Scenarij
Oglejte si ta scenarij:
- Exchange Server izvajate z modelom dovoljenj v skupni rabi, ki je privzeto nameščen za Exchange Server.
- Vnosi v nadzor dostopa so premaknjeni v gozd Active Directory. S tem daste Exchange Server povišano raven dovoljenja za imenik.
Vzrok
Exchange Server je program, ki podpira imeniške storitve. Zato mora imeti možnost spreminjanja atributov, ki so povezani s predmeti, ki omogočajo Exchange Server. To v nekaterih primerih vključuje možnost spreminjanja seznamov DACL (Discretionary Access Control List). Ker lahko ti predmeti obstajajo kjer koli v hierarhiji domen, Exchange Server dodeli pravice strežnikom, v katerih se izvaja Exchange Server na korenu domene. S tem se zagotovi, da so pravice prenesene na vse ustrezne predmete.
Exchange Server trenutno ne uporablja zastavice »Samo dedovanje«, ko se ocenjuje razširjanje seznama DACL. To ne velja za model razdeljenih dovoljenj imenika Active Directory. V konfiguraciji z razdeljenimi dovoljenji Exchange Server uporabi model dovoljenj, ki strežnikom ne podeljuje možnosti ustvarjanja ali spreminjanja varnostnih glavnih imen v imeniku.
Stanje
To delovanje je privzeto. Skrbnikom strežnika Exchange omogoča prilagodljivost pri upravljanju atributov predmetov v strežniku Exchange Server, ki so skladni z njihovo vlogo skrbnika strežnika Exchange. Od skrbnikov strežnika Exchange se pričakuje, da bodo lahko ustvarili uporabniške račune in nabiralnike ter znova dodelili predmete v nabiralniku kot nabiralnike sredstev ali nabiralnike v skupni rabi, če se Exchange Server izvaja v modelu dovoljenj v skupni rabi.
Rešitev
Microsoft je ocenil pravice, ki so dodeljene strežnikom, v katerih se izvaja Exchange Server, in skrbnikom strežnika Exchange v določenih scenarijih. Microsoft je ugotovil, da je mogoče narediti spremembe, ki znižajo dovoljenja, podeljena znotraj domene imenika Active Directory. Dejanske spremembe dovoljenj se razlikujejo glede na uporabljeno različico strežnika Exchange Server.
Postopek, opisan v tem razdelku, vrne vsa okolja v skupen, zmanjšan profil dovoljenja imenika.
Če želite odpraviti to težavo v strežniku Exchange Server 2013 ali novejši različici, morajo stranke namestiti naslednjo zbirno posodobitev, ki ustreza njihovim okoljem:
- Exchange Server 2019 – zbirna posodobitev 1
- Exchange Server 2016 – zbirna posodobitev 12
- Exchange Server 2013 – zbirna posodobitev 22
Okolja, v katerih je v uporabi Exchange Server 2013 ali novejša različica, zahtevajo, da posodobljen zbirni paket posodobitev ročno izvede /PrepareAD v katerem koli gozd Active Directory, v katerem je nameščen Exchange Server ali v katerem je bila shema imenika pripravljena za gostovanje strežnikov, ki se izvajajo Exchange Server. Poleg tega bodo stranke, ki uporabljajo več domen v enem gozdu, morale zagnati /PrepareDomain v vseh domenah v gozdu, da znižajo dovoljenja, dodeljena storitvi Exchange Server in skrbnikom strežnika Exchange.
Opomba Postopek /PrepareDomain se samodejno izvede v domeni imenika Active Directory, v kateri se izvaja program /PrepareAD . Morda pa ne bo mogoče posodobiti drugih domen v gozdu. Zato mora skrbnik domene zagnati ukaz /PrepareDomain v drugih domenah v gozdu.
Če želite več informacij o stikalih /Prepare ki jih uporablja Exchange Server, glejte Priprava imenika Active Directory in domen za Exchange Server.
S postopki priprave v teh posodobljenih zbirnih posodobitvah izvedete te spremembe v okolju imenika Active Directory.
Exchange Server 2016 in novejše različice
Predmet AdminSDHolder v domeni je posodobljen tako, da se odstrani »Dovoli« ACE, ki skupini »Exchange Trusted Subsystem« podeljuje pravico »Write DACL« na podedovanih vrstah predmetov »Skupina«.
Exchange Server 2013 in novejše različice
»Dovoli« vnos nadzora dostopa (ACE), ki skupini »Dovoljenja za Windows v Exchangeu« podeljuje pravico »Write DACL« za podedovane vrste predmetov »Uporabnik« in »INetOrgPerson«, je posodobljen tako, da v korenskem predmetu domene vključuje zastavico »Samo dedovanje«.
Exchange Server 2010
Uporabniki, ki uporabljajo Exchange Server 2010, morajo z orodjem LDP ročno posodobiti naslednje nastavitve.
Zaženite orodje LDP (V polje »Zaženi « vnesite ldp.exein pritisnite tipko Enter).
Povežite se z imenskim prostorom domene, ki ga želite posodobiti. (V meniju » Datoteka « kliknite »Poveži«.)
Povežite se z imenskim prostorom domene s poverilnicami Skrbnika domene. (V meniju » Datoteka « kliknite » Poveži«.)
Drevo si ogledate z osnovnim DN, ki ustreza korenu domenskega konteksta, ki ga želite posodobiti. (V meniju » Pogled « kliknite »Drevo«.)
Primer:
Odprite sezname za nadzor dostopa domene. (Z desno tipko miške kliknite domeno, kliknite »Dodatno« in nato kliknite »Varnostni deskriptor«.)
Poiščite dva »Dovoli« ACE, ki podeljujeta pravico »Write DACL« skupini »Dovoljenja za Exchange Windows« v podedovanih vrstah predmetov »Uporabnik« in »INetOrgPerson«:
Opomba Seznama ne razvrstite. S tem boste spremenili vrstni red ACL-ja.
Uredite vsak vnos in dodajte zastavico »Samo dedovanje«. To naredite tako, da dvokliknete predmet, izberete zastavico in nato kliknete »V redu«.
Preverite, ali je bil postopek uspešen v vsakem ACE. Nato kliknite »Posodobi«.
