Scenarijus
Įsivaizduokite tokią situaciją:
-
Bendrai naudojamų teisės modelį, įdiegta pagal numatytuosius parametrus Exchange Server, kuriuose veikia Exchange Server.
-
Prieigos teisių įrašai yra įdėti į Active Directory miško. Tai suteikia Exchange Server katalogo leidimo didesnių teisių lygio.
Priežastis
Exchange Server yra katalogų tarnybos įjungta programa. Todėl turi būti gali modifikuoti atributus, kurie yra susiję su Exchange serverio įgalintas objektai. Tai apima galimybės ribojamos prieigos valdymo sąrašus (DACLs) kai kuriais atvejais. Dėl to, kad šie objektai gali egzistuoti bet pagal domeno hierarchiją, Exchange serveris suteikia teises į serverius, kuriuose veikia Exchange Server šakniniame domene. Tai daroma siekiant įsitikinti, kad teisių praėjo taikoma visiems objektams.
Exchange Server nėra šiuo metu naudotis toliau Paveldi tik pažymėti kai vertinama DACL platinimas. Tai netaikoma Active Directory perskyrimo teisės pavyzdį. Perskyrimo teisės konfigūraciją, Exchange Server taikoma teisės modelį, kuris nesuteikia serverių galimybę sukurti ar pakeisti saugos principai kataloge.
Būsena
Tai yra sisteminis apribojimas. Joje pateikiama Exchange administratoriai patogiau tvarkyti Exchange serverio objektų, kurie atitinka jų vaidmens Exchange administratoriaus atributai. Exchange administratoriai turėtų galėti sukurti vartotojo abonementus ir pašto dėžutes, ir iš naujo priskirti pašto dėžutės tipo objektų kaip ištekliaus pašto dėžutės arba bendrai naudojamos pašto dėžutės jei bendro naudojimo teises modelis veikia Exchange Server.
Sprendimas
"Microsoft" įvertintas teisės, serveriai, kuriuose veikia Exchange Server ir Exchange administratoriai nustatyti situacijose. "Microsoft" nustatė, kad būtų galima atlikti pakeitimai sumažinti teises, kuriems suteikta per "Active Directory" domene. Tikrasis teisių pakeitimai priklauso nuo Exchange Server, naudojamą versiją.
Atlikti veiksmus, kurie šiame skyriuje pateikia visose aplinkose bendrą, mažiau katalogo leidimo profilį.
Norėdami išspręsti šią problemą, "Exchange Server 2013" arba naujesnė versija, klientai turi įdiegti šį kaupiamąjį naujinimą, atsižvelgdami į savo aplinką:
-
Exchange Server 2019 – Kaupiamasis naujinimas 1
-
Exchange Server 2016 – Kaupiamasis naujinimas, 12
-
Exchange Server 2013 kaupiamąjį naujinimą 22
Aplinkoje, kai Exchange Server 2013 arba naujesnė versija yra naudojamas reikia rankiniu būdu paleisti /PrepareAD bet Active Directory miške, kuriame yra įdiegta Exchange Server arba katalogo schemos turi atnaujintą kaupiamųjų naujinimų paketas paruoštas prie pagrindinio kompiuterio serverių, kuriuose veikia Exchange Server. Be to, Klientai, kurie naudoja kelis domenus viename miške turės paleisti /PrepareDomain visi domenai miške sumažinti suteikiamos Exchange Server ir Exchange administratorių teisės.
Pastaba. /PrepareDomain operacija automatiškai paleidžiama, kai vykdomas /PrepareAD Active Directory domeno. Tačiau ji gali nepavykti atnaujinti kitų domenų miške. Dėl šios priežasties, domeno administratorius turėtų vykdyti /PrepareDomain į kitų domenų miške. Daugiau informacijos apie /Prepare jungiklius, kuriuos naudoja Exchange Server, rasite paruošti Active Directory ir domenai Exchange Server.
Paruošti operacijų šiuos atnaujintą kaupiamųjų naujinimų atlikti šiuos pakeitimus Active Directory aplinkoje.
Exchange Server 2016 ir naujesnėse versijose
AdminSDHolder objekto domeno atnaujinamas pašalinti "Leisti" ACE, kurie suteikia "Exchange patikimų posistemiu" grupės "Rašyti DACL" ant "Grupė" taikomos objektų tipų.
Exchange Server 2013 arba naujesnės versijos
Įtraukti domeno šaknies objekto žymė "Paveldi tik" atnaujinamas į "Leisti" prieigos kontrolės įrašas (ACE), suteikia "Exchange"Windows "teisių" grupės "Rašyti DACL" dešinėn, kad "Vartotojas" ir "INetOrgPerson" taikomos objektų tipų.
Exchange Server 2010
Klientai, kurie veikia Exchange Server 2010 taikoma toliau nurodytus naujinimus rankiniu būdu savo aplinkoje spp įrankį.
-
Paleiskite spp įrankį (lauke paleisti , tipo ldp.exe, tada paspauskite Enter).
-
Prisijungti prie domeno vardų, kurį norite atnaujinti. (Meniu failas spustelėkite prisijungti).
-
Jungiasi prie domeno vardų srities naudojant domeno administratoriaus kredencialus. (Meniu failas spustelėkite susieti.)
-
Rodyti medį naudodami pagrindinė DN, atitinkantį pagal domeno atnaujinti šakniniame kataloge. ( Rodyti meniu, spustelėkite medį.) Pvz.:
-
Atviros domeno prieigos valdymo sąrašus. (Dešiniuoju pelės mygtuku spustelėkite domeno, spustelėkite Išsamiauir tada spustelėkite Saugos aprašą.)
-
Rasti du "Leisti" Ace, kurie suteikia "DACL rašyti" tiesiai į "Exchange"Windows "teisių" grupė "Vartotojas" ir "INetOrgPerson" taikomos objektų tipų:
-
Redaguoti kiekvieno įrašo pridėti vėliavėlę "Paveldi tik". Norėdami tai padaryti, dukart spustelėkite objektą, pasirinkite žymę, ir tada spustelėkite gerai.
-
Patikrinkite, ar sėkmingas kiekvieną ACE operacija. Tada spustelėkite atnaujinti.
