AD verliert Benutzerrechte

[jostrn 13]

Hallo,

 

habe einen Blackberry Enterprise Server, einen Exchange 2003 Server, ein 2003er AD und folgendes Problem: vor kurzem hat MS die Rechte des Exchange geändert - selbstverständlich nur, weil "viele Microsoft Exchange-Kunden" das so wünschen. ;)

Siehe auch http://support.microsoft.com/kb/912918

 

Der Benutzer, unter dem der BES läuft, braucht ab sofort bei betreffenden Nutzern das Recht "Senden als" im AD. Nach ca. 1h verschwindet der Eintrag aus dem AD und ich muß ihn wieder hinzufügen :suspect: .

 

Woher kann das kommen? Ich kann bislang keine Regelmäßigkeit erkennen, seit der Änderung Anfang Mai ist es aber schon zwei Mal passiert. Bin für jeden Tip dankbar

 

 

edt1: aus mehreren Tagen wurde bei genauer Beobachtung nur ca 1h, bis der Eintrag aus dem AD verschwindet

[jostrn 13]

Gibt es eine einfache Möglichkeit, Schreibvorgänge in bestimmten Containern des AD zu überwachen?

[grizzly999 11]

Gibt es eine einfache Möglichkeit, Schreibvorgänge in bestimmten Containern des AD zu überwachen?

Ja, wenn in den Gruppenrichtlinien für die OU Domain Controllers die Richtline "Verzeichnisobjektzugriff überwachen" aktivert ist.

Im AD-Benutzer und Computer dann unter Ansicht die "Erweiterte Ansicht" anmachen, jetzt kann man für jedes Objekt (User, Gruppe, OU, usw.) einen Reiter Sicherheit sehen. Dort in den erweiterten Einstellungen "überwachung" kann man die Überwachung für Zugriffe auf das Objekt einschalten, ganz genau so wie bei der Überwachung im NTFS Dateisystem.

 

 

grizzly999

[jostrn 13]

Danke, Grizzly, Protokollierung funktioniert, aber ich finde den Löschvorfall nicht.

 

Ich wollte jetzt ein ADSI-Skript schreiben, das per cron jede Minute nachsieht, ob der Eintrag noch im AD steht; so könnte ich grob den Zeitpunkt bestimmen.

 

Wo im AD sind die Rechte auf ein Objekt abgebildet? Ich habe die Attribute der beiden betroffenen Objekte ausgelesen aber finde keine Bezüge aufeinander.

[jostrn 13]

hab' im Technet ein Skript gefunden, mit dem ich alle paar Minuten die Rechte neu setzen kann: Delegate the Send As Extended Right for a Single User.

Jetzt kann ich in Ruhe den Fehler suchen gehen.

[blub 115]

hi,

wieviele DCs hast du? Hast du schonmal die DCs ge-imaged bzw. als virtuelle Maschinen zurückgespielt?

 

cu

blub

[giffy 10]

@ blub

 

wieso??... was ist daran das Problem.? Kannst du das genau schildern?

 

@ all Habe das gleiche Prob wie hier im Thread beschrieben

Vermute das mein Kollege eine virtuelle Maschine zurückgespielt hat.

[blub 115]

Hi giffy,

Das Problem sind die sog. USN-Rollbacks

http://support.microsoft.com/default.aspx?scid=kb;en-us;875495

 

d.h. zuerst wird eine Veränderung an einem AD-Objekt auf dem "zurückgespielten" DC nicht an die übrigen DCs repliziert. Umgekehrt bekommt er aber Änderungen von anderen DCs. Alsbald hast du Chaos, in dem Objekte verschwinden, wieder auftauchen etc.

 

cu

blub