Minskad behörighet som krävs för att köra Exchange Server när du använder modellen delade behörigheter

Scenario

Tänk dig följande situation:

• Du kör Exchange Server med hjälp av den delade behörigheter-modell som installeras som standard för Exchange Server.

• Åtkomstkontrollposterna övergår till Active Directory-skogen. Exchange Server får en förhöjd nivå av behörighet för katalogen.

Orsak

Exchange Server är ett directory services-aktiverat program. Det måste därför kunna ändra attribut som är relaterade till Exchange Server-aktiverade objekt. Detta inkluderar möjlighet att ändra DACL åtkomstkontrollistor (DACL) i vissa fall. Eftersom dessa objekt kan finnas var som helst i domänhierarkin, beviljar Exchange Server rättigheter till servrar som kör Exchange Server i roten på domänen. Detta görs för att säkerställa att rättigheterna som överförs till alla tillämpliga objekt.

Exchange Server för närvarande gör inte användning av den Ärver bara flagga när DACL spridning beräknas. Detta gäller inte Active Directory delad behörighet-modellen. I en delad behörighet konfiguration gäller Exchange Server en modell för behörigheter som inte ger servrar möjlighet att skapa eller ändra säkerhetsobjekt i katalogen.

Status

Detta är avsiktligt. Exchange-administratörer ger flexibilitet att hantera attribut för Exchange Server-objekt som överensstämmer med deras roll som en Exchange-administratör. Exchange-administratörer förväntas kunna skapa användarkonton och postlådor och tilldela postlådan textobjekt som resurspostlådor eller delade postlådor om Exchange Server körs i delade behörigheter modellen.

Lösning

Microsoft har utvärderats av de rättigheter som ges till servrar som kör Exchange Server och Exchange-administratörer i identifierade scenarier. Microsoft har fastställt att det är möjligt att göra ändringar som att sänker de behörigheter som beviljats inom en Active Directory-domän. De faktiska behörighetsändringar varierar beroende på vilken version av Exchange Server som används.

Proceduren i detta avsnitt returnerar alla miljöer till en profil för gemensamma, minskade directory-behörighet.

Lös problemet i Exchange Server 2013 eller en senare version bör kunder installera den kumulativa uppdateringen för följande, som passar deras miljö:

• Exchange Server 2019 – kumulativ uppdatering 1

• Exchange Server 2016 – kumulativ uppdatering 12

• Exchange Server 2013 – kumulativ uppdatering 22

Miljöer där Exchange Server 2013 eller senare används kräver uppdaterade kumulativa uppdateringspaketet manuellt köra /PrepareAD i en Active Directory-skog som Exchange Server har installerats eller där katalogschemat har beretts värdservrar som kör Exchange Server. Kunder som använder flera domäner i en skog måste dessutom köra /PrepareDomain i alla domäner i skogen att sänka de behörigheter som ges till Exchange Server och Exchange-administratörer.

Obs!  /PrepareDomain -åtgärden körs automatiskt i Active Directory-domän där /PrepareAD körs. Men kanske det inte uppdatera andra domäner i skogen. Av denna anledning bör en domänadministratör köra /PrepareDomain i andra domäner i skogen. Mer information om /Prepare växlar som används av Exchange Server finns i förbereda Active Directory och Exchange Server-domäner.

Förbereda operationer i dessa uppdaterade kumulativa uppdateringar kan du göra följande ändringar för Active Directory-miljö.