rpc over https nur als exchange organization administrator

[werner008 10]

moin,

nach viel krampf und kampf habe ich exchange 2007 in einer reinen windows 2008 domäne dazu überzeugen können "rpc over https" mit beliebigen outlook clients zu sprechen, allerdings hat das ganze einen haken:

 

die benutzer müssen mitglied der gruppe "exchange organization administrators" sein

 

nachdem das kaum im sinne des erfinders sein kann, hat jemand eine idee an welcher schraube ich drehen kann? ich vermute eine berechtigung im IIS auf autodiscover oder rpc (auf rpc sind die berechtigungen nicht bearbeitbar, alles ausgegraut)

 

der interner domainname ist gleich dem externen domainnamen

rpcping -t ncacn_http -s exchange1.domainname.at -o RpcProxy=-exchange1.domainname.at -P "testmail1,domainname,*" -I "testmail1,domainname,*" -H 1 -F 3 -v 3 -e 6001 -u 10 -a connect

 

führt als mitglied "exchange organization administrators" zu

 

RPCPing v2.12. Copyright (C) Microsoft Corporation, 2002
OS Version is: 5.1, Service Pack 3
Completed 1 calls in 156 ms
6 T/S or 156.000 ms/T

 

wenn man nur normaler domänenbenutzer ist, dann bekommt man exception 5:

 

RPCPing v2.12. Copyright (C) Microsoft Corporation, 2002
OS Version is: 5.1, Service Pack 3

Exception 5 (0x00000005)

 

die verbindung mit outlook geht auch problemlos wenn rpcping geht...

 

irgend jemand eine idee? :-)

 

vielen dank im voraus

werner

[LukasB 10]

nach viel krampf und kampf habe ich exchange 2007 in einer reinen windows 2008 domäne dazu überzeugen können "rpc over https" mit beliebigen outlook clients zu sprechen, allerdings hat das ganze einen haken:

 

Was hast du denn da alles gefummelt? Auf aktuellen Update-Stand musst du nichts fummeln (es gab vor UR4 mal ein Problem mit Port 6004 / DS Redirector / IPv6).

[werner008 10]

moin,

ich habe exchange 2007 mit 2 DCs, alles auf 2008, zweimal aufgesetzt, jedes mal die gleichen fehler. exchange jeweils mit rollout update 7, also dem aktuellen.

 

ich habe rpc over https nicht zum laufen bekommen, beide male.

 

ich habe dann ipv6 deaktiviert, was auch nicht geholfen hat. netstat zeigte zwar an, dass auf port 6004 mit ipv4 geöffnet sei, aber es funktionierte kein rpcping.

 

C:\_adminfiles\rpc>rpccfg.exe /hd
Error: RpcProxy is not installed on this system.
The command did not complete successfully.	

 

brachte mich auf die spur. den "rpc over http" proxy habe ich beim zweiten mal sogar vor exchange installiert. ich habe die rpcproxy ports mit hilfe von rpcnofrontend eingetragen, danach war rpccfg zufrieden gestellt. und gab als ergebnis

 

exchange1 6001-6002 6004
exchange1.domainname.at 6001-6002 6004

 

aus. anschließend hat rpcping mit den ports 6001 und 6002 funktioniert (auch mit normalen domänenbenutzern) wie ich gerade meiner doku entnehme.

 

leider hat rpcping nicht mit port 6004 funktioniert und auch outlook hat nicht funktioniert. irgendwo (auch hier im forum), habe ich dann den tip gefunden auf den domain controllern folgenden reg key zu setzen:

 

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NTDS\Parameters\NSPI interface protocol sequences: Multi_SZ = ncacn_http:6004

 

 

anschließend ging dann port 6004 mit rpcping, allerdings nur für den domainadministrator. wenn ich nun die normalen benutzer zu "exchange organzation administrators" mache, dann geht outlook und rpcping.

 

ich weiß, das ganze klingt recht kompliziert, aber wüsste nicht, wo ich bei zwei frischen installationen fehler machen kann, wenn es "einfach so" gehen sollte. die domain besteht aus 2 DCs, 1x exchange (jeweils win 2008 64 bit) und 1x win xp client. da kann man doch nicht wirklich viel falsch machen!?

 

 

 

gruß

werner

[NorbertFe 1.835]

moin,

ich habe exchange 2007 mit 2 DCs, alles auf 2008, zweimal aufgesetzt, jedes mal die gleichen fehler. exchange jeweils mit rollout update 7, also dem aktuellen.

 

Nö, aktuell ist 8 ;)

 

ich habe rpc over https nicht zum laufen bekommen, beide male.

 

Hmm.

 

ich weiß, das ganze klingt recht kompliziert, aber wüsste nicht, wo ich bei zwei frischen installationen fehler machen kann, wenn es "einfach so" gehen sollte. die domain besteht aus 2 DCs, 1x exchange (jeweils win 2008 64 bit) und 1x win xp client. da kann man doch nicht wirklich viel falsch machen!?

 

Kann man wirklich nicht. deswegen ja auch Lukas' Frage. ;) Ich kann dir auch nicht weiterhelfen, da das normalerweise tatsächlich out of the box funktioniert.

 

Aber wenn du eh schon zweimal installiert hast... ;)

 

Bye

Norbert

[werner008 10]

moin,

hmm ok, update8 gabs beim letzen mal als ich mich mit dem system beschäftigt habe (abgesehen von heute) gerade mal 2 tage, das kann passieren ;-)

 

wobei sich mir die frage stellt, warum das update nicht über windows update automatisch verfügbar ist, oder ist das bei exchange nicht der fall?

 

ja ich komm mir auch seit längerem dumm vor, dass ich das zeug nicht zum laufen bringe, aber die domain ist komplett default konfiguriert. dcpromo, weiter, weiter, fertigstellen. exchange setup mit den ganzen vorausinstallationen auch alles auf default und einmal vorher, einmal nacher den "rpc over http proxy". mehr habe ich nicht eingestellt, keine gruppenrichtlinien, nichts. firewall habe ich überall auf alles akzeptieren gestellt, das wars dann aber auch schon.

 

anfangs hatte ich probleme mit den zertifikaten, das hat sich aber schnell erübrigt.

 

ich werd morgen mal das RU8 installieren und ipv6 wieder einschalten, auf dem faq-o-matic blog war ja mal was zum thema ipv6 und exchange, aber egal welche richtung ich mich bisher gedreht habe, die jetzige konfiguration ist die einzige in der ich überhaupt eine verbindung hinbringen :-(

 

service pack2 für win2008 könnt ich auch noch dazugeben, mal schauen.

 

gruß

werner

[werner008 10]

moin,

so, ich hab jetzt nochmal ipv6 aktiviert, die reg keys von den domain controllern wieder entfernt, es ändert sich nichts.

 

was ich allerdings gefunden habe ist, dass im ereignisprotokoll bei sicherheit folgendes drin steht wenn sich ein normalbenutzer mit rpcping verbinden will

 

Fehlerinformationen:
Fehlerursache:		Die Domänen-SID ist inkonsistent.
Status:			0xc000006d
Unterstatus::		0xc000019b

 

ich habe mit ADSi-editor alle server und die drei benutzer überprüft, sie haben alle unterschiedliche "objectSid"s. wobei ich befürchte, dass die template funktion von vmware irgendwie nicht richtig funktioniert und dass es daran liegt, dass ich die server alle aus einem template generiert habe (virtual center 2.5 mit update 4 hat als "feature" dass man win 2008 template generieren kann...)

 

na mal weiter schauen...

 

danke jedenfalls für eure hilfe bis dahin

 

 

gruß

werner

 

edit: psgetsid sagt dass alle sids identisch sind... ich habe auch den letzen schritt beim deployen der vms übersehen, wo man die "customization specification" angibt :-(