Managed Service Accounts funktionieren nicht

[Knorkator 12]

Hallo,

 

ich möchte für unseren Exchange Server die sog. Managed Service Accounts verweden.

 

Ich habe mich an dieser Anleitung orientiert:

Exchange Server 2010 Kompendium: Planung, Installation, Migration und Betrieb - Thomas Joos - Google Books

 

Nach einigen Stolpersteinen bin ich nun soweit, dass ich per get-adserviceaccount -filter * eine saubere Ausgabe erhalte.

 

DistinguishedName : CN=ex2010service,CN=Managed Service Accounts,DC=Domain,DC=com
Enabled           : True
HostComputers     : {CN=W01EX01,OU=Server,DC=Domain,DC=com}
Name              : ex2010service
ObjectClass       : msDS-ManagedServiceAccount
ObjectGUID        : b83fcb02-ccf1-408d-a2cc-2e5bea477943
SamAccountName    : ex2010service$
SID               : S-1-5-21-848101936-616177408-388697493-2102
UserPrincipalName :

 

Wenn ich nun einen der Exchange Dienste mit diesen Daten starten möchte, werden die Dienste entweder sofort angehalten oder starten nicht.

Eingabe ohne Kennwort:: Domain\ex2010service$

 

Domain= Domain.com

W01S001= Server 2012 Std

W01EX01 = 2008R2 (Exchange 2010 SP2 - Alle Updates)

 

Gibt es eine bestimmte Reihenfolge, in welcher die Dienste damit gestartet werden müssen etc?

 

Danke im voraus!

[RobertWi 81]

Moin,

 

es reicht nicht, nur einen neuen Account einzurichten. Du musst auch gefühlte 100 Stellen bei Exchange ändern.

 

Einen kleinen Überblick gibt Frank: MSXFAQ.DE - CAS und Kerberos

 

Das, was er da schreibt, ist im Prinzip das gleiche, auch wenn er es am Beispiel einer Kerberos Delegation beschreibt.

 

Vom Topologiedienst sind quasi alle anderen Dienst abhängig, dieser sollte also zuerst gestartet werden.

[Knorkator 12]

Auch moin,

 

so trivial scheint es also nicht zu sein.

Dann frage ich mich natürlich, warum er das im Buch auf 4 Seiten so erwähnt, als ob es kein Problem wäre.

 

Weiterhin schreib MS noch dazu:

Introducing Managed Service Accounts

Can I use managed service accounts with Exchange Server?

Exchange does not support the use of a service account, no matter managed or not. It always runs within the Local System security context.

 

Ich werde da wohl lieber nichts ändern.

 

Vielen Dank für die prompte Antwort!

[RobertWi 81]

Der Hinweis, den Du zitiert hast, ist aber Community Content, der muss nicht unbedingt richtig sein (das da drüber aber auch nicht).

 

Hier wird Exchange explizit als "Yes" erwähnt: Managed Service Accounts Frequently Asked Questions (FAQ)

 

Allerdings ohne Versionsnummer, kann sich also durchaus auch auf eine andere Exchange Version beziehen.

 

Ich persönlich glaube auch nicht, dass das sauber funktionieren wird.

[Knorkator 12]

Na wenn Du als MVP das schon bezweifelst...

 

Das Grundprinzip klingt ja nicht schlecht, aber wenn das so schwer zu implementieren ist....

 

Danke

[NilsK 2.938]

Moin,

 

das ganze Konstrukt der MSA ist leider noch nicht richtig ausgereift. Die Applikationen müssen fakttsch explizit darauf vorbereitet sein, sonst funktioniert es nicht.

 

Nicht umsonst gibt es im Server 2012 noch mal deutliche Änderungen am Konzept.

 

Gruß, Nils

[RobertWi 81]

Danke Nils, für die Ergänzung. Beim Server 2012 habe ich mir das noch nicht angeschaut, das wird dann vermutlich aber auch erst mit Ex 2013 sauber funktionieren.