Reduzindo as permissões necessárias para executar o Exchange Server ao usar o Modelo de Permissões Compartilhadas

Cenário

Considere o seguinte cenário:

• Você está executando o Exchange Server usando o modelo de permissões compartilhadas que é instalado por padrão para o Exchange Server.

• Entradas de Controle de Acesso são colocadas na floresta do Active Directory. Isto dá ao Exchange Server um elevado nível de permissão de diretório.

Motivo

O Exchange Server é um aplicativo habilitado para serviços de diretório. Portanto, ele deve ser capaz de modificar atributos relacionados a objetos habilitados para o Exchange Server. Isso inclui a capacidade de modificar DACLs (Listas de Controle de Acesso Discricionário) em algumas instâncias. Como esses objetos podem existir em qualquer lugar na hierarquia de domínios, o Exchange Server concede direitos a servidores que estão executando o Exchange Server na raiz do domínio. Isso é feito para garantir que os direitos sejam passados para todos os objetos aplicáveis.

Atualmente, o Exchange Server não usa o sinalizador Somente Herdar quando a propagação de DACL é avaliada. Isso não se aplica ao modelo de Permissões Divididas do Active Directory. Em uma configuração de permissões divididas, o Exchange Server aplica um modelo de permissões que não concede aos servidores a capacidade de criar ou modificar entidades de segurança no diretório.

Status

Este é o comportamento padrão. Ele fornece aos administradores do Exchange a flexibilidade para gerenciar atributos em objetos do Exchange Server que são consistentes com sua função de administrador do Exchange. Espera-se que os administradores do Exchange sejam capazes de criar caixas de correio e contas de usuário e de reatribuir objetos do tipo de caixa de correio como caixas de correio de recursos ou de caixas de correio compartilhadas se o Exchange Server estiver sendo executado no Modelo de Permissões Compartilhadas.

Resolução

A Microsoft avaliou os direitos concedidos aos servidores que estão executando o Exchange Server e aos administradores do Exchange nos cenários identificados. A Microsoft determinou que é possível fazer alterações que diminuem as permissões concedidas em um domínio do Active Directory. As alterações de permissão real irão variar dependendo da versão do Exchange Server usada.

O procedimento nesta seção retorna todos os ambientes para um perfil de permissão de diretório reduzido e comum.

Para resolver esse problema no Exchange Server 2013 ou em uma versão posterior, os clientes devem instalar a seguinte atualização cumulativa, conforme apropriado para seus ambientes:

• Exchange Server 2019 – Atualização Cumulativa 1

• Exchange Server 2016 – Atualização Cumulativa 12

• Exchange Server 2013 – Atualização Cumulativa 22

Ambientes nos quais o Exchange Server 2013 ou uma versão posterior esteja em uso exigem o pacote de atualização cumulativa para executarem manualmente o comando /PrepareAD em qualquer floresta do Active Directory em que o Exchange Server esteja instalado ou na qual o esquema de diretório tenha sido preparado para hospedar servidores que estejam executando o Exchange Server. Além disso, os clientes que utilizam vários domínios em uma única floresta precisarão executar /PrepareDomain em todos os domínios na floresta para reduzir as permissões que são concedidas ao Exchange Server e aos administradores do Exchange.

Observação A operação /PrepareDomain é executada automaticamente no domínio do Active Directory no qual /PrepareAD é executado. No entanto, ele pode não ser capaz de atualizar outros domínios na floresta. Por esse motivo, um administrador de domínio deve executar /PrepareDomain em outros domínios da floresta.

Para mais informações sobre as opções de /Prepare que são usadas pelo Exchange Server, consulte Preparar o Active Directory e os domínios para o Exchange Server.

As operações de preparação nessas atualizações cumulativas atualizadas fazem as seguintes alterações no ambiente do Active Directory.