El Exchange Server no es miembro del subsistema de confianza de Exchange

Síntomas

Un usuario o servidor autorizado no puede realizar tareas administrativas de Microsoft Exchange Server 2010 como, entre otras, las siguientes:

• No se puede agregar el servidor a un grupo de disponibilidad de base de datos (DAG) con un error "Acceso denegado" (0x80070005)

• Se ha producido el error "No se pudo crear una entrada de directorio de IIS. El mensaje de error es Acceso denegado". Al ejecutar el cmdlet get-OWAVirtualdirectory

• Microsoft Exchange 2010 Services no comenzará con Event 2604:
  
  Log Name: Application
  Source: MSExchange ADAccess
  Event ID: 2604
  Task Category: General
  Level: Error
  Description:
  Process MSEXCHANGEADTOPOLOGY (PID=xxxx). Al actualizar la seguridad de un acceso de llamada a procedimiento remoto (RPC) para el servicio de topología de Exchange Active Directory, Exchange no pudo recuperar el descriptor de seguridad para el objeto de exchange server ExchangeServerName - Código de error=80040a01.
  
  El servicio de topología de Exchange Active Directory continuará con permisos limitados.

Causa

El servidor de Exchange 2010 no es miembro del grupo de subsistema de confianza de Exchange.

Solución

Para agregar un servidor al grupo subsistema de confianza de Exchange

1. En un controlador de dominio, haga clic en Inicio, haga clic en Ejecutar, escriba dsa.msc para abrir la Usuarios y equipos de Active Directory complemento y, a continuación, haga clic en Aceptar.

2. ocatecate el dominio adecuado y, a continuación, haga clic en el contenedor de grupos de seguridad de Microsoft Exchange.

3. En el panel de detalles, haga doble clic en Subsistema de confianza de Exchange.

4. Haga clic en la pestaña Miembros y agregue el servidor a la lista Miembros.

Más información

En Microsoft Exchange 2010, todas las tareas que se realizan en objetos de Exchange deben realizarse a través de la Consola de administración de Exchange (EMC), el Shell de administración de Exchange (EMS) o la interfaz administrativa de La Web de Exchange: Exchange Panel de control (ECP). Cada una de estas herramientas de administración usa la Access Control basada en roles (RBAC) para autorizar todas las tareas que se realizan. 

RBAC es un componente que existe en cada servidor que ejecuta Exchange 2010, a excepción de los servidores de transporte perimetral. RBAC comprueba si el usuario que realiza una acción está autorizado a hacerlo:

• Si el usuario no está autorizado para realizar la acción, RBAC no permite que la acción continúe.
  

• Si el usuario está autorizado para realizar la acción, RBAC comprueba si el usuario está autorizado para realizar la acción contra el objeto específico que se solicita:
  

  • Si el usuario está autorizado, RBAC permite que la acción continúe.
    

  • Si el usuario no está autorizado, RBAC no permite que la acción continúe.
    

Si RBAC permite que una acción continúe, la acción se realiza en el contexto del subsistema de confianza de Exchange y no en el contexto del usuario. El subsistema de confianza de Exchange es un grupo de seguridad universal (USG) con privilegios elevados que tiene acceso de lectura y escritura a todos los objetos relacionados con Exchange de la organización de Exchange. También es miembro del grupo de seguridad local Administradores y el administrador de permisos de Windows de Exchange USG, que permite a Exchange crear y administrar objetos de Active Directory. Para obtener más información sobre los diversos componentes de RBAC, vea Descripción de los Access Control basados en roles.