Diminution des autorisations requises pour exécuter Exchange Server en cas d’utilisation du modèle d’autorisations partagées

Scénario

Prenons l’exemple du scénario suivant :

• Vous utilisez Exchange Server avec le modèle d’autorisations partagées installé par défaut pour Exchange Server.

• Les entrées du contrôle d’accès sont placées dans la forêt Active Directory. Exchange Server dispose alors d’un niveau élevé d’autorisation d’annuaire.

Cause

Exchange Server est une application de services d’annuaire. Par conséquent, il doit pouvoir modifier les attributs liés aux objets Exchange Server. Cela inclut la possibilité de modifier les listes de contrôle d’accès discrétionnaire (DACL) dans certaines instances. Ces objets pouvant exister n’importe où dans la hiérarchie du domaine, Exchange Server octroie les droits aux serveurs qui exécutent Exchange Server à la racine du domaine afin de garantir que les droits sont transmis à l’ensemble des objets applicables.

À l’heure actuelle, Exchange Server n’utilise pas l’indicateur Hériter uniquement lorsque la propagation DACL est évaluée. Cela ne s’applique pas au modèle d’autorisations fractionnées Active Directory. Dans une configuration d’autorisations partagées, Exchange Server applique un modèle d’autorisations qui n’autorise pas les serveurs à créer ou à modifier les principaux de sécurité dans l’annuaire.

Statut

Grâce à ce comportement inhérent au produit, les administrateurs Exchange peuvent gérer les attributs liés aux objets conformément à leur rôle d’administrateur Exchange. Les administrateurs Exchange sont censés pouvoir créer des comptes d’utilisateur et des boîtes aux lettres, ainsi que réaffecter des objets de type boîte aux lettres si Exchange Server est exécuté dans le modèle d’autorisations partagées.

Résolution

Microsoft a évalué les droits octroyés aux serveurs qui exécutent Exchange Server et aux administrateurs Exchange dans les scénarios identifiés. Microsoft a ainsi déterminé qu’il est possible d’apporter des modifications afin de diminuer les autorisations octroyées dans un domaine Active Directory. Les modifications à apporter aux autorisations varient selon la version utilisée d’Exchange Server.

La procédure décrite dans cette section rétablit un profil courant d’autorisation d’annuaire diminuée pour tous les environnements.

Pour résoudre ce problème dans Exchange Server 2013 ou une version ultérieure, les clients doivent installer la mise à jour cumulative suivante en fonction de leur environnement :

• Exchange Server 2019 : mise à jour cumulative 1

• Exchange Server 2016 : mise à jour cumulative 12

• Exchange Server 2013 : mise à jour cumulative 22

Les environnements dans lesquels Exchange Server 2013 ou une version ultérieure est utilisé nécessitent le package de mise à jour cumulative mis à jour pour pouvoir exécuter manuellement /PrepareAD dans une forêt Active Directory dans laquelle Exchange Server est installé ou dans laquelle le schéma d’annuaire a été préparé pour héberger les serveurs exécutant Exchange Server. De plus, les clients qui utilisent plusieurs domaines dans une seule forêt doivent exécuter /PrepareDomain dans tous les domaines de la forêt pour diminuer les autorisations octroyées à Exchange Server et aux administrateurs Exchange.

Remarque L’opération /PrepareDomain est exécutée automatiquement dans le domaine Active Directory dans lequel /PrepareAD est exécuté. Il se peut toutefois qu’elle ne mette pas à jour les autres domaines de la forêt. C’est pourquoi un administrateur de domaine doit exécuter /PrepareDomain dans les autres domaines de la forêt.

Pour plus d’informations sur les commutateurs /Prepare utilisés par Exchange Server, consultez l’article Préparer Active Directory et les domaines pour Exchange Server.

Les opérations de préparation dans ces mises à jour cumulatives mises à jour apportent les modifications ci-dessous dans l’environnement Active Directory.