Administration Exchange 2010 nicht mehr möglich

[phboos 10]

Hallo Zusammen,

 

ich habe ein kleines/großes Problem derzeit, unser Exchange 2010 Server hat letztens sein Computer Konto in der AD verloren und ging nur über den Weg AD-Member -> Workgroup -> AD Member wieder ans laufen zu bringen.

 

Leider habe ich nun einige Probleme, Exchange an für sich läuft noch, allerdings kann ich in der Exchange Veraltungskonsole keinerlei Aktionen mehr durchführen (Verteilergruppe anlegen, User Postfach deaktivieren etc.), das normale Arbeiten mit Exchange funktioniert jedoch ohne Probleme.

 

Die Fehlermeldung die kommt sieht folgendermaßen aus:

 

Fehler:
Fehler bei Active Directory-Vorgang mit dc01.domain.de. Bei diesem Fehler ist kein Wiederholungsversuch möglich. Zusätzliche Informationen: Zugriff verweigert.
Active Directory-Antwort: 00000005: SecErr: DSID-031521D0, problem 4003 (INSUFF_ACCESS_RIGHTS), data 0
.

Der Benutzer verfügt nicht über die erforderlichen Zugriffsrechte.

Ausführungsversuch eines Exchange-Verwaltungsshellbefehls:
new-DistributionGroup -Name 'verteiler' -Type 'Distribution' -SamAccountName 'Verteiler' -Alias 'Verteiler'

Verstrichene Zeit: 00:00:00

 

in der Ereignissanzeige finde ich ein wenig mehr infos:

 

(PID 4480, Thread 2371) Task 'New-DistributionGroup' schreibt beim Verarbeiten des Datensatzes von Index 0 einen Fehler. Fehler: Microsoft.Exchange.Data.Directory.ADOperationException: Fehler bei Active Directory-Vorgang mit dc01.domain.de. Bei diesem Fehler ist kein Wiederholungsversuch möglich. Zusätzliche Informationen: Zugriff verweigert.
Active Directory-Antwort: 00000005: SecErr: DSID-031521D0, problem 4003 (INSUFF_ACCESS_RIGHTS), data 0
. ---> System.DirectoryServices.Protocols.DirectoryOperationException: Der Benutzer verfügt nicht über die erforderlichen Zugriffsrechte.
  bei System.DirectoryServices.Protocols.LdapConnection.ConstructResponse(Int32 messageId, LdapOperation operation, ResultAll resultType, TimeSpan requestTimeOut, Boolean exceptionOnTimeOut)
  bei System.DirectoryServices.Protocols.LdapConnection.SendRequest(DirectoryRequest request, TimeSpan requestTimeout)
  bei Microsoft.Exchange.Data.Directory.PooledLdapConnection.SendRequest(DirectoryRequest request, LdapOperation ldapOperation, IAccountingObject budget)
  bei Microsoft.Exchange.Data.Directory.ADSession.ExecuteModificationRequest(ADObject entry, DirectoryRequest request, ADObjectId originalId, Boolean emptyObjectSessionOnException)
  --- Ende der internen Ausnahmestapelüberwachung ---
  bei Microsoft.Exchange.Data.Directory.ADSession.AnalyzeDirectoryError(PooledLdapConnection connection, DirectoryRequest request, DirectoryException de, Int32 totalRetries, Int32 retriesOnServer)
  bei Microsoft.Exchange.Data.Directory.ADSession.ExecuteModificationRequest(ADObject entry, DirectoryRequest request, ADObjectId originalId, Boolean emptyObjectSessionOnException)
  bei Microsoft.Exchange.Data.Directory.ADSession.Save(ADObject instanceToSave, IEnumerable`1 properties)
  bei Microsoft.Exchange.Data.Directory.Recipient.ADRecipientSession.Microsoft.Exchange.Data.IConfigDataProvider.Save(IConfigurable instance)
  bei Microsoft.Exchange.Configuration.Tasks.SetTaskBase`1.InternalProcessRecord()
  bei Microsoft.Exchange.Configuration.Tasks.NewTaskBase`1.InternalProcessRecord()
  bei Microsoft.Exchange.Configuration.Tasks.NewADTaskBase`1.InternalProcessRecord()
  bei Microsoft.Exchange.Configuration.Tasks.Task.ProcessRecord()

 

Für Vorschläge wäre ich dankbar

[dmetzger 10]

unser Exchange 2010 Server hat letztens sein Computer Konto in der AD verloren

 

Einfach so, ganz von alleine? Kannst Du das weiter erläutern?

[phboos 10]

Hi,

 

ganz einfach leider nicht, ein Admin hat sich im DC "verklickt" und das falsche Computerkonto gelöscht, niemanden bescheid gesagt und den Server wieder neue in die Domäne genommen. Anfangs ist auch nichts aufgefallen, das E-Mail/Exchange noch normal funktioniert, alle User können sich anmelden etc.

 

Auch der Administrator kann sich in die Exchange Verwaltungskonsole einloggen, sieht alle Optionen, nur beim ausführen der Befehle (egal welchen) kommt nun die Fehlermeldung.

 

Exchange "sieht" aber noch das komplette AD, wenn ich im AD ein neues Userkonto anlege, kann ich in Exchange dieses auch auswählen um dort ein E-Mail Postfoch draus zu machen, nur beim ausführen des anlege Befehls scheitert er dann wieder.

 

Grade eine echt doofe Sache, ist dieses nur ein "Berechtigungsproblem" das der Administrator aus einigen Gruppen "geflogen" ist? Oder muss Exchange komplett neu installiert werden, aber die Domäne weiterhin nutzbar ist?

 

Es sind nur knapp über ein Dutzend Postfächer drauf, allerdings mit knapp 10 GB Postfachspeicher

 

danke für eure Vorschläge

[Mr_Marple 15]

Der AD Papierkorb wäre in diesem Fall Gold wert. ;)

 

Ich hab hier mal die Gruppenmitgliedschaften des Exchangeserver-Computerkontos bei einem unserer Kunden aufgelistet:

 

Domänencomputer

Exchange Install Domain Servers

Exchange Servers

Exchange Trusted Subsystems

Hygiene Management

 

 

Füge das Computerkonto mal diesen Gruppen hinzu und versuche es danach wieder.

Wahrscheinlich muss danach ein Neustart gemacht werden.

[phboos 10]

Hi,

 

danke für die Auflistung, im Hygiene Management fehlte noch das Konto, Fehlermeldung war eben noch da, Neustart geht leider erst heute Abend.

 

Im AD Papierkorb muss ich nachher in einer ruhigen Minute nochmal schauen, vielleicht ist da doch noch was vorhanden

[phboos 10]

Hi Mr_Marple,

 

danke für die Hinweise, das mit dem Hygiene Eintrag fehlte noch sowie der Neustart, nun funktioniert die ganze Verwaltung wieder korrekt

 

Der AD Papierkorb ist leider noch nicht aktiviert gewesen auf den beiden DC (2008 R2), das werde ich jetzt aber kurzfristig nachholen.

 

Soweit läuft nun alles wieder, vielen Dank

[dmetzger 10]

Der AD Papierkorb ist leider noch nicht aktiviert gewesen auf den beiden DC (2008 R2), das werde ich jetzt aber kurzfristig nachholen.

 

Vielleicht möchtest Du Dich zuerst ausreichend informieren, bevor Du schnell am Dienstag Abend "kurzfristig" den AD Recycle Bin aktivierst. Der Prozess ist nicht umkehrbar und beeinflusst ggf. bestehende Wiederherstellungsszenarien.

 

Active Directory Recycle Bin in Windows Server 2008 R2 Step-by-Step Guide [R2]

LDAP://Yusufs.Directory.Blog/ - Der Infrastrukturmaster, der globale Katalog und der AD-Papierkorb

LDAP://Yusufs.Directory.Blog/ - Der Active Directory-Papierkorb im Windows Server 2008 R2

[NorbertFe 2.013]

Vielleicht möchtest Du Dich zuerst ausreichend informieren, bevor Du schnell am Dienstag Abend "kurzfristig" den AD Recycle Bin aktivierst. Der Prozess ist nicht umkehrbar und beeinflusst ggf. bestehende Wiederherstellungsszenarien.

 

Off-Topic:

Halb so wild, immerhin verlieren Server dann nicht einfach ihr Konto im AD. ;)

 

Bye

Norbert

[phboos 10]

Hi,

 

danke für die Links, kurzfristig heisst bei mir nicht heute Abend sondern in den nächsten ein bis zwei Wochen, sowie nach ein wenig lektüre dazu. Vor solchen Umstellungen gibt es dann auch nen Snapshot aller Maschinen für den Fall der Fälle

 

@Norbert:

auch mit solchen Sachen bist du vor den schnellen Klicks bei unüberlegten Leuten nicht gefeit, vorallem nicht, wenn dir niemand etwsa über sein "missgeschick" erzählt und du die scherben irgendwie aufkehren musst

[NorbertFe 2.013]

Mußt du mir nicht sagen, kenn ich alles aus eigener Erfahrung. :)

 

Bye

Norbert

[dmetzger 10]

Off-Topic:

Off-Topic:
Halb so wild, immerhin verlieren Server dann nicht einfach ihr Konto im AD. ;)

Würden Sie auch nicht, wenn man die Serverobjekte gegen versehentliches Löschen schützt. :D

Im Ernst - es gibt ein paar Dinge im Zusammenhang mit der Garbage Collection, die man beim Aktivieren des Recycle Bin berücksichtigen sollte. Uns haben Instruktoren darauf hingewiesen, dass die Aktivierung ohne begleitende Massnahmen schlimmstenfalls zu verwaisten Objekten führen kann. Ein MCM in den USA hat uns zudem per Rundschreiben auf eine weitere Beobachtung in Mehr-Domänen-Strukturen aufmerksam gemacht: "If any object in the AD is moved from one OU to another, that object loses all group memberships in Domain Local groups in other domains for up to 2 days." (Hinweis -> Infrastructure Master)

Wie gesagt - grössere Strukturen, nicht das Single Forest Single Domain Modell, um das es hier geht. Ich möchte auch nicht gegen den Recycle Bin wettern oder vor ihm warnen (keineswegs!), aber den TO darauf aufmerksam machen, nicht einfach schnell zu handeln und dann vielleicht lange nachzudenken, sondern sich vorab eingehend mit Systemänderungen und deren Wirkung zu befassen, um zu verstehen, was man wirklich tut.