Kategorie-Archiv: Exchange

Die Verlängerung eines bestehenden öffentlichen Zertifikates unter Exchange 2010 (SP2) ist ohne Änderung des Privaten Schlüssels interessanter als gedacht. Das Erstellen einer neuen Zertifikatsanforderung oder einer Verlängerungsanforderung ist in der EMC kein Problem (Serverkonfiguration -> oben Server auswählen -> unten rechte MT auf das ablaufende Zertifikate und ‚erneuern‘ auswählen), aber was tun wenn man schon ein Zertifikat besitzt, das die Zertifizierungsstelle direkt verlängert? Diese liefert das Zertifikat in der Regel als DER (respektive PEM) aus und man muss dieses „nur“ noch in den Exchange importieren.

Exchange den Request nach dem „Abschließen der Anforderung“ immer noch als solchen an und lässt es auch nicht zu, diesem Zertifikate zuzuordnen, weil der Private Schlüssel fehlt:

Was man in der MMC -> Snap-In hinzufügen -> Zertifikate -> Lokales Computerkonto auch sehen kann:

Die EMC scheint an dieser Stelle ihre eigenen Voraussetzungen für eine erfolgreiche Zertifikatsverlängerung eines bestehenden Zertifikates ohne Änderungen nicht zu erfüllen. Di zugehörigen Anleitungen und TechNet Artikel verweisen immer auf „New-ExchangeCertificate“, das aber einen neuen Request oder gleich ein selbstsigniertes Zertifikat erstellen möchte. weiterlesen Exchange 2010 bestehendes (nicht selbstsigniertes) Zertifikat verlängern→

Beim Verschieben eines Postfaches unter Exchange 2007/2010 oder beim Delegieren eines „Senden-als“ Rechtes in der Management Console (EMC) kann es vorkommen das eine Fehlermeldung wie diese auftaucht:

Fehler:
Fehler bei Active Directory-Vorgang mit dc.foo.ba. Bei diesem Fehler ist kein Wiederholungsversuch möglich. Zusätzliche Informationen: Die Zugriffsrechte reichen für diesen Vorgang nicht aus.
Active Directory-Antwort: 00002098: SecErr: DSID-03150BB9, problem 4003 (INSUFF_ACCESS_RIGHTS), data 0
. Der Benutzer verfügt nicht über die erforderlichen Zugriffsrechte.

Wie der Fehler sagt, gibt es nicht die passenden Rechte. Andrs als man im ersten Moment vermuten mag, liegen die Send-As Rechte und deren Kollegen immer noch im ACE (Access Control Entry) im ActiveDirectory. In der Regel hat ein Domänen-Admin diese Rechte auch; manches mal hat das Objekt diese aber nicht (mehr) geerbt.

Lösung: Erben der Rechte im Objekt wieder einschalten.

Active Directory und Benutzer (mit erweiterten Eigenschaften) -> Benutzer suchen -> Rechtsklick auf Eigenschaften -> Tab „Sicherheit“ -> „Erweitert“ -> „Vererbbare Berechtigungen des übergeordneten Objektes einschließen“ einschalten. Fertig.

Ab jetzt klappts auch wieder mit delegierten Rechten und dergleichen.

Der Durchschnittsadministrator erhofft sich auf ein

Get-PublicFolder | Get-PublicFolderStatistics

in der Regel eine Liste der Öffentlichen Ordner und die zugehörige Statistik der Inhalte. Exchange 2010 quittiert diesen Versuch in der Regel mit einem Fehler:

Get-PublicFolder | Get-PublicFolderStatistics
Der Öffentliche Ordner "" wurde auf Server "<foobar>" nicht gefunden.<
    + CategoryInfo          : InvalidData: (:PublicFolderIdParameter) [Get-PublicFolderStatistics], InvalidOperationE
   xception
    + FullyQualifiedErrorId : 73C4D20B,Microsoft.Exchange.Management.MapiTasks.GetPublicFolderStatistics

Die Lösung lautet: das Ergebnis dieser Abfrage könnte ja theoretisch groß sein und daher … wird die Abfrage nicht ausgeführt. Das aufheben der Default-beschränkung (ob sie zuschlägt oder nicht) führt sofort zum gewünschten Ergebnis:

Get-PublicFolder "" -Recurse | Get-PublicFolderStatistics -ResultSize unlimited

Und weil wir grade dabei sind, diesen Schnipsel benutze ich öfter um mir eine grafische Übersicht über alle Öffentlichen Ordner, deren Inhalt und Eckdaten zu erstellen (erfordert das ISE):

Get-PublicFolder "" -Recurse | Get-PublicFolderStatistics -ResultSize unlimited | Select-Object FolderPath,AdminDisplayName,ItemCount,TotalItemSize,LastAccessTime | Out-GridView