方案
请考虑以下情形：
- 你正在使用默认为 Exchange Server 安装的共享权限模型来运行 Exchange Server。
- 访问控制条目被放入 Active Directory 林中。 这为 Exchange Server 提供了提升级别的目录权限。
原因
Exchange Server 是启用目录服务的应用程序。 因此，它必须能够修改与启用 Exchange Server 的对象相关的属性。 这包括在某些情况下) 修改随意访问控制列表 (DACL 的能力。 由于这些对象可以存在于域层次结构中的任何位置，因此 Exchange Server 向在域根目录下运行 Exchange Server 的服务器授予权限。 这样做是为了确保权限传递给所有适用的对象。
在评估 DACL 传播时，Exchange Server 当前不使用“仅继承”标志。 这不适用于 Active Directory 拆分权限模型。 在拆分权限配置中，Exchange Server 应用的权限模型不授予服务器在目录中创建或修改安全主体的能力。
状态
此行为是设计使然。 它使 Exchange 管理员能够灵活地管理 Exchange Server 对象上与其作为 Exchange 管理员的角色一致的属性。 Exchange 管理员应能够创建用户帐户和邮箱，并将邮箱类型对象重新分配为资源邮箱或共享邮箱（如果 Exchange Server 在共享权限模型中运行）。
解决方法
Microsoft 已评估在已确定的方案中为运行 Exchange Server 的服务器和 Exchange 管理员授予的权限。 Microsoft 已确定，做出的更改可能会降低 Active Directory 域内授予的权限。 实际权限更改将因所使用的 Exchange Server 版本而异。
本节中的过程将所有环境返回到一个通用的、缩减目录权限配置文件。
若要在 Exchange Server 2013 或更高版本上解决此问题，客户应根据其环境安装以下累积更新：
使用 Exchange Server 2013 或更高版本的环境需要更新的累积更新包，以便在安装了 Exchange Server 或目录架构已准备好托管正在运行的服务器的任何 Active Directory 林中手动执行 /PrepareADExchange Server。 此外，在单个林中使用多个域的客户必须在林中的所有域中运行 /PrepareDomain，以降低授予 Exchange Server 和 Exchange 管理员的权限。
备注/PrepareDomain 操作在运行 /PrepareAD 的 Active Directory 域中自动运行。 但是，它可能无法更新林中的其他域。 因此，域管理员应在林中的其他域中运行 /PrepareDomain 。
有关 Exchange Server 使用的 /Prepare 开关的详细信息，请参阅为 Exchange Server 准备 Active Directory 和域。
这些更新累积更新中的准备操作会对 Active Directory 环境进行以下更改。
Exchange Server 2016 及更高版本
域上的 AdminSDHolder 对象将更新为删除“允许”ACE，该 ACE 授予“Exchange 受信任的子系统”组对“组”继承对象类型“写入 DACL”权限。
Exchange Server 2013 及更高版本
“允许”访问控制条目 (ACE) 已更新，该条目授予“Exchange Windows 权限”组对“User”和“INetOrgPerson”继承对象类型的“写入 DACL”权限，以在域根对象上包括“仅继承”标志。
Exchange Server 2010
运行 Exchange Server 2010 的客户应使用 LDP 工具将以下手动更新应用到其环境。
启动 LDP 工具 (在 “运行 ”框中，键入 ldp.exe，然后按 Enter) 。
连接到要更新的域命名空间。 (在 “文件 ”菜单上，单击“ 连接”。)
使用域管理员凭据绑定到域命名空间。 (在 “文件 ”菜单上，单击“ 绑定”。)
使用与要更新的域上下文的根目录相对应的基本 DN 查看树。 (在 “视图 ”菜单上，单击“ 树”。)
例如：
打开域访问控制列表。 (右键单击 域，单击 “高级”，然后单击“ 安全描述符”。)
找到两个“允许”ACE，它们为“User”和“INetOrgPerson”继承对象类型上的“Exchange Windows 权限”组授予“写入 DACL”权限：
备注 不对列表排序。 这将更改 ACL 顺序。
编辑每个条目以添加“仅继承”标志。 为此，请双击对象，选择该标志，然后单击 “确定”。
验证操作在每个 ACE 上是否成功。 然后单击“ 更新”。
