Exchange 2010 出现用户无权限发邮件，产生的原因是部分用户权限被覆盖或者丢失！

     在Exchange 安装或者使用的时候，我们经常会发现比较怪异的情况，部分发邮件提示用户没有权限以这个身份发送邮件失败，或者手机用户发下无法链接和使用，后来我们发现这个问题产生的根源是AD中的受保护的组的缘故，因为默认来说受保护的组权限是不能被其他权限覆盖的。

     所以就会产生当我们去AD中修改这个用户的权限，结果过了大约1个小时后，权限又被覆盖回去，再修改还是一样的被覆盖回去，产生的原因是什么呢？

     我们来看看受保护的组的定义：

     下面的列表包含在 Windows 2000 中受保护的组：

• 企业管理员
• 架构管理员
• 域管理员
• 管理员

应用修补程序 327825 后，或者您在安装 Windows 2000 Service Pack 4 (SP4) 后，下面的列表包含在 Microsoft Windows Server 2003 和 Windows 2000 中，受保护的组：

• 管理员
• 帐户操作员
• 服务器操作员
• 打印操作员
• 备份操作员
• 域管理员
• 架构管理员
• 企业管理员
• 证书发行者

 

如果用户在这些组里面的时候，就会出现我们无论怎么修改权限都会出现权限无法覆盖的情况，我们怎么办呢？因为这些用户是继承adminsdholder 这个用户的权限，所以我们只要修改了这个特殊的账户的话，我们的属于受保护的组的用户就会继承相应的权限，针对Exchange 来说，我们需要利用BAT脚本，然后拷贝相应的内容即可完成修改，脚本如下：

dsacls "cn=adminsdholder,cn=system,dc=mydomain,dc=com" /G "\SELF:CA;Send As"

dsacls "cn=adminsdholder,cn=system,dc=<mydomain>,dc=com" /G "\SELF:CA;Receive As"

 dsacls "cn=adminsdholder,cn=system,dc=<mydomain>,dc=com" /G "\SELF:CA;Change Password"

 dsacls "cn=adminsdholder,cn=system,dc=<mydomain>,dc=com" /G "\SELF:RPWP;Personal Information"

 dsacls "cn=adminsdholder,cn=system,dc=<mydomain>,dc=com" /G "\SELF:RPWP;Phone and Mail Options"

dsacls "cn=adminsdholder,cn=system,dc=<mydomain>,dc=com" /G "\SELF:RPWP;Web Information"

MYDOMAIN 哪边变更为你们的域名，变更以后保存为BAT，执行下即可。受保护组的用户就可以解决这个问题。

 

另外有些用户已经离开了受保护组，发现还是会出现一些问题，针对这个问题怎么解决你？在用户的属性中有一个属性值叫做admincount,默认是没有值的，如果被赋予了这些管理员，这个值会变成1！如下图：

当我们从受保护组移出来的时候，可能会出现值没有改变的情况，我们需要清除掉这个值。之后我们发现就不会出现掉权限这样的问题了！