell in allen Active Directory-Gesamtstruktur ausführen kann, in denen Exchange Server installiert ist oder in denen das Verzeichnisschema zum Hosten von Servern vorbereitet wurde, die ausgeführt werden Exchange Server. Darüber hinaus müssen Kunden, die mehrere Domänen in einer einzelnen Gesamtstruktur verwenden, /PrepareDomain in allen Domänen in der Gesamtstruktur ausführen, um die Berechtigungen zu verringern, die Exchange Server und Exchange-Administratoren gewährt werden.
Hinweis Der Vorgang /PrepareDomain wird automatisch in der Active Directory-Domäne ausgeführt, in der /PrepareAD ausgeführt wird. Es ist jedoch möglicherweise nicht in der Lage, andere Domänen in der Gesamtstruktur zu aktualisieren. Aus diesem Grund sollte ein Domänenadministrator /PrepareDomain in anderen Domänen in der Gesamtstruktur ausführen.
Weitere Informationen zu den /Prepare-Switches, die von Exchange Server verwendet werden, finden Sie unter Vorbereiten von Active Directory und Domänen für Exchange Server.
Die Vorbereitungsvorgänge in diesen aktualisierten kumulativen Updates nehmen die folgenden Änderungen an der Active Directory-Umgebung vor.
Exchange Server 2016 und höher
Das AdminSDHolder-Objekt in der Domäne wird aktualisiert, um den ACE "Allow" zu entfernen, der der Gruppe "Exchange Trusted Subsystem" die "Write DACL" direkt für die geerbten Objekttypen "Group" gewährt.
Exchange Server 2013 und höher
Der "Allow" Access Control Entry (ACE), der der Gruppe "Exchange Windows Permissions" das Recht "WRITE DACL" für die geerbten Objekttypen "User" und "INetOrgPerson" gewährt, wird aktualisiert, um das Flag "Nur erben" für das Domänenstammobjekt einzuschließen.
Exchange Server 2010
Kunden, die Exchange Server 2010 ausführen, sollten mithilfe des LDP-Tools die folgenden manuellen Updates auf ihre Umgebung anwenden.
Starten Sie das LDP-Tool (geben Sie im Feld Ausführenldp.exeein, und drücken Sie dann die EINGABETASTE).
Stellen Sie eine Verbindung mit dem Domänennamespace her, den Sie aktualisieren möchten. (Klicken Sie im Menü Datei auf Verbinden.)
Binden Sie mithilfe von Domänenanmeldeinformationen Admin an den Domänennamespace. (Klicken Sie im Menü Datei auf Binden.)
Zeigen Sie die Struktur mithilfe des Basis-DN an, der dem Stamm des zu aktualisierenden Domänenkontexts entspricht. (Klicken Sie im Menü Ansicht auf Struktur.)
Beispiel:
Öffnen Sie Domänen Access Control Listen. (Klicken Sie mit der rechten Maustaste auf Domäne, klicken Sie auf Erweitert, und klicken Sie dann auf Sicherheitsbeschreibung.)
Suchen Sie die beiden "Zulassen"-ACEs, die der Gruppe "Exchange Windows-Berechtigungen" das Recht "DACL schreiben" für die geerbten Objekttypen "User" und "INetOrgPerson" gewähren:
Hinweis Sortieren Sie die Liste nicht. Dadurch wird die Reihenfolge der Zugriffssteuerungsliste geändert.
Bearbeiten Sie jeden Eintrag, um das Flag "Nur erben" hinzuzufügen. Doppelklicken Sie dazu auf das Objekt, wählen Sie das Flag aus, und klicken Sie dann auf OK.
Vergewissern Sie sich, dass der Vorgang auf jedem ACE erfolgreich ist. Klicken Sie dann auf Aktualisieren.
