Le Exchange Server n’est pas membre du sous-système approuvé Exchange

Symptômes

Un utilisateur ou un serveur autorisé ne peut pas effectuer Microsoft Exchange Server tâches d’administration 2010 telles que, mais sans s’y limiter, les suivantes :

• Impossible d’ajouter le serveur à un groupe de disponibilité de base de données (DAG) avec une erreur « L’accès est refusé » (0x80070005)

• Erreur d’obtention « Impossible de créer une entrée de répertoire IIS. Le message d’erreur est Access est refusé. » lors de l’exécution de l’applet de commande get-OWAVirtualdirectory

• Les services Microsoft Exchange 2010 ne commencent pas par l’événement 2604 :
  
  Nom du journal : Source de l’application
  : ID d’événement MSExchange ADAccess
  : 2604
  Catégorie de tâche : Niveau général
  : Description de l’erreur
  :
  Traiter MSEXCHANGEADTOPOLOGY (PID=xxxx). Lors de la mise à jour de la sécurité pour un accès RPC (Remote Procedure Call) pour le service de topologie Exchange Active Directory, Exchange n’a pas pu récupérer le descripteur de sécurité pour l’objet serveur Exchange ExchangeServerName - Error code=80040a01.
  
  Le service de topologie Exchange Active Directory continue avec des autorisations limitées.

Cause

Le serveur Exchange 2010 n’est pas membre du groupe de sous-systèmes approuvés Exchange.

Résolution

Pour ajouter un serveur au groupe De sous-systèmes approuvés Exchange

1. Sur un contrôleur de domaine, cliquez sur Démarrer, sur Exécuter, tapez dsa.msc pour ouvrir le composant logiciel enfichable Utilisateurs et ordinateurs Active Directory, puis cliquez sur OK.

2. ocate le domaine approprié, puis cliquez sur le conteneur Groupes de sécurité Microsoft Exchange.

3. Dans le volet d’informations, double-cliquez sur Sous-système approuvé Exchange.

4. Cliquez sur l’onglet Membres, puis ajoutez le serveur à la liste Membres.

Informations supplémentaires

Dans Microsoft Exchange 2010, toutes les tâches effectuées sur les objets Exchange doivent être effectuées via le console de gestion Exchange (EMC), l’environnement de ligne de commande Exchange Management Shell (EMS) ou l’interface d’administration Web Exchange : Exchange Panneau de configuration (ECP). Chacun de ces outils de gestion utilise le Access Control en fonction du rôle (RBAC) pour autoriser toutes les tâches qui sont effectuées. 

RBAC est un composant qui existe sur chaque serveur exécutant Exchange 2010, à l’exception des serveurs de transport Edge. RBAC vérifie si l’utilisateur effectuant une action est autorisé à le faire :

• Si l’utilisateur n’est pas autorisé à effectuer l’action, RBAC n’autorise pas l’action à continuer.
  

• Si l’utilisateur est autorisé à effectuer l’action, RBAC vérifie si l’utilisateur est autorisé à effectuer l’action sur l’objet spécifique demandé :
  

  • Si l’utilisateur est autorisé, RBAC autorise l’action à poursuivre.
    

  • Si l’utilisateur n’est pas autorisé, RBAC n’autorise pas l’action à continuer.
    

Si RBAC permet à une action de continuer, l’action est effectuée dans le contexte du sous-système approuvé Exchange et non dans le contexte de l’utilisateur. Le sous-système approuvé Exchange est un groupe de sécurité universel (USG) hautement privilégié qui dispose d’un accès en lecture/écriture à chaque objet lié à Exchange dans le organization Exchange. Il est également membre du groupe de sécurité local Administrateurs et du groupe usg Autorisations Windows Exchange, qui permet à Exchange de créer et de gérer des objets Active Directory. Pour plus d’informations sur les différents composants du contrôle d’accès en fonction du rôle, consultez Présentation des Access Control basées sur les rôles.