Top-Themen

AppleEntwicklungHardwareInternetLinuxMicrosoftMultimediaNetzwerkeOff TopicSicherheitSonstige SystemeVirtualisierungWeiterbildungZusammenarbeit

Aktuelle Themen (A bis Z)

Administrator.de FeedbackApache ServerAppleAssemblerAudioAusbildungAuslandBackupBasicBatch & ShellBenchmarksBibliotheken & ToolkitsBlogsCloud-DiensteClusterCMSCPU, RAM, MainboardsCSSC und C++DatenbankenDatenschutzDebianDigitiales FernsehenDNSDrucker und ScannerDSL, VDSLE-BooksE-BusinessE-MailEntwicklungErkennung und -AbwehrExchange ServerFestplatten, SSD, RaidFirewallFlatratesGoogle AndroidGrafikGrafikkarten & MonitoreGroupwareHardwareHosting & HousingHTMLHumor (lol)Hyper-VIconsIDE & EditorenInformationsdiensteInstallationInstant MessagingInternetInternet DomäneniOSISDN & AnaloganschlüsseiTunesJavaJavaScriptKiXtartKVMLAN, WAN, WirelessLinuxLinux DesktopLinux NetzwerkLinux ToolsLinux UserverwaltungLizenzierungMac OS XMicrosoftMicrosoft OfficeMikroTik RouterOSMonitoringMultimediaMultimedia & ZubehörNetzwerkeNetzwerkgrundlagenNetzwerkmanagementNetzwerkprotokolleNotebook & ZubehörNovell NetwareOff TopicOpenOffice, LibreOfficeOutlook & MailPapierkorbPascal und DelphiPeripheriegerätePerlPHPPythonRechtliche FragenRedHat, CentOS, FedoraRouter & RoutingSambaSAN, NAS, DASSchriftartenSchulung & TrainingSEOServerServer-HardwareSicherheitSicherheits-ToolsSicherheitsgrundlagenSolarisSonstige SystemeSoziale NetzwerkeSpeicherkartenStudentenjobs & PraktikumSuche ProjektpartnerSuseSwitche und HubsTipps & TricksTK-Netze & GeräteUbuntuUMTS, EDGE & GPRSUtilitiesVB for ApplicationsVerschlüsselung & ZertifikateVideo & StreamingViren und TrojanerVirtualisierungVisual StudioVmwareVoice over IPWebbrowserWebentwicklungWeiterbildungWindows 7Windows 8Windows 10Windows InstallationWindows MobileWindows NetzwerkWindows ServerWindows SystemdateienWindows ToolsWindows UpdateWindows UserverwaltungWindows VistaWindows XPXenserverXMLZusammenarbeit

Exchange 2010 - Sicherheitsgruppen fehlen teilweise - System trotzdem lauffähig?!

Frage Microsoft Exchange Server

Mitglied: Troublemaker

Troublemaker (Level 1) - Jetzt verbinden

14.05.2012, aktualisiert 21:24 Uhr, 4051 Aufrufe, 6 Kommentare

Exchange 2003 -> 2010 - Migration auf CAS NLB und DAG Cluster

Hallo,

aktuell bin ich bei der Migration eines Exchange Server 2003 Stand Alone auf ein 2010er CAS NLB - DAG Cluster.

Soweit, so gut...

Jetzt tat sich bereits während der Installation ein Problem auf. Es fehlten offensichtlich Berechtigungen beim Zugriff auf das AD und auf einer Webseite fand ich die 1. Lösung.
Ich musste meine erstellte Gruppe der "Exchange Server" mit allen 4 Servern drin, zur Gruppe der "Exchange Enterprise Server" hinzufügen. Soweit so gut. Die Installation verlief problemlos,
die Migrationsschritte abgearbeitet. Die ersten Postfächer sind migriert, Zugriffe und Mailversand läuft, mit dem Server 2K3 als Koexistenz (bis alle User umgezogen sind).

Jetzt stelle ich fest, dass exakt alle 6 Stunden meine Gruppe Exchange Server aus der Gruppe "Exchange Enterprise Server" automatisch entfernt wird!
Das hatte zur Folge, dass beim Disaster Test am verbleibenden DAG-Server alle Datenbanken ausgehänht wurden. Katastrophe!

Bei der Prüfung fiel mir mit Erschrecken auf, dass ein Teil der Exchange Security Groups im AD fehlen!!! Unter anderem auch die Exchange Organization Administrators!
Wie geht das denn??? Ich hätte das doch so nie installieren können ohne diese Gruppen?!?!?

Also in Kürze:
Was zum Teufel passiert hier alle 6 Stunden?!?!?!
Wie können diese Gruppen fehlen und der Exchange komplett laufen?!?!?!

Steps done:
- GPO`s gecheckt, keine Ausffälligkeiten (alles Default)
- Scripte werden nicht ausgeführt
- Taskplaner ohne bezogene Auffälligkeiten
- setup.com /PrepareAD wiederholt -> ohne Ergebnis, Gruppen fehlen weiterhin...

Hatte jemand schonmal einen ähnlichen Fall, oder einen Tip?

Danke im Voraus!
Mitglied: DerWoWusste
14.05.2012 um 21:37 Uhr
Moin.
Was zum Teufel passiert hier alle 6 Stunden?!?!?!
Du solltest Auditing benutzen, um die Löschungen in dieser Gruppe zu monitoren, dann siehst Du, in wessen Namen das geschieht.
Bitte warten ..
Mitglied: filippg
14.05.2012 um 21:55 Uhr
Hallo,

die "Exchange Organization Administrators" nutzt Exchange (m.W.) nicht für interne Berechtigungen, sondern nur, um Admins zu berechtigen. Exchange sollte also ohne noch funktionieren. Administrieren wird unter Umständen kniffelig... (wobei man die entsprechenden Rollen aus RBAC auch direkt Nutzern zuweisen kann).
Über die "Exchange Enterprise Server" werden Berechtigungen, die Exchange im AD hat verwaltet (teils über den Zwischenschritt "Exchange Trusted Subsystem") - das ist bestimmt nicht gut, wenn die fehlt.

Aber generell hast du ernsthafte Probleme, wenn's dir Gruppen oder Gruppenmitgliedschaften aus dem AD wegpfeift.

Gruß

Filipp
Bitte warten ..
Mitglied: Troublemaker
14.05.2012 um 22:24 Uhr
Besten Dank erstmal, also die Exchange Enterprise Server gibts doch nur, wenn ich einen Exchange Server 2003 installiert hatte. Seit 2007 gibts die ja nicht mehr.
Mich wundert aber, dass nicht mal der BPA meckert! Der prüft doch zuerst die vorhandenen Gruppen und dann die Berechtigungen.
Kann es sein, dass bei einer Migration diese Gruppen erst erstellt werden, wenn er letzte 2003er aus der AD entfernt wird oder diese Gruppen durch Enterprise Server und Domain Server quasi ersetzt werden???
Bitte warten ..
Mitglied: filippg
14.05.2012 um 22:30 Uhr
Hallo,

die Exchange Enterprise Server gibts doch nur, wenn ich einen Exchange Server 2003 installiert hatte.
Richtig. War mir entgangen, bei Exchange 2010 gibt's stattdessen die Gruppe "Exchange Servers"

Kann es sein, dass bei einer Migration diese Gruppen erst erstellt werden, wenn er letzte 2003er aus der AD entfernt wird
Nein. Die brauchst du während der Koexistenz (um nämlich die Exchange-Server aufeinander zu berechtigen). Angelegt werden sollen sie vor der Installation des ersten Exchange mit "Setup /PrepareLegacyExchangePermissions", siehe http://technet.microsoft.com/en-us/library/bb125224.aspx

Gruß

Filipp
Bitte warten ..
Mitglied: Troublemaker
14.05.2012 um 23:46 Uhr
Ja hatte ich nicht erwähnt, ist natürlich bereits passiert... Ich orientiere mich morgen mal am Stichwort WriteDACL... Mal schauen...

Die Gruppen passen übrigens so, also Entwarnung, hab eben nochmal bei ner alten Migration geschaut...

Mir liegen nur noch die 6 Stunden im Magen...
Bitte warten ..
Mitglied: DerWoWusste
14.05.2012 um 23:54 Uhr
Mir liegen nur noch die 6 Stunden im Magen
Das Ratiopharm dagegen steht oben - schon bemerkt?
Bitte warten ..
Ähnliche Inhalte
Exchange Server
Exchange 2010 DAG funktioniert nur teilweise (2)

Frage von apex.predator24 zum Thema Exchange Server ...

Exchange Server
gelöst Exchange 2016 zusätzlich zu 2010 installieren (2)

Frage von LaBomba zum Thema Exchange Server ...

Batch & Shell
gelöst PS alle Mitglieder einer Sicherheitsgruppe bzw. OU (6)

Frage von lupolo zum Thema Batch & Shell ...

Windows Server
gelöst Zuweisen von Gruppenrichtlinien über Sicherheitsgruppen funktioniert nicht (10)

Frage von Yaimael zum Thema Windows Server ...

Neue Wissensbeiträge
Viren und Trojaner

Neues Botnetz über IoT-Geräte

Information von certifiedit.net zum Thema Viren und Trojaner ...

Ubuntu

Ubuntu 17.10 steht zum Download bereit

(3)

Information von Frank zum Thema Ubuntu ...

Datenschutz

Autofahrer-Pranger - Bewertungsportal illegal

(8)

Information von BassFishFox zum Thema Datenschutz ...

Heiß diskutierte Inhalte
Router & Routing
Externe IP von innen erreichbar machen (15)

Frage von Windows10Gegner zum Thema Router & Routing ...

Windows Installation
Windows 10 neu installieren (12)

Frage von imebro zum Thema Windows Installation ...

Windows Server
Frage zu Server Rack (11)

Frage von rainergugus zum Thema Windows Server ...