Skenario
Pertimbangkan skenario berikut:
- Anda menjalankan Server Exchange dengan menggunakan Model Izin Bersama yang diinstal secara default untuk Server Exchange.
- Entri Access Control dimasukkan ke dalam hutan Direktori Aktif. Ini memberi Server Exchange tingkat izin direktori yang tinggi.
Penyebab
Server Exchange adalah aplikasi yang mendukung layanan direktori. Oleh karena itu, harus dapat mengubah atribut yang terkait dengan objek yang mendukung Server Exchange. Ini termasuk kemampuan untuk mengubah Daftar Access Control Discretionary (DACL) dalam beberapa kasus. Karena objek ini dapat ada di mana saja dalam hierarki domain, Server Exchange memberikan hak kepada server yang menjalankan Server Exchange di akar domain. Hal ini dilakukan untuk memastikan bahwa hak diteruskan ke semua objek yang berlaku.
Server Exchange saat ini tidak menggunakan bendera Inherit Only saat propagasi DACL dievaluasi. Hal ini tidak berlaku untuk model Izin Pemisahan Direktori Aktif. Dalam konfigurasi izin terpisah, Server Exchange menerapkan model izin yang tidak memberikan server kemampuan untuk membuat atau mengubah prinsipal keamanan di direktori.
Status
Perilaku ini memang direncanakan. Ini memberi administrator Exchange fleksibilitas untuk mengelola atribut pada objek Server Exchange yang konsisten dengan peran mereka sebagai administrator Exchange. Administrator Exchange diharapkan dapat membuat akun pengguna dan kotak surat, serta menetapkan ulang objek tipe kotak surat sebagai kotak surat sumber daya atau kotak surat bersama jika Server Exchange berjalan dalam Model Izin Bersama.
Resolusi
Microsoft telah mengevaluasi hak yang diberikan kepada server yang menjalankan Server Exchange dan kepada administrator Exchange dalam skenario yang diidentifikasi. Microsoft telah menetapkan bahwa adalah mungkin untuk membuat perubahan yang menurunkan izin yang diberikan dalam domain Direktori Aktif. Perubahan izin aktual akan bervariasi tergantung pada versi Server Exchange yang digunakan.
Prosedur di bagian ini mengembalikan semua lingkungan ke profil izin direktori umum yang dikurangi.
Untuk mengatasi masalah ini di Server Exchange 2013 atau versi yang lebih baru, pelanggan harus menginstal pembaruan kumulatif berikut, sesuai dengan lingkungan mereka:
- Server Exchange 2019 – Pembaruan Kumulatif 1
- Server Exchange 2016 – Pembaruan Kumulatif 12
- Server Exchange 2013 – Pembaruan Kumulatif 22
Lingkungan di mana Server Exchange 2013 atau versi yang lebih baru sedang digunakan memerlukan paket pembaruan kumulatif yang diperbarui untuk menjalankan /PrepareAD secara manual di setiap hutan Direktori Aktif tempat Server Exchange diinstal atau di mana skema direktori telah disiapkan untuk menghosting server yang sedang berjalan Server Exchange. Selain itu, pelanggan yang menggunakan beberapa domain dalam satu forest harus menjalankan /PrepareDomain di semua domain di forest untuk menurunkan izin yang diberikan kepada Server Exchange dan administrator Exchange.
catatanOperasi /PrepareDomain secara otomatis berjalan di domain Direktori Aktif tempat /PrepareAD dijalankan. Namun, mungkin tidak dapat memperbarui domain lain di hutan. Untuk alasan ini, administrator domain harus menjalankan /PrepareDomain di domain lain di hutan.
Untuk informasi selengkapnya tentang sakelar /Prepare yang digunakan oleh Server Exchange, lihat Menyiapkan Direktori Aktif dan domain untuk Server Exchange.
Operasi persiapan dalam pembaruan kumulatif yang diperbarui ini membuat perubahan berikut pada lingkungan Direktori Aktif.
Server Exchange 2016 dan versi yang lebih baru
Objek AdminSDHolder pada domain diperbarui untuk menghapus ACE "Izinkan" yang memberikan grup "Subsistem Tepercaya Exchange" kanan "Tulis DACL" pada jenis objek yang diwariskan "Grup".
Server Exchange 2013 dan versi yang lebih baru
Entri Access Control (ACE) "Izinkan" "Izinkan" yang memberikan grup "Exchange Windows Permissions" hak "Tulis DACL" ke tipe objek yang diwariskan "Pengguna" dan "INetOrgPerson" diperbarui untuk menyertakan bendera "Inherit Only" pada objek akar domain.
Server Exchange 2010
Pelanggan yang menjalankan Server Exchange 2010 harus menerapkan pembaruan manual berikut ke lingkungan mereka dengan menggunakan alat LDP.
Mulai alat LDP (Dalam kotak Jalankan , ketik ldp.exelalu tekan Enter).
Sambungkan ke namespace domain yang ingin Anda perbarui. (Pada menu File , klik Sambungkan.)
Ikat ke ruang nama domain menggunakan kredensial Admin Domain. (Pada menu File, klik Ikat.)
Lihat pohon menggunakan DN dasar yang sesuai dengan akar konteks domain yang akan diperbarui. (Pada menu Tampilan, klik Pohon.)
Misalnya:
Buka daftar Domain Access Control. (Klik kanan domain, klik Tingkat Lanjut, lalu klik Deskriptor Keamanan.)
Temukan dua ACE "Izinkan" yang memberikan hak "Tulis DACL" ke grup "Exchange Windows Permissions" pada tipe objek yang diwariskan "Pengguna" dan "INetOrgPerson":
catatan Jangan mengurutkan daftar. Tindakan ini akan mengubah urutan ACL.
Edit setiap entri untuk menambahkan bendera "Warisi Saja". Untuk melakukannya, klik dua kali objek, pilih bendera, lalu klik OK.
Verifikasi bahwa operasi berhasil pada setiap ACE. Kemudian, klik Perbarui.
