Senden Als Berechtigung verschwindet wieder

[surfacing 32]

Moin Moin Zusammen,

 

ich habe hier 2 Postfächer bei denen ich jeweils die Berechtigung "Senden als" für verschiedene User anlegen darf.  Ich kriege jedoch als Fehlermeldung

Fehler bei Active Directory-Vorgang mit DC01.domain. Bei diesem Fehler ist kein Wiederholungsversuch mö

glich. Zusätzliche Informationen: Zugriff verweigert.

Active Directory-Antwort: 00000005: SecErr: DSID-031521D0, problem 4003 (INSUFF_ACCESS_RIGHTS), data 0

    + CategoryInfo          : WriteError: (0:Int32) [Add-ADPermission], ADOperationException

    + FullyQualifiedErrorId : 53712E3,Microsoft.Exchange.Management.RecipientTasks.AddADPermission

Laut Google und diversen anderen IT Blogs, kann ich das Problem lösen in dem im in der AD im User unter Sicherheit/Erweitert das Häkchen setze bei  "Vererbare Berechtigungen des übergeordneten Objektes einschließen".  Häkchen gesetzt und ich kann das "Senden als" Recht bei den User setzen. Allerdings verschwindet nach einer gewissen Zeit 15-30 Minuten die User aus der  "Senden als" Übersicht auf dem Exchange.

 

Ich habe bisher 2x verschiedene Userkonten bei denen exakt das passiert. Erstelle ich einen neuen User+Postfach und gebe User XYZ das Recht "senden als" funktioniert es ohne Probleme und die Berechtigungen verschwinden auch nicht mehr einfach so.  Ich stehe gerade etwas auf dem Schlauch, wieso das passiert.

 

Vermutlich wäre die einfachste Lösung jeweils die User+Postfächer zu löschen und neu zuerstellen, jedoch interessiert mich die Ursache des Fehlers.

 

Danke

[testperson 1.682]

Hi,

 

dann hast du die Blogs wohl nicht zuende gelesen ;) Da wird es um die Besonderheiten der "Admin-SD-Holders" gehen. In welchen Gruppen sind die User / Konten um die es hier geht denn alles Mitglied?

 

Gruß

Jan

[Nobbyaushb 1.472]

Moin,

 

ergänzend zu Jan: das kann auch passieren, wenn die User mal Member der Dom-Admins WAREN.

 

;)

[NorbertFe 2.045]

Dann würde aber der Haken nicht wieder entfernt werden. ;)

[surfacing 32]

Ihr bringt mich ganz schön ins grübeln ;).

 

User A

Gruppe: Domain User + Verteilergruppe

 

User B

Gruppe: Domain User

 

Also bisher keine offensichtlichen Zugehörigkeit zu einer Admin Gruppe.

 

Von MXfaq.de habe ich das Script  gefunden.

#REM Export in Textdatei
ldifde -d "dc=msxfaq,dc=de" -r "(admincount=*)" -f admincount.txt -l "dn,admincount"

Seltsamerweise wird mir einen Haufen normale Useraccounts aufgelistet unteranderem User A und User B. Ich habe ehrlich gesagt, keine Ahnung was da in der Vergangenheit gemacht wurde.

 

//EDIT: So wie es aussieht, sind sämtliche User Accounts welche älter als ca. 1 Jahr sind mit dem wert "admincount=1" versehen. User Accounts, welche vor Zeitpunkt XY angelegt worden sind, haben keinen Eintrag bei Admincount.

bearbeitet 18. Oktober 2016 von surfacing

[NorbertFe 2.045]

Dann waren alle älteren Accounts wohl mal Mitglied in einer entsprechenden Gruppe.

[surfacing 32]

Wenn ich das richtige lese ( und verstehe ), reicht es aus den Wert "admincount" auf 1 zu setzen im Attribut Editor des jeweiligen Users.  Ich habe das mal gemacht, mal schauen ob ich jetzt bei User A und User B die Berechtigung "Senden als" für andere User einrichten kann.

[NorbertFe 2.045]

korrekt. Falls der Wert wieder auftaucht, ist irgendwo eine Gruppenschachtelung vorhanden, die das verursacht.

[surfacing 32]

Exakt das ist passiert, bei beiden Usern ist es wieder aufgetaucht. Wird mir morgen schon mal nicht langweilig.

[NorbertFe 2.045]

Ist doch jetzt aber wirklich nicht schwer. Schau doch mal, in welchen Gruppen sie Mitglied sind (siehe oben) und dann in welchen Gruppen diese Gruppen Mitglied sind. ;)

[surfacing 32]

Es war die Gruppe "Druck Operator", welche verantwortlich war. Alle Domain User waren Mitglied als Druck Operator, warum auch immer.

 

Danke für die Hilfe!

[NorbertFe 2.045]

Grmpfffffff.... demjenigen der das "verbrochen" hat, haust du jetzt kräftig auf die Finger.