Exchange 2013 DAG - File Share Witness ändern

[ehcm 0]

Hallo zusammen,

 

bei meiner Exchange 2013 DAG ist die falsche Zeugenressource angegeben.

 

Fehlermeldung in der Ereignisanzeige:

Die Dateifreigabe-Zeugenressource "File Share Witness (\\srv-dc1.domain.local\Exchange-DAG.domain.local)" konnte nicht für die Dateifreigabe "\\SRV-DC1.domain.local\Exchange-DAG.domain.local" vermitteln. Stellen Sie sicher, dass die Dateifreigabe "\\SRV-DC1.domain.local\Exchange-DAG.domain.local" vorhanden ist und dass der Cluster darauf zugreifen kann. - Ereignis-ID 1564

 

In der ECP ist sie korrekt angegeben:

 

Allerdings nicht, wenn ich sie per get-clusterresource abfrage:

Name         : File Share Witness (\\srv-dc1.domain.local\Exchange-DAG.domain.local)
State        : Failed
OwnerGroup   : Clustergruppe
ResourceType : File Share Witness

 

Wenn ich versuche den Pfad anzupassen erhalte ich mit meinem Domänen-Admin ein Zugriff verweigert:

Get-ClusterResource "File Share Witness*" -Cluster Exchange-DAG.domain.local | set-ClusterParameter -name sharepath -value \\srv-dc1.domain.local\Exchange-DAG
set-ClusterParameter : Geänderte Eigenschaften für "File Share Witness (\\srv-dc1.domain.local\Exchange-DAG.domain.local)" können nicht gespeichert werden.
    Zugriff verweigert
In Zeile:1 Zeichen:83
+ Get-ClusterResource "File Share Witness*" -Cluster Exchange-DAG.domain.local  ...
+ ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
    + CategoryInfo          : PermissionDenied: (:) [Set-ClusterParameter], ClusterCmdletException
    + FullyQualifiedErrorId : AccessDenied,Microsoft.FailoverClusters.PowerShell.SetClusterParameterCommand

 

Und in die Ereignisanzeige wird folgender Fehler geschrieben:

PowerShell-Cmdlet "Set-ClusterParameter" für Failovercluster: Geänderte Eigenschaften für "File Share Witness (\\srv-dc1.domain.local\Exchange-DAG.domain.local)" können nicht gespeichert werden. - Ereignis-ID: 4657

 

 

Habt ihr eine Idee, wie ich die Zeugenressource bearbeiten kann? Welche Benutzerrechte sind hier erforderlich?

 

Viele Grüße
ehcm

 

 

Ich konnte das Thema selbst lösen. Nach dem ich diesen Haken gesetzt habe, konnte ich den Befehl durchführen:

Get-ClusterResource "File Share Witness*" -Cluster Exchange-DAG.domain.local | set-ClusterParameter -name sharepath -value \\srv-dc1.domain.local\Exchange-DAG

WARNUNG: Die Eigenschaften wurden gespeichert, doch alle Änderungen werden erst wirksam, wenn File Share Witness (\\srv-dc1.domain.local\Exchange-DAG.domain.local) offline und anschließendwieder online geschaltet wird.

 

bearbeitet 29. April 2019 von ehcm

[testperson 1.677]

Hi,

 

wenn SRV-DC1 ein Domain Controller sein sollte, würde ich diesen als ungünstigen Zeugenserver ansehen.

 

Gruß

Jan

[NorbertFe 2.035]

Korrekt. Aber was interessiert schon die Sicherheit. ;)

[ehcm 0]

Korrekt, der SRV-DC1 ist ein Domänencontroller.

 

Mir ist die Sicherheitslücke gerade nicht bewusst, kann mich kurz jemand aufklären?

[testperson 1.677]

In welche Gruppe wird denn die Gruppe "Exchange Trusted Subsystem" gepackt?

Wie steht es um diese (lokale) Gruppe auf DCs?

Sollte ein DC neben AD-Diensten und DNS noch weitere Rollen übernehmen?

[PowerShellAdmin 169]

vor einer Stunde schrieb ehcm:

Korrekt, der SRV-DC1 ist ein Domänencontroller.

 

Mir ist die Sicherheitslücke gerade nicht bewusst, kann mich kurz jemand aufklären?

Minima Prinzip - ein DC ist ein kritisches System und wir hier mit potentiellen Schwachstellen ausgestattet.