Beim Verschieben eines Postfaches unter Exchange 2007/2010 oder beim Delegieren eines „Senden-als“ Rechtes in der Management Console (EMC) kann es vorkommen das eine Fehlermeldung wie diese auftaucht:
Fehler:
Fehler bei Active Directory-Vorgang mit dc.foo.ba. Bei diesem Fehler ist kein Wiederholungsversuch möglich. Zusätzliche Informationen: Die Zugriffsrechte reichen für diesen Vorgang nicht aus.
Active Directory-Antwort: 00002098: SecErr: DSID-03150BB9, problem 4003 (INSUFF_ACCESS_RIGHTS), data 0
. Der Benutzer verfügt nicht über die erforderlichen Zugriffsrechte.
Wie der Fehler sagt, gibt es nicht die passenden Rechte. Andrs als man im ersten Moment vermuten mag, liegen die Send-As Rechte und deren Kollegen immer noch im ACE (Access Control Entry) im ActiveDirectory. In der Regel hat ein Domänen-Admin diese Rechte auch; manches mal hat das Objekt diese aber nicht (mehr) geerbt.
Lösung: Erben der Rechte im Objekt wieder einschalten.
Active Directory und Benutzer (mit erweiterten Eigenschaften) -> Benutzer suchen -> Rechtsklick auf Eigenschaften -> Tab „Sicherheit“ -> „Erweitert“ -> „Vererbbare Berechtigungen des übergeordneten Objektes einschließen“ einschalten. Fertig.
Ab jetzt klappts auch wieder mit delegierten Rechten und dergleichen.
Hallo und danke für diesen Beitrag!.
Ich muss dem Benutzer welcher das Recht Senden-Als bekommen soll die Berechtigungen vererben, dem Benutzer des Postfachs oder beiden?
Danke und viele Grüße Andreas
Die ererbung (nicht VERerbung! 🙂 musst du auf dem Objekt aktivieren, der das Recht ererben soll – also dem Zielbenutzer. Bei diesem wird ein Eintrag in die ACL hinzu-geerbt, was nicht funktioniert wenn die ererbung ausgeschaltet ist.
Das kann auch auftreten, wenn man ein neues Benutzerpostfach auf einem Exchange Server (in dem konkreten Falls Exchange 2010) anlegen will. Nach der Aktivierung der Vererbung wie im Artikel beschrieben, kann man das Benutzerpostfach dann ohne Probleme anlegen.
Problem ist aber, dass die Berechtigungen innerhalb einer Stunde wieder zurückgesetzt werden (Vererbungen auch).
Dann ist das betreffende Benutzerobjekt in einer der AdminSDHolder protected Groups. Für diese ist die Vererbung der FullAccess Rechte selbstverständlich nicht möglich, sonst könnte ja ein Benutzer einen Admin aus dem AD aussperren 🙂
Mehr zu diesem Thema: https://technet.microsoft.com/de-de/magazine/2009.09.sdadminholder.aspx
alt aber immer noch hilfreich 😉
Dachte schon ich spinne, und steckte mitten in der Migration 2010->2016 fest, da sich 3 Postfächer nicht bewegen wollten.
Danke
Gehe mit Peter mit! Kleine Ursache, große Wirkung. Danke für den Tipp!