Exchange Online - RBAC Rollen wiederherstellen
- 22.09.2024 - 13:09
Link zu diesem Beitrag: | |||||
| Exchange Online Microsoft 365 Exchange Administrator Im Laufe diesen Jahres ist mir das folgende Phänomen nun zweimal untergekommen. Im Exchange Admin Center lassen sich bestimmte Operationen nicht mehr durchführen, entweder meldet das Portal das der Anwender nicht berechtigt sei oder es wird dauerhaft geladen. Nennen wir es mal spontaner Administrationsverlust. Das Problem war bei einem Kunden mit der Rolle "Globaler Administrator" nachvollziehbar, bei dem anderen war der Kunde nur Mitglied der Rolle "Exchange Administrator". Es handelts sich hierbei um nicht lizenzierte Administrations-Accounts. Wenn es in User Interface nicht geht, ist der erste Schritt immer die PowerShell. Also Connect-ExchangeOnline und prüfen ob Set-Mailbox bzw. Set-MailboxAutoReplyConfiguration funktionieren. Aber hier kam schon das große Staunen, die Cmdlets existieren angeblich in diesem Kontext nicht. Da ich in der Vergangenheit schon oft Custom RBAC-Rollen für Exchange gebaut habe, kannte ich dieses Phänomen schon. Zunächst prüfte ich die Version des installierten Exchange Online Management-Moduls und glich diese mit der Online-Version ab (siehe auch https://www.powershellgallery.com/packages/ExchangeOnlineManagement/3.2.0/ Get-Module -ListAvailable ExchangeOnlineManagement Die Version war tatsächlich veraltet, also deinstallierte ich die Version Uninstall-Module ExchangeOnlineManagement -Force Anschließend installierte ich die neue Version über Install-Module ExchangeOnlineManagement -Force Aber auch nach der Aktualisierung war der Fehler noch identisch. Also ging ich meiner Intuition nach und prüfte die Menge der RBAC-Assignments für die Gruppe "Organization Management" (die höchste RBAC-Rollengruppen-Berechtigung unter Exchange). (Get-ManagementRoleAssignment -RoleAssignee "Organization Management").Count Dort stand dann "75". Etwas wenig. Als Referenz wiederholte ich den Vorgang in meinem funktionstüchtigen Tenant und erhielt als Wert "130". Über das Exchange Admin Center konnte ich als "Globaler Administrator" die Rechte der Rolle manuell wieder hinzufügen. Was ich beim ersten Mal dann auch tat. Aber spätestens beim zweiten Kunden, wollte ich eine automatisierte Lösung. Das Skript "Export-RBACRolesV1.ps1" exportiert die aktuell konfigurierten RBAC-Rollen und deren Rechte und Rollenzuordnung. Am besten man erstellt vom "beschädigten" Tenant und von einem intakten Tenant eine Sicherung. In dem Archiv ist im Unterordner auch von einem intakten Tenant als Referenz ein Export aller Rollen hinterlegt. Das Skript "Import-RBACRolesV1.ps1" prüft, ob Rechte in der Rollenzuordnung fehlen und fügt diese dann entsprechend hinzu. Alle Aktionen werden in einem Logfile automatisch mitprotokolliert. Am Ende wird noch ausgegeben wie viele "Hinzufüge"-Aktionen es gab.  Letztlich bleiben bei dem Thema noch die Fragen: Wie konnte das passieren? Und was sagt Microsoft dazu? Die Hintergründe für das Fehlen der Rechte konnte ich nicht in Erfahrung bringen. Die root-Cause-Analyse wurde bei Microsoft angefragt, wird aber offensichtlich trotz mehrfacher Rückfragen ignoriert (2 Monate keine Reaktion). Ich finde es erschreckend, dass ich potenziell den administrativen Zugriff (trotz Default-Rollen) von einem Tenant verlieren kann. Einen Nutzereingriff, welcher diese Änderungen ausgelöst hat, halte ich für unwahrscheinlich. Das ist nicht das erste Mal das ich geschockt bin, wie schnell man Kontrolle über den Tenant/Daten verlieren kann ohne das man einen Administrationsfehler begangen hat. Es bleibt weiterhin wichtig, dass man über Notfallskonzepte und vorallem funktionstüchtige Datensicherungskonzepte verfügt! aktuelle Downloads
Über den Autor
Thomas Windscheif arbeitet bei excITe Consulting und ist langjähriger Berater im Bereich IT-Infrastruktur und Groupware. Sowohl Kleinunternehmen z. B. im Handwerk als auch der größere fertigende Mittelstand gehören zu seinem Projektumfeld. Im Wesentlichen gehören die Planung von Infrastruktur-Migrationen, Cloud-Lösungen (Microsoft 365), Groupware-Umgebungen (z. B. Exchange) und deren Umsetzung zu seinen Aufgaben. Insbesondere im Umfeld hybrider Identitätsumgebungen mit Entra Connect und den Möglichkeiten zur Härtung der IT-Landschaft konnte er in vielen Projekten Erfahrungen sammeln. Neues begeistert ihn aber ebenso und so unterstützt Thomas Windscheif auch bei themenfremden IT-Systemen, überall da wo er helfen kann. Sein Ziel: Die Mehrwerte der heutigen IT-Lösungen für einfacheres und modernes Arbeiten beim Kunden einbringen.
|
 Sie haben ein ungelöstes Problem in Ihrer Exchange Server oder Microsoft-Infrastruktur?Treten Sie gerne mit mir in Kontakt. Sowohl bei einfachen Exchange Installationen, als auch bei hochverfügbaren, lastverteilten Mehrstandort-DAG-Topologien mit Loadbalancern unterstütze ich Sie -auch kurzfristig- sehr gerne. Nutzen Sie den Live Chat, xing, LinkedIn, das Kontaktformular oder den Mailkontakt | ||
|
[
 News als RSS-Feed abonnieren]News vom 22.09.2024 - 14:29 - Spontaner Administrationsverlust unter Exchange Online - Und wie man es behebt! - Weitere News: UPDATE - PowerShell Exchange Vererbung Postfachordnerberechtigungen
[alle News auflisten] |