Die Exchange Server ist kein Mitglied des vertrauenswürdigen Exchange-Subsystems.

Problembeschreibung

Ein autorisierter Benutzer oder Server kann Microsoft Exchange Server 2010-Verwaltungsaufgaben nicht ausführen, z. B. die folgenden:

• Der Server kann nicht zu einer Datenbankverfügbarkeitsgruppe (Database Availabilty Group, DAG) mit dem Fehler "Zugriff verweigert" (0x80070005) hinzugefügt werden.

• Fehler "Ein IIS-Verzeichniseintrag konnte nicht erstellt werden. Die Fehlermeldung lautet Access wird verweigert." beim Ausführen des Cmdlets get-OWAVirtualdirectory

• Microsoft Exchange 2010-Dienste beginnen nicht mit Ereignis 2604:
  
  Protokollname: Anwendungsquelle
  : MSExchange ADAccess
  Ereignis-ID: 2604
  Aufgabenkategorie: Allgemein
  : Fehlerbeschreibung
  :
  Prozess MSEXCHANGEADTOPOLOGY (PID=xxxx). Beim Aktualisieren der Sicherheit für einen RPC-Zugriff (Remote Procedure Call) für den Exchange Active Directory-Topologiedienst konnte Exchange den Sicherheitsdeskriptor für das Exchange-Serverobjekt ExchangeServerName – Fehlercode=80040a01 nicht abrufen.
  
  Der Exchange Active Directory-Topologiedienst wird mit eingeschränkten Berechtigungen fortgesetzt.

Ursache

Der Exchange 2010-Server ist kein Mitglied der Exchange Trusted Subsystem-Gruppe.

Lösung

So fügen Sie der Gruppe "Vertrauenswürdiges Exchange-Subsystem" einen Server hinzu

1. Klicken Sie auf einem Domänencontroller auf Start, klicken Sie auf Ausführen, geben Sie dsa.msc ein, um das Active Directory-Benutzer und -Computer Snap-In zu öffnen, und klicken Sie dann auf OK.

2. Öffnen Sie die entsprechende Domäne, und klicken Sie dann auf den Container Microsoft Exchange-Sicherheitsgruppen.

3. Doppelklicken Sie im Detailbereich auf Vertrauenswürdiges Exchange-Subsystem.

4. Klicken Sie auf die Registerkarte Mitglieder, und fügen Sie den Server der Liste Mitglieder hinzu.

Weitere Informationen

In Microsoft Exchange 2010 müssen alle Aufgaben, die für Exchange-Objekte ausgeführt werden, über die Exchange Management Console (EMC), die Exchange Management Shell (EMS) oder die Exchange Web-Verwaltungsschnittstelle Exchange Systemsteuerung (ECP) ausgeführt werden. Jedes dieser Verwaltungstools verwendet rollenbasierte Access Control (RBAC), um alle ausgeführten Aufgaben zu autorisieren. 

RBAC ist eine Komponente, die auf jedem Server mit Exchange 2010 vorhanden ist, mit Ausnahme von Edge-Transport-Servern. RBAC überprüft, ob der Benutzer, der eine Aktion ausführt, dazu autorisiert ist:

• Wenn der Benutzer nicht zum Ausführen der Aktion autorisiert ist, lässt RBAC das Fortsetzen der Aktion nicht zu.
  

• Wenn der Benutzer zum Ausführen der Aktion autorisiert ist, überprüft RBAC, ob der Benutzer berechtigt ist, die Aktion für das angeforderte objekt auszuführen:
  

  • Wenn der Benutzer autorisiert ist, ermöglicht RBAC, dass die Aktion fortgesetzt werden kann.
    

  • Wenn der Benutzer nicht autorisiert ist, lässt RBAC nicht zu, dass die Aktion fortgesetzt wird.
    

Wenn RBAC das Fortsetzen einer Aktion zulässt, wird die Aktion im Kontext des vertrauenswürdigen Exchange-Subsystems und nicht im Kontext des Benutzers ausgeführt. Das vertrauenswürdige Exchange-Subsystem ist eine universelle Sicherheitsgruppe (USG) mit hohen Berechtigungen, die Lese-/Schreibzugriff auf jedes Exchange-bezogene Objekt im Exchange-organization hat. Es ist auch Mitglied der lokalen Sicherheitsgruppe Administratoren und der Exchange Windows-Berechtigungs-USG, die Es Exchange ermöglicht, Active Directory-Objekte zu erstellen und zu verwalten. Weitere Informationen zu den verschiedenen Komponenten von RBAC finden Sie unter Grundlegendes zu rollenbasierten Access Control.