AdminSDHolder 容器中的exchange server权限可以删除吗？

Question

环境中发现exchange服务器对此OU有AdminSDHolder 权限，需要删除相应对象的权限，会对exchange造成影响吗，是否是官方默认的权限？官方推荐默认的权限是哪些？

AdminSDHolder 容器上的 ACLs 会定期复制到所有特权对象上。该容器的安全描述符中有一些存在风险的条目，这些条目会允许非法帐户控制特权对象（如 Domain Admins 组），然后控制域。

Answer 1

您好 @瑶 景，

欢迎您来到微软中文论坛！

首先，AdminSDHolder 容器上的 ACLs 会定期复制到所有特权对象上，这包括 Domain Admins 组等特权对象。这个容器的安全描述符中可能存在一些风险条目，这些条目可能允许非法帐户控制特权对象，从而控制域。

关于您的问题：

1. 删除相应对象的权限会对 Exchange 造成影响吗？ 是的，删除与 Exchange 相关的 AD 对象的权限可能会导致 Exchange 任务和功能中断，或者可能导致未知问题。特别是如果您禁用了权限继承或者删除了与 Exchange 相关的权限，可能会影响 Exchange 的正常运行。
2. 这些权限是否是官方默认的权限？ 是的，默认情况下，Exchange Server 会在 Active Directory 域中放置访问控制条目 (ACE)，这会赋予 Exchange Server 提升的目录权限。这是因为 Exchange Server 是一个目录服务启用的应用程序，它需要能够修改与 Exchange Server 启用的对象相关的属性，包括在某些情况下修改自定义访问控制列表 (DACLs)。
3. 官方推荐的默认权限是哪些？ 官方推荐的默认权限取决于您使用的 Exchange Server 版本。Microsoft 已经评估了授予运行 Exchange Server 的服务器和 Exchange 管理员的权限，并确定可以进行更改以降低在 Active Directory 域中授予的权限。具体的权限更改将根据使用的 Exchange Server 版本而有所不同。对于 Exchange Server 2013 或更高版本，建议安装相应的累积更新包，并手动执行 /PrepareAD 以降低授予 Exchange Server 和 Exchange 管理员的权限。

综上所述，删除 AdminSDHolder 权限可能会对 Exchange 造成影响，特别是如果这些权限是默认授予的权限。官方推荐的默认权限模型是基于角色的访问控制 (RBAC)，它定义了管理员或用户可以执行的任务集。建议您仔细评估您的权限配置，并根据需要调整以确保 Exchange 的正常运行和安全性。

---

如果答案有帮助，请点击“接受答案”并投赞成票。如果您对此答案有其他疑问，请点击“评论”。