สิทธิ์ที่จำเป็นสำหรับการรันเซิร์ฟเวอร์ Exchange เมื่อคุณใช้แบบจำลองสิทธิ์ที่ใช้ร่วมกันที่ลดลง

สถานการณ์สมมติ

พิจารณาสถานการณ์ต่อไปนี้:

• คุณกำลังเรียกใช้ Exchange Server โดยใช้รุ่นสิทธิ์การใช้ร่วมกันที่ถูกติดตั้ง โดยค่าเริ่มต้นสำหรับ Exchange Server

• รายการควบคุมการเข้าถึงจะถูกวางในฟอเรสต์ไดเรกทอรีที่ใช้งานอยู่ ซึ่งทำให้เซิร์ฟเวอร์ Exchange ระดับการยกระดับของสิทธิ์ของไดเรกทอรี

สาเหตุ

เซิร์ฟเวอร์ Exchange จะเป็นไดเรกทอรีที่เปิดใช้งานการบริการแอพลิเคชัน ดังนั้น จะต้องสามารถปรับเปลี่ยนแอตทริบิวต์ที่เกี่ยวข้องกับวัตถุที่เปิดใช้งาน Exchange Server ซึ่งรวมถึงความสามารถในการปรับเปลี่ยนตามความประสงค์ให้เข้าถึงตัวควบคุมรายการ (DACLs) ในบางกรณี เนื่องจากวัตถุเหล่านี้สามารถมีอยู่ที่ใดก็ได้ในลำดับชั้นโดเมน Exchange Server ให้สิทธิ์ไปยังเซิร์ฟเวอร์ที่กำลังเรียกใช้ Exchange Server ที่รากของโดเมน ทำเช่นนี้เพื่อให้แน่ใจว่า สิทธิ์ที่จะผ่านบนวัตถุทั้งหมดที่เกี่ยวข้อง

Exchange Server ในปัจจุบันได้ใช้การสืบทอดเฉพาะของค่าสถานะเมื่อมีการเผยแพร่ DACL จะถูกประเมิน นี้ไม่นำไปใช้กับแบบจำลองสิทธิ์แยกไดเรกทอรีที่ใช้งานอยู่ ในการกำหนดค่าสิทธิ์แยก Exchange Server ใช้แบบจำลองของสิทธิ์ที่อนุญาตให้เซิร์ฟเวอร์สามารถสร้าง หรือปรับเปลี่ยนการรักษาความปลอดภัยในไดเรกทอรี

สถานะ

ลักษณะการทำงานนี้เกิดจากการออกแบบ อีกทั้งผู้ดูแล Exchange มีความยืดหยุ่นในการจัดการแอตทริบิวต์บนวัตถุเซิร์ฟเวอร์ Exchange ที่สอดคล้องกับบทบาทของตนเป็นผู้ดูแลระบบ Exchange ผู้ดูแลระบบ Exchange คาดว่าจะสามารถสร้างบัญชีผู้ใช้และกล่องจดหมาย และมอบหมายวัตถุชนิดกล่องจดหมายเป็นกล่องจดหมายของทรัพยากรหรือกล่องจดหมายที่ใช้ร่วมกันถ้า Exchange Server กำลังทำงานในรูปแบบสิทธิ์ที่ใช้ร่วมกัน

การแก้ไข

Microsoft ได้รับการประเมินสิทธิที่ได้รับสิทธิไป ยังเซิร์ฟเวอร์ที่กำลังเรียกใช้ Exchange Server และผู้ดูแลระบบ Exchange ในสถานการณ์ที่ระบุ Microsoft ตรวจพบว่า จำเป็นต้องทำการเปลี่ยนแปลงที่สิทธิที่ได้รับสิทธิภายในโดเมน Active Directory ต่ำลง เปลี่ยนแปลงสิทธิ์ที่เกิดขึ้นจริงจะแตกต่างกันโดยขึ้นอยู่กับรุ่นของเซิร์ฟเวอร์ Exchange ที่ใช้

ขั้นตอนในส่วนนี้ส่งกลับค่าสภาพแวดล้อมทั้งหมดไปยังโปรไฟล์สิทธิ์ไดเรกทอรีทั่วไป ลดลง

เมื่อต้องการแก้ไขปัญหานี้บน Exchange Server 2013 หรือรุ่นที่ใหม่กว่า ลูกค้าควรติดตั้งปรับปรุงสะสม ต่อไปนี้ตามความเหมาะสมสำหรับสภาพแวดล้อมของตนเอง:

• แลกเปลี่ยนเซิร์ฟเวอร์ 2019 –ปรับปรุงสะสม 1

• แลกเปลี่ยน 2016 เซิร์ฟเวอร์ –ปรับปรุงสะสม 12

• แลกเปลี่ยนเซิร์ฟเวอร์ 2013 –ปรับปรุงสะสม 22

สภาพแวดล้อมที่ 2013 เซิร์ฟเวอร์ Exchange หรือรุ่นที่ใหม่กว่าถูกใช้ต้องมีแพคเกจโปรแกรมปรับปรุงสะสมที่ปรับปรุงแล้วดำเนินการ/PrepareADด้วยตนเองในฟอเรสต์ Active Directory ใด ๆ ที่มีการติดตั้ง Exchange Server หรือที่มีแบบแผนไดเรกทอรี การเตรียมการโฮสต์เซิร์ฟเวอร์ที่กำลังเรียกใช้ Exchange Server นอกจากนี้ ลูกค้าที่จ้างหลายโดเมนในฟอเรสต์เดียวจะมีการเรียกใช้/PrepareDomainในโดเมนทั้งหมดในฟอเรสต์เพื่อลดสิทธิที่ได้รับสิทธิ กับ Exchange Server และผู้ดูแลระบบ Exchange

หมายเหตุ  การดำเนินการ/PrepareDomainโดยอัตโนมัติทำงานในโดเมน Active Directory ที่เรียกใช้/PrepareAD อย่างไรก็ตาม ดังกล่าวอาจไม่สามารถปรับปรุงโดเมนอื่นในฟอเรสต์ ด้วยเหตุผลนี้ ผู้ดูแลโดเมนควรเรียกใช้/PrepareDomainในโดเมนอื่นในฟอเรสต์ สำหรับข้อมูลเพิ่มเติมเกี่ยวกับสวิตช์/Prepareที่ใช้ โดย Exchange Server ดูจัดเตรียม Active Directory และโดเมนสำหรับ Exchange Server

การเตรียมการดำเนินงานในการปรับปรุงสะสมที่ปรับปรุงแล้วเหล่านี้ทำการเปลี่ยนแปลงต่อไปนี้ไปยังสภาพแวดล้อมของไดเรกทอรีที่ใช้งานอยู่