semperf1delis
Dec 01, 2016, updated at 12:29:27 (UTC)
view5299
view21
0
Goto Top

Exchange 2010 Berechtigungen wiederherstellen

GermansolvedQuestionExchange ServerMicrosoft
Hallo zusammen,

ich habe einen Exchange Server 2010 von einem anderen Dienstleister übernommen.
Dieser hat es irgendwie fertig gebracht die Postfachberechtigungen der einzelnen Benutzer völlig zu zerschießen.

Zum einen werden für jeden neuen Benutzer + Postfach automatisch Vollzugriff Rechte für gewisse Personen in der Firma vergeben.
Wo kann ich diese Regel oder Permission finden und entfernen? get-ADPermission? GPO ist es nicht.

Und meine zweite Frage durch dieses Vollzugriffschaos haben einige Benutzer keinen Zugriff mehr auf OWA oder ihr Postfach. "Sie haben keine Berechtigung auf dieses Postfach zuzugreifen".
Das hängt anscheinend damit zusammen das diese Benutzer die einen Vollzugriff hatten als Domänen-Admins eingetragen waren und nun keine Berechtigung mehr auf das Postfach haben, sprich -> Full Access "Deny". Diese stehen jetzt über den eigentlichen Benutzerrechten. Wie kann ich das einmal komplett säubern ohne jeden Eintrag manuell pro Postfach anzufassen? Oder die allgemeinen Einstellungen wiederherzustellen?

Ich hoffe das war halbwegs verständlich.
Danke fü Tipps.
comment-contentCommentShareShare
Share on Facebook Share on Twitter Share on Reddit Share on Linkedin

Content-Key: 322598

Url: https://administrator.de/contentid/322598

Printed on: April 18, 2024 at 11:04 o'clock

21 Comments
Latest comment
Goto Top
Mitglied: 131381
Solution 131381 Dec 01, 2016 updated at 12:43:00 (UTC)
Goto Top
Wo kann ich diese Regel oder Permission finden und entfernen?
Da wird der auf Datenbankebene einen Eintrag gesetzt haben -> adsiedit.msc auf das Datenbankobjekt navigieren und die ACLs durchstöbern und mit einem Referenz-System (z.B. sauubere VM) vergleichen.

screenshot

Das hängt anscheinend damit zusammen das diese Benutzer die einen Vollzugriff hatten als Domänen-Admins eingetragen waren
Da greift das Stichwort AdminSDHolder Protected Groups

Gruß
heart1
Member: Vision2015
Vision2015 Dec 01, 2016 at 12:33:34 (UTC)
Goto Top
tach...
ist das ein exchange 2010 oder ein SBS2011 ?

Frank
Member: semperf1delis
semperf1delis Dec 01, 2016 updated at 12:38:25 (UTC)
Goto Top
Super, Danke! Das war es schon mal was die Vollzugriffsberechtigungen angeht. face-smile
Wie sieht es aus mit den generellen Postfachberechtigungen der Benutzer? Kann ich diese reseten?

SBS2011 mit Ex2010
Mitglied: 131381
Solution 131381 Dec 01, 2016 updated at 12:46:12 (UTC)
Goto Top
Zitat von @semperf1delis:

Super, Danke! Das war es schon mal was die Vollzugriffsberechtigungen angeht. face-smile
Wie sieht es aus mit den generellen Postfachberechtigungen der Benutzer? Kann ich diese reseten?
Kann man mit der Powershell...
Remove-MailboxPermission "DEINEMAILBOX" –ResetDefault
das entfernt alle nicht geerbten Berechtigungen aus der jeweiligen Mailbox.
Kannst du natürlich auch über mehrere oder alle Boxen laufen lassen, aber dann wird sicherlich erst mal das Telefon nicht mehr still stehen face-wink

Gruß
heart1
Member: semperf1delis
semperf1delis Dec 01, 2016 updated at 12:50:33 (UTC)
Goto Top
Lieber mikrotik, vielen vielen Dank für deine Hilfe. Hatte mir schon einen Wolf gesucht nach den Begrifflichkeiten.
Danke dir face-smile
Member: semperf1delis
semperf1delis Dec 01, 2016 at 12:53:02 (UTC)
Goto Top
Kann ich die Vererbung auch überwinden?
Mitglied: 131381
131381 Dec 01, 2016 updated at 12:54:39 (UTC)
Goto Top
Edit, sehe gerade das der EX2010 den Parameter -ResetDefault Parameter noch nicht kennt.

Da sollte aber folgender Schnippsel auch helfen:
Get-Mailboxpermission DEINEMAILBOX | ?{!$_.IsInherited -and $_.User.SecurityIdentifier.Value -ne 'S-1-5-10'} | Remove-Mailboxpermission -confirm:$false
was nicht vererbte Rechte außer SELF aus einer Mailbox entfernt.
Mitglied: 131381
131381 Dec 01, 2016 updated at 12:56:39 (UTC)
Goto Top
Zitat von @semperf1delis:
Kann ich die Vererbung auch überwinden?
??? Was du vererbst wird vererbt, willst du etwas daran ändern musst du dort anpacken wovon es geerbt wird. Die geerbten Einträge von Mailboxen erhalten diese wie oben geschrieben aus vom Datenbank-Level oder noch höher!
Member: semperf1delis
semperf1delis Dec 01, 2016 at 12:58:57 (UTC)
Goto Top
Ok, Dachte an Vererbung deaktivieren o.ä.
Hauptsache ich bekomme die Default Berechtigungen der Postfächer wiederhergestellt... Chaos pur, über 40 veraltete Full Access Berechtigungen. face-sad
Ich probiere das ganze heute Abend mal aus.
Mitglied: 131381
131381 Dec 01, 2016 updated at 13:02:38 (UTC)
Goto Top
Hier mal die Berechtigungen einer cleanen Mailbox auf einem EX2010 Enterprise (nicht SBS):
User                               AccessRights                                                            Deny
----                               ------------                                                            ----
NT-AUTORITÄT\SELBST                {FullAccess, ReadPermission}                                            False
CONTOSO\Domänen-Admins             {FullAccess}                                                            True
CONTOSO\Organisations-Admins       {FullAccess}                                                            True
CONTOSO\Organization Management    {FullAccess}                                                            True
CONTOSO\Administrator              {FullAccess}                                                            True
CONTOSO\Exchange Servers           {FullAccess}                                                            False
CONTOSO\Organization Management    {ReadPermission}                                                        False
CONTOSO\Public Folder Management   {ReadPermission}                                                        False
NT-AUTORITÄT\SYSTEM                {FullAccess}                                                            False
NT-AUTORITÄT\Netzwerkdienst        {ReadPermission}                                                        False
CONTOSO\Exchange Servers           {ReadPermission}                                                        False
CONTOSO\Delegated Setup            {ReadPermission}                                                        False
CONTOSO\Organization Management    {FullAccess, DeleteItem, ReadPermission, ChangePermission, ChangeOwner} False
CONTOSO\Exchange Trusted Subsystem {FullAccess, DeleteItem, ReadPermission, ChangePermission, ChangeOwner} False
CONTOSO\Administrator              {FullAccess, DeleteItem, ReadPermission, ChangePermission, ChangeOwner} False
CONTOSO\Organisations-Admins       {FullAccess, DeleteItem, ReadPermission, ChangePermission, ChangeOwner} False
CONTOSO\Domänen-Admins             {FullAccess, DeleteItem, ReadPermission, ChangePermission, ChangeOwner} False
Kannst du dir ja selber anzeigen lassen indem du einfach mal eine neue Mailbox erstellst.
Mitglied: 131381
131381 Dec 01, 2016 updated at 13:03:38 (UTC)
Goto Top
Zitat von @semperf1delis:
Ok, Dachte an Vererbung deaktivieren o.ä.
Sehr schlechte Idee, Finger weg!!
Member: semperf1delis
semperf1delis Dec 01, 2016 at 13:04:02 (UTC)
Goto Top
Kann ich diese Liste an Berechtigungen mit deinem Powershell von oben wiederhestellen?
Mitglied: 131381
131381 Dec 01, 2016 updated at 13:08:29 (UTC)
Goto Top
Zitat von @semperf1delis:
Kann ich diese Liste an Berechtigungen mit deinem Powershell von oben wiederhestellen?
Les mal meinen Post komplett:

Zitat:
was nicht vererbte Rechte außer SELF aus einer Mailbox entfernt.
Es wird damit alles entfernt was nicht vom oberen Level geerbt wird außer den SELF Eintrag der immer unvererbt ist, der bleibt und muss erhalten bleiben.
Übrig bleibt eine jungfreuliche Mailbox.
Member: semperf1delis
semperf1delis Dec 01, 2016 at 13:15:32 (UTC)
Goto Top
Also wenn ich dann im ADSI.edit alles angepasst wurde, ich die falschen Full Access Berechtigungen entfernt habe und deinen Befehlen ausgeführt habe "müsste" alles wieder passen. Schlimmstenfalls im ADSI.edit auf Datenbankebene die fehlenden Berechtigungen wieder einpflegen damit diese vererbt werden.
Mitglied: 131381
131381 Dec 01, 2016 updated at 13:23:23 (UTC)
Goto Top
Bevor du da hantierst mach ein Image und setzt dir eine SBS VM auf und vergleiche die Berechtigungen bevor du da wichtige Einträge entfernst von denen du nicht weißt was sie eigentlich bewirken!
Member: semperf1delis
semperf1delis Dec 01, 2016 at 13:27:24 (UTC)
Goto Top
Ist virtualisiert mit Hyper-V, stellt also kein Problem mit Snapshot dar. Ich schaue mir die Berechtigungen von einem anderen Exchange 2010 ab wo garantiert noch nicht so in den Tiefen gepfuscht wurde. face-smile
Ich muss den Benutzer selbst aber nicht explizit mit Berechtigung setzen oder? Hier geift doch der Self Eintrag oder?
Mitglied: 131381
131381 Dec 01, 2016 updated at 13:37:18 (UTC)
Goto Top
Zitat von @semperf1delis:
Ich muss den Benutzer selbst aber nicht explizit mit Berechtigung setzen oder?
Nein
Hier geift doch der Self Eintrag oder?
Korrekt. Der User ist ja implizit Owner der Mailbox.
Member: semperf1delis
semperf1delis Dec 01, 2016 at 13:35:49 (UTC)
Goto Top
Alles klar. Vielen, vielen Dank! face-smile face-smile face-smile
Member: Pjordorf
Pjordorf Dec 01, 2016 at 17:08:43 (UTC)
Goto Top
Hallo,

Zitat von @semperf1delis:
von einem anderen Exchange 2010 ab
Auch ich würde dir da eher zu einen SBS2011 raten. Es gibt etlichen stellen wo es in ein SBS eben etwas anders ist, ob auch hier kann ich allerdings nicht sagen, daher würd ich mir einen sauberen SBS als vorbild nehmen.

Gruß,
Peter
Member: Vision2015
Vision2015 Dec 01, 2016 at 17:21:14 (UTC)
Goto Top
ja.. da ist etwas dran... face-smile
deswegen habe ich gefragt ob es ein SBS2011 ist oder ein richtiger exchange 2010.

Frank
Member: semperf1delis
semperf1delis Dec 05, 2016 at 11:27:05 (UTC)
Goto Top
Kurzer Nachtrag:

Habe die falschen Berechtigungen über ADSI.edit entfernt und mit dem Powershell Skript die überflüssigen Berechtigungen entfernt.
Läuft nun einwandfrei. face-smile Danke!
GermansolvedQuestionExchange ServerMicrosoft
Hotly discussed
AlexWishaHow to set up and configure a Linux GRE tunnelAlexWisha - 3 CommentsDaniEnd of Support dates for Office 2016, 2019 Apps und Productivity ServersDani - 1 Comment