Mengurangi izin yang diperlukan untuk menjalankan Exchange Server ketika Anda menggunakan Model izin berbagi

Skenario

Pertimbangkan skenario berikut:

• Anda menjalankan Exchange Server dengan menggunakan Model izin berbagi yang diinstal secara default untuk Exchange Server.

• Entri kontrol akses dimasukkan ke dalam hutan direktori aktif. Ini memberikan Exchange Server ditinggikan tingkat izin direktori.

Penyebab

Exchange Server adalah direktori aktif layanan aplikasi. Oleh karena itu, harus dapat mengubah atribut yang berkaitan dengan objek diaktifkan di Exchange Server. Ini termasuk kemampuan untuk mengubah kewenangan daftar kontrol akses (DACLs) pada beberapa contoh. Karena objek ini dapat ada di mana saja di hierarki domain, Exchange Server hibah hak untuk server yang menjalankan Exchange Server di akar domain. Hal ini dilakukan untuk memastikan bahwa hak yang disampaikan kepada semua objek yang dapat diterapkan.

Exchange Server tidak sedang memanfaatkan Mewarisi hanya bendera saat DACL penyebaran dievaluasi. Hal ini tidak berlaku untuk model izin terpisah direktori aktif. Konfigurasi izin terpisah, Exchange Server yang berlaku model izin yang tidak memberi server kemampuan untuk membuat atau mengubah prinsip keamanan di direktori.

Status

Perilaku ini merupakan bagian dari rancangan. Administrator Exchange menyediakan fleksibilitas untuk mengelola atribut pada objek Exchange Server yang konsisten dengan peran mereka sebagai Exchange administrator. Administrator Exchange diharapkan untuk dapat membuat akun pengguna dan kotak pesan, dan menetapkan ulang kotak surat-jenis objek sebagai kotak surat sumber daya atau kotak surat bersama jika Exchange Server berjalan dalam Model izin berbagi.

Pemecahan Masalah

Microsoft telah dievaluasi hak yang diberikan untuk server yang menjalankan Exchange Server dan administrator Exchange dalam skenario diidentifikasi. Microsoft telah ditentukan bahwa dimungkinkan untuk membuat perubahan yang lebih rendah izin yang diberikan dalam domain direktori aktif. Perubahan izin aktual akan berbeda-beda tergantung pada versi Exchange Server yang digunakan.

Prosedur di bagian ini kembali semua lingkungan ke profil izin direktori umum, rendah.

Untuk mengatasi masalah ini di Exchange Server 2013 atau versi yang lebih baru, pelanggan harus menginstal pemutakhiran kumulatif berikut, yang sesuai untuk lingkungan:

• Exchange Server 2019- pemutakhiran kumulatif 1

• Exchange Server 2016- pembaruan kumulatif 12

• Exchange Server 2013 – pembaruan kumulatif 22

Lingkungan di mana Exchange Server 2013 atau versi yang lebih baru yang digunakan memerlukan paket pembaruan kumulatif terbaru untuk secara manual menjalankan /PrepareAD di hutan direktori aktif apa pun di mana Exchange Server diinstal atau yang memiliki skema direktori telah disiapkan untuk host server yang menjalankan Exchange Server. Selain itu, pelanggan yang menggunakan banyak domain di hutan tunggal harus menjalankan /PrepareDomain di semua domain di hutan untuk izin yang diberikan untuk Exchange Server dan administrator Exchange yang lebih rendah.

Catatan Operasi /PrepareDomain secara otomatis berjalan di domain direktori aktif di mana /PrepareAD dijalankan. Namun, ini mungkin tidak dapat memperbarui domain lainnya di hutan. Untuk alasan ini, domain administrator harus menjalankan /PrepareDomain pada domain lainnya di hutan. Untuk informasi lebih lanjut tentang switch /Prepare yang digunakan oleh Exchange Server, lihat mempersiapkan direktori aktif dan domain untuk Exchange Server.

Operasi mempersiapkan di pembaruan kumulatif ini diperbarui buat perubahan berikut untuk lingkungan direktori aktif.