Jump to content

Administration Exchange 2010 nicht mehr möglich


Der letzte Beitrag zu diesem Thema ist mehr als 180 Tage alt. Bitte erstelle einen neuen Beitrag zu Deiner Anfrage!

Empfohlene Beiträge

Hallo Zusammen,

 

ich habe ein kleines/großes Problem derzeit, unser Exchange 2010 Server hat letztens sein Computer Konto in der AD verloren und ging nur über den Weg AD-Member -> Workgroup -> AD Member wieder ans laufen zu bringen.

 

Leider habe ich nun einige Probleme, Exchange an für sich läuft noch, allerdings kann ich in der Exchange Veraltungskonsole keinerlei Aktionen mehr durchführen (Verteilergruppe anlegen, User Postfach deaktivieren etc.), das normale Arbeiten mit Exchange funktioniert jedoch ohne Probleme.

 

Die Fehlermeldung die kommt sieht folgendermaßen aus:

 

Fehler:
Fehler bei Active Directory-Vorgang mit dc01.domain.de. Bei diesem Fehler ist kein Wiederholungsversuch möglich. Zusätzliche Informationen: Zugriff verweigert.
Active Directory-Antwort: 00000005: SecErr: DSID-031521D0, problem 4003 (INSUFF_ACCESS_RIGHTS), data 0
.

Der Benutzer verfügt nicht über die erforderlichen Zugriffsrechte.

Ausführungsversuch eines Exchange-Verwaltungsshellbefehls:
new-DistributionGroup -Name 'verteiler' -Type 'Distribution' -SamAccountName 'Verteiler' -Alias 'Verteiler'

Verstrichene Zeit: 00:00:00

 

in der Ereignissanzeige finde ich ein wenig mehr infos:

 

(PID 4480, Thread 2371) Task 'New-DistributionGroup' schreibt beim Verarbeiten des Datensatzes von Index 0 einen Fehler. Fehler: Microsoft.Exchange.Data.Directory.ADOperationException: Fehler bei Active Directory-Vorgang mit dc01.domain.de. Bei diesem Fehler ist kein Wiederholungsversuch möglich. Zusätzliche Informationen: Zugriff verweigert.
Active Directory-Antwort: 00000005: SecErr: DSID-031521D0, problem 4003 (INSUFF_ACCESS_RIGHTS), data 0
. ---> System.DirectoryServices.Protocols.DirectoryOperationException: Der Benutzer verfügt nicht über die erforderlichen Zugriffsrechte.
  bei System.DirectoryServices.Protocols.LdapConnection.ConstructResponse(Int32 messageId, LdapOperation operation, ResultAll resultType, TimeSpan requestTimeOut, Boolean exceptionOnTimeOut)
  bei System.DirectoryServices.Protocols.LdapConnection.SendRequest(DirectoryRequest request, TimeSpan requestTimeout)
  bei Microsoft.Exchange.Data.Directory.PooledLdapConnection.SendRequest(DirectoryRequest request, LdapOperation ldapOperation, IAccountingObject budget)
  bei Microsoft.Exchange.Data.Directory.ADSession.ExecuteModificationRequest(ADObject entry, DirectoryRequest request, ADObjectId originalId, Boolean emptyObjectSessionOnException)
  --- Ende der internen Ausnahmestapelüberwachung ---
  bei Microsoft.Exchange.Data.Directory.ADSession.AnalyzeDirectoryError(PooledLdapConnection connection, DirectoryRequest request, DirectoryException de, Int32 totalRetries, Int32 retriesOnServer)
  bei Microsoft.Exchange.Data.Directory.ADSession.ExecuteModificationRequest(ADObject entry, DirectoryRequest request, ADObjectId originalId, Boolean emptyObjectSessionOnException)
  bei Microsoft.Exchange.Data.Directory.ADSession.Save(ADObject instanceToSave, IEnumerable`1 properties)
  bei Microsoft.Exchange.Data.Directory.Recipient.ADRecipientSession.Microsoft.Exchange.Data.IConfigDataProvider.Save(IConfigurable instance)
  bei Microsoft.Exchange.Configuration.Tasks.SetTaskBase`1.InternalProcessRecord()
  bei Microsoft.Exchange.Configuration.Tasks.NewTaskBase`1.InternalProcessRecord()
  bei Microsoft.Exchange.Configuration.Tasks.NewADTaskBase`1.InternalProcessRecord()
  bei Microsoft.Exchange.Configuration.Tasks.Task.ProcessRecord()

 

Für Vorschläge wäre ich dankbar

Link zu diesem Kommentar

Hi,

 

ganz einfach leider nicht, ein Admin hat sich im DC "verklickt" und das falsche Computerkonto gelöscht, niemanden bescheid gesagt und den Server wieder neue in die Domäne genommen. Anfangs ist auch nichts aufgefallen, das E-Mail/Exchange noch normal funktioniert, alle User können sich anmelden etc.

 

Auch der Administrator kann sich in die Exchange Verwaltungskonsole einloggen, sieht alle Optionen, nur beim ausführen der Befehle (egal welchen) kommt nun die Fehlermeldung.

 

Exchange "sieht" aber noch das komplette AD, wenn ich im AD ein neues Userkonto anlege, kann ich in Exchange dieses auch auswählen um dort ein E-Mail Postfoch draus zu machen, nur beim ausführen des anlege Befehls scheitert er dann wieder.

 

Grade eine echt doofe Sache, ist dieses nur ein "Berechtigungsproblem" das der Administrator aus einigen Gruppen "geflogen" ist? Oder muss Exchange komplett neu installiert werden, aber die Domäne weiterhin nutzbar ist?

 

Es sind nur knapp über ein Dutzend Postfächer drauf, allerdings mit knapp 10 GB Postfachspeicher

 

danke für eure Vorschläge

Link zu diesem Kommentar

Der AD Papierkorb wäre in diesem Fall Gold wert. ;)

 

Ich hab hier mal die Gruppenmitgliedschaften des Exchangeserver-Computerkontos bei einem unserer Kunden aufgelistet:

 

Domänencomputer

Exchange Install Domain Servers

Exchange Servers

Exchange Trusted Subsystems

Hygiene Management

 

 

Füge das Computerkonto mal diesen Gruppen hinzu und versuche es danach wieder.

Wahrscheinlich muss danach ein Neustart gemacht werden.

Link zu diesem Kommentar
Der AD Papierkorb ist leider noch nicht aktiviert gewesen auf den beiden DC (2008 R2), das werde ich jetzt aber kurzfristig nachholen.

 

Vielleicht möchtest Du Dich zuerst ausreichend informieren, bevor Du schnell am Dienstag Abend "kurzfristig" den AD Recycle Bin aktivierst. Der Prozess ist nicht umkehrbar und beeinflusst ggf. bestehende Wiederherstellungsszenarien.

 

Active Directory Recycle Bin in Windows Server 2008 R2 Step-by-Step Guide [R2]

LDAP://Yusufs.Directory.Blog/ - Der Infrastrukturmaster, der globale Katalog und der AD-Papierkorb

LDAP://Yusufs.Directory.Blog/ - Der Active Directory-Papierkorb im Windows Server 2008 R2

Link zu diesem Kommentar
Vielleicht möchtest Du Dich zuerst ausreichend informieren, bevor Du schnell am Dienstag Abend "kurzfristig" den AD Recycle Bin aktivierst. Der Prozess ist nicht umkehrbar und beeinflusst ggf. bestehende Wiederherstellungsszenarien.

 

Off-Topic:

Halb so wild, immerhin verlieren Server dann nicht einfach ihr Konto im AD. ;)

 

Bye

Norbert

Link zu diesem Kommentar

Hi,

 

danke für die Links, kurzfristig heisst bei mir nicht heute Abend sondern in den nächsten ein bis zwei Wochen, sowie nach ein wenig lektüre dazu. Vor solchen Umstellungen gibt es dann auch nen Snapshot aller Maschinen für den Fall der Fälle

 

@Norbert:

auch mit solchen Sachen bist du vor den schnellen Klicks bei unüberlegten Leuten nicht gefeit, vorallem nicht, wenn dir niemand etwsa über sein "missgeschick" erzählt und du die scherben irgendwie aufkehren musst

Link zu diesem Kommentar
Off-Topic:
Off-Topic:
Halb so wild, immerhin verlieren Server dann nicht einfach ihr Konto im AD. ;)



Würden Sie auch nicht, wenn man die Serverobjekte gegen versehentliches Löschen schützt. :D

Im Ernst - es gibt ein paar Dinge im Zusammenhang mit der Garbage Collection, die man beim Aktivieren des Recycle Bin berücksichtigen sollte. Uns haben Instruktoren darauf hingewiesen, dass die Aktivierung ohne begleitende Massnahmen schlimmstenfalls zu verwaisten Objekten führen kann. Ein MCM in den USA hat uns zudem per Rundschreiben auf eine weitere Beobachtung in Mehr-Domänen-Strukturen aufmerksam gemacht: "If any object in the AD is moved from one OU to another, that object loses all group memberships in Domain Local groups in other domains for up to 2 days." (Hinweis -> Infrastructure Master)

Wie gesagt - grössere Strukturen, nicht das Single Forest Single Domain Modell, um das es hier geht. Ich möchte auch nicht gegen den Recycle Bin wettern oder vor ihm warnen (keineswegs!), aber den TO darauf aufmerksam machen, nicht einfach schnell zu handeln und dann vielleicht lange nachzudenken, sondern sich vorab eingehend mit Systemänderungen und deren Wirkung zu befassen, um zu verstehen, was man wirklich tut.
Link zu diesem Kommentar
Der letzte Beitrag zu diesem Thema ist mehr als 180 Tage alt. Bitte erstelle einen neuen Beitrag zu Deiner Anfrage!

Schreibe einen Kommentar

Du kannst jetzt antworten und Dich später registrieren. Falls Du bereits ein Mitglied bist, logge Dich jetzt ein.

Gast
Auf dieses Thema antworten...

×   Du hast formatierten Text eingefügt.   Formatierung jetzt entfernen

  Only 75 emoji are allowed.

×   Dein Link wurde automatisch eingebettet.   Einbetten rückgängig machen und als Link darstellen

×   Dein vorheriger Inhalt wurde wiederhergestellt.   Editor-Fenster leeren

×   Du kannst Bilder nicht direkt einfügen. Lade Bilder hoch oder lade sie von einer URL.

×
×
  • Neu erstellen...