תרחיש
בחן את התרחיש הבא:
- אתה מפעיל את Exchange Server באמצעות מודל ההרשאות המשותפות המותקן כברירת מחדל עבור Exchange Server.
- ערכי בקרת גישה מוצבים ביער יער Active Directory. פעולה זו מעניקה ל- Exchange Server רמה גבוהה של הרשאת מדריך כתובות.
גורם
Exchange Server הוא יישום המותאם לשימוש בשירותי מדריך כתובות. לכן, עליו להיות מסוגל לשנות תכונות הקשורות לאובייקטים המותאמים לשימוש ב- Exchange Server. הדבר כולל את היכולת לשנות רשימות בקרת גישה לפי שיקול דעת (DACL) במקרים מסוימים. מאחר שאובייקטים אלה יכולים להתקיים בכל מקום בהירארכיית התחומים, Exchange Server מעניק זכויות לשרתים שבהם פועל Exchange Server בבסיס התחום. הדבר נעשה כדי לוודא שהזכויות מועברות לכל האובייקטים הרלוונטיים.
Exchange Server אינו משתמש כעת בדגל 'קבל בירושה בלבד' כאשר מתבצעת הערכה של הפצת DACL. הדבר אינו חל על מודל הרשאות הפיצול של Active Directory. בתצורת הרשאות מפוצלות, Exchange Server מחיל מודל הרשאות שאינו מעניק לשרתים את היכולת ליצור או לשנות מנהלי אבטחה במדריך הכתובות.
מצב
אופן פעולה זה מתבצע כחלק מתכנון המוצר. הוא מספק למנהלי Exchange את הגמישות בניהול תכונות באובייקטים של Exchange Server התואמים לתפקידם כמנהל Exchange. מנהלי Exchange צפויים להיות מסוגלים ליצור חשבונות משתמש ותיבות דואר, ולהקצות מחדש אובייקטים מסוג תיבת דואר בתור תיבות דואר של משאבים או תיבות דואר משותפות אם Exchange Server פועל במודל ההרשאות המשותפות.
פתרון
Microsoft העריכה את הזכויות המוענקות לשרתים המפעילים את Exchange Server ולמנהלי מערכת של Exchange בתרחישים שזוהו. Microsoft קבעה שניתן לבצע שינויים שינמיכו את ההרשאות המוענקות בתחום של Active Directory. שינויי ההרשאות בפועל ישתנו בהתאם לגירסת Exchange Server שבה נעשה שימוש.
ההליך בסעיף זה מחזיר את כל הסביבות לפרופיל הרשאות מדריך כתובות משותף ומופחת.
כדי לפתור בעיה זו ב- Exchange Server 2013 או בגירסה מתקדמת יותר, על הלקוחות להתקין את העדכון המצטבר הבא, בהתאם לסביבה שלהם:
- Exchange Server 2019 – עדכון מצטבר 1
- Exchange Server 2016 – עדכון מצטבר 12
- Exchange Server 2013 – עדכון מצטבר 22
סביבות שבהן נעשה שימוש ב- Exchange Server 2013 או גירסה מתקדמת יותר דורשות מחבילת העדכון המצטבר המעודכן לבצע באופן ידני את /PrepareAD בכל יער Active Directory שבו מותקן Exchange Server או שבו סכימת מדריך הכתובות הוכנה לארח שרתים הפועלים Exchange Server. בנוסף, לקוחות שמשתמשים בתחומים מרובים ביער יחיד יצטרכו להפעיל את /PrepareDomain בכל התחומים ביער כדי להוריד את ההרשאות המוענקות למנהלי מערכת של Exchange Server ושל Exchange.
הערה הפעולה /PrepareDomain פועלת באופן אוטומטי בתחום ה- Active Directory שבו /PrepareAD מופעל. עם זאת, ייתכן שהוא לא יוכל לעדכן תחומים אחרים ביער. מסיבה זו, מנהל תחום צריך להפעיל את /PrepareDomain בתחומים אחרים ביער.
לקבלת מידע נוסף אודות בוררי /Prepare הנמצאים בשימוש על-ידי Exchange Server, ראה הכנת Active Directory ותחומים עבור Exchange Server.
פעולות ההכנה בעדכונים מצטברים מעודכנים אלה מבצעות את השינויים הבאים בסביבת Active Directory.
Exchange Server 2016 וגירסאות מתקדמות יותר
האובייקט AdminSDHolder בתחום מתעדכן כדי להסיר את ה- ACE "Allow" המעניק לקבוצה "מערכת משנה מהימנה של Exchange" את הזכות "כתוב DACL" בסוגי האובייקטים שעברו בירושה "קבוצה".
Exchange Server 2013 וגירסאות מתקדמות יותר
ערך בקרת הגישה "אפשר" (ACE) המעניק לקבוצה "הרשאות Exchange Windows" את הזכות "כתוב DACL" לסוגי האובייקטים "User" ו- "INetOrgPerson" מתעדכן כדי לכלול את הדגל "Inherit Only" באובייקט הבסיס של התחום.
Exchange Server 2010
לקוחות שפועל אצלם Exchange Server 2010 צריכים להחיל את העדכונים הידניים הבאים על הסביבה שלהם באמצעות הכלי LDP.
הפעל את הכלי LDP (בתיבה הפעלה , הקלד ldp.exeולאחר מכן הקש Enter).
התחבר למרחב השמות של התחום שברצונך לעדכן. (בתפריט קובץ , לחץ על התחבר.)
אגד למרחב השמות של התחום באמצעות אישורים של מרכז הניהול של התחום. (בתפריט קובץ , לחץ על איגוד.)
הצג את העץ באמצעות ה- DN הבסיסי המתאים לבסיס הקשר התחום שיש לעדכן. (בתפריט 'תצוגה ', לחץ על 'עץ'.)
לדוגמה:
פתיחת רשימות בקרת גישה לתחום. (לחץ באמצעות לחצן העכבר הימני על תחום, לחץ על מתקדם ולאחר מכן לחץ על מתאר אבטחה.)
אתר את שני ה- ACEs "אפשר" שמעניקים זכות "כתוב DACL" לקבוצה "הרשאות Exchange Windows" בסוגי האובייקטים "User" ו- "INetOrgPerson" שעברו בירושה:
הערה אל תמיין את הרשימה. פעולה זו תשנה את סדר ה-ACL.
ערוך כל ערך כדי להוסיף את הדגל "קבל בירושה בלבד". לשם כך, לחץ פעמיים על האובייקט, בחר את הדגל ולאחר מכן לחץ על אישור.
ודא שהפעולה בוצעה בהצלחה בכל ACE. לאחר מכן, לחץ על 'עדכן'.
