Lync 2013 Prepare Forest schlägt fehl

[flo666 10]

Hallo Zusammen,

 

ich würde gerne einen LYNC 2013 Server installieren aber leider bekomme ich bei Prepare Forrest immer folgende Fehlermeldung

 

Command execution failed: Length of the access control list exeed the allowed maximum

 

Domain Funktionslevel 2008R2

Lync SRV: 2012 R2

 

Woran könnte das liegen? 

Braucht ihr noch mehr Infos?

 

Danke

LG

Flo

[CoolAce 17]

Hy,

 

gab es vorheriges Versionen OCS oder Lync 2010 ?

Gibt es Eventlog Einträge ?

[flo666 10]

Hi,

 

nein hatte ich nicht Installiert. 

Ich hab leider nur das LOG, dass ich angehängt habe.

Im Eventlog selbst steht nichts.

 

Danke

bearbeitet 25. Juni 2014 von flo666

[daabm 1.431]

Du hast wohl ein Objekt im AD, dessen ACL "voll" ist - auch wenn ich sowas vorher noch nie erlebt habe :cool:  Wie rausfinden? Schwierig... Netzwerktrace wäre ggf. eine Möglichkeit (Kommunikation zum DC mitschneiden - LDAP ist recht gut lesbar)

[flo666 10]

Hmm ok, dann werde ich mal den Sniffer anschmeißen, ich prüfe mal ob ich rausfinden kann wo er den Fehler genau bringt evtl kann ich dadurch die Analyse ein bisschen  vereinfachen..  

[NilsK 3.046]

Moin,

 

tatsächlich beziehen sich die Fundstellen im Web zu der Fehlermeldung größtenteils auf Lync-Installationen ... Beispiel:

 

http://social.technet.microsoft.com/Forums/de-DE/a96a1360-9b62-446c-b20b-a7cba6dbea35/lync-enablecsaddomain-fails?forum=ocsplanningdeployment

 

Anscheinend fügt Lync dem AD eine große Zahl von Accounts und eine große Zahl von Berechtigungseinträgen hinzu. In dem oben zitierten Beispiel hatte es bereits eine andere Software gegeben, die ebenso verfahren war, sodass tatsächlich der (sonst hochgradig unwahrscheinliche) Fall eintrat, dass die Berechtigungsliste voll war. Dort scheint sich das Problem auf eine große Zahl von Objekten zu beziehen; die Lösung war erreicht, als man die alte Software und deren Berechtigungseinträge entfernt hatte.

 

Gibt es bei euch auch eine Software, die exzessiv Berechtigungen ins AD eingetragen hat?

 

Gruß, Nils

[flo666 10]

Hallo Nils,

 

ich habe mal ein bisschen das AD Durchsucht und nur relativ viele Gruppen von Microsoft DPM gefunden, nachdem wir den nicht mehr nutzen habe ich diese Gruppen entfernt, hat leider nicht geklappt :( Hast du evtl. sonst noch eine Idee? 

Danke

Flo

[NilsK 3.046]

Moin,

 

verschaffe dir doch mal einen Überblick über die Berechtigungen auf Domänenebene, auf OU-Ebene oder auf Einzelobjekt-Ebene. Irgendwo solltest du dann ja lange Berechtigungslisten finden. Ein geeignetes Tool dafür ist LIZA:

 

[LIZA - Active Directory Security, Permission and ACL Analysis]
http://ldapexplorer.com/en/liza.htm
 

Gruß, Nils