案例
請考慮以下案例：
- 您正在使用預設為 Exchange Server 安裝的共用權限模型來執行 Exchange Server。
- 存取控制項目會放入 Active Directory 樹系中。 這可讓 Exchange Server 提升目錄權限層級。
原因
Exchange Server 是啟用目錄服務的應用程式。 因此，它必須能夠修改與啟用 Exchange Server 的物件相關的屬性。 這包括修改自行存取控制清單 (DACL 在某些情況下) 的功能。 由於這些物件可以存在於網域階層中的任何位置，因此 Exchange Server 將權限授與在網域根目錄執行 Exchange Server 的伺服器。 這樣做是為了確保權利傳遞給所有適用的物件。
Exchange Server 目前不會在評估 DACL 傳播時使用「僅繼承」旗標。 這不適用於 Active Directory 分割權限模型。 在分割權限設定中，Exchange Server 會套用權限模型，但不會授與伺服器在目錄中建立或修改安全性主體的能力。
狀態
這個行為是由於預設的設計所致。 它使 Exchange 管理員可以靈活地管理 Exchange Server 物件上與其作為 Exchange 管理員的角色一致的屬性。 如果 Exchange Server 在共用權限模型中執行，Exchange 系統管理員預期能夠建立使用者帳戶和信箱，並將Exchange Server 重新指派為資源信箱或共用信箱。
解決方式
Microsoft 已評估在識別案例中授與執行 Exchange Server 的伺服器及 Exchange 系統管理員的權利。 Microsoft 判定有可能進行降低 Active Directory 網域中授與權限的變更。 實際的權限變更會視使用的 Exchange Server 版本而異。
本節中的程序會將所有環境返回為一般的精簡目錄許可權設定檔。
要在 Exchange Server 2013 或更高版本上解決此問題，客戶應安裝以下累積更新，以適合其環境：
使用 Exchange Server 2013 或更新版本的環境，需要更新的累積更新套件，才能在安裝 Exchange Server 或已準備好目錄架構以裝載執行中的伺服器的 Active Directory 樹系中手動執行 /PrepareADExchange Server。 此外，在單一樹系中使用多個網域的客戶，必須在樹系中的所有網域中執行 /PrepareDomain，以降低授與 Exchange Server 和 Exchange 系統管理員的權限。
備註/PrepareDomain 作業會自動在執行 /PrepareAD 的 Active Directory 網域中執行。 不過，它可能無法更新樹系中的其他網域。 因此，網域系統管理員應在樹系的其他網域中執行 /PrepareDomain 。
如需有關 Exchange Server 所使用之 /Prepare 交換器的詳細資訊，請參閱 準備 Exchange Server 的 Active Directory 和網域。
這些更新的累積更新中的準備作業會對 Active Directory 環境進行下列變更。
Exchange Server 2016 和更新版本
網域中的 AdminSDHolder 物件已更新，以移除授予「Exchange 受信任子系統」群組「群組」繼承物件類型的「寫入 DACL」權限的「允許」ACE。
Exchange Server 2013 和更新版本
授與「Exchange Windows 權限」群組對「使用者」和「INetOrgPerson」繼承的物件類型「寫入 DACL」權限的「允許」存取控制項目 (ACE) 已更新，以在網域根物件上包含「僅繼承」旗標。
Exchange Server 2010
執行 Exchange Server 2010 的客戶應使用 LDP 工具，將下列手動更新套用至其環境。
啟動 LDP 工具 (在 [ 執行] 方塊中輸入 ldp.exe，然後按下 Enter) 。
連線到您想要更新的網域命名空間。 (在 [ 檔案 ] 功能表上，按一下 [連線]。)
使用網域管理員認證繫結到網域命名空間。 (在 [檔案 ] 功能表上按一下 [繫結]。)
使用對應至要更新之網域內容根目錄的基底 DN 來檢視樹狀結構。 (在 [檢視 ] 功能表上，按一下 [樹狀結構]。)
例如：
開啟網域存取控制清單。 (以滑鼠右鍵按一下 網域，按一下 [進階]，然後按一下 [安全性描述元。)
尋找授予「寫入 DACL」權限給「使用者」和「INetOrgPerson」繼承的物件類型上的「Exchange Windows 權限」群組的兩個「允許」ACE：
備註 請勿排序清單。 這會變更 ACL 順序。
編輯每個項目以新增「僅繼承」旗標。 若要執行這項操作，請按兩下物件，選取旗標，然後按一下 [確定]。
確認每個 ACE 上的作業是否成功。 然後按一下 [ 更新]。
