Moin,
Deine Antwort lässt mich nun ein wenig grübeln.
Bisher ging ich davon aus, dass ein CNO nur dann vor angelegt werden muss, wenn der Admin, der die DAG einrichtet, keine Berechtigungen hat, das Computer-Konto zu erzeugen.
Nun stolpere ich über diesen Satz im Technet: Pre-staging the CNO is also required for Windows Server 2012 and Windows Server 2012 R2 DAG members due to permissions changes in Windows for computer objects.
Ich habe gefühlt schon ein dutzend Mal ohne Anlegen eines CNO eine DAG installiert, die danach problemlos funktioniert. Der Admin war dann halt immer Dom-Admin. Und das war sowohl 2012, als auch 2012 R2.
Auch bei meinen eigenen Servern in der Testumgebung wurde kein CNO vorher angelegt.
Beim Pre-Stage gibt man der Exchange Trusted Subsystem Gruppe und dem ersten DAG-Memeber Vollzugriff.
In meinem Testsystem hat das CNO für diese beiden zwar keinen Vollzugriff, aber so, wie ich das sehe, wurde für beide Objekte recht weitreichende Änderungsberechtigungen eingefügt. Für Trusted Subsystem ist das via Vererbung erfolgt, für den erste DAG-Memeber
allerdings mit expliziter Zuweisung. Und die haben bestimmt nicht ich vorgenommen, sondern Exchange beim Installieren der DAG.
Jetzt gibt es zwei Möglichkeiten: Der Technet Artikel ist übertrieben sicher, so nach dem Motto "es reichen zwar die 20 Berechtigungen, aber bevor der Admin was kaputtmacht, lassen wir lieber gleich Vollzugriff eintragen". Oder es sind doch weitere
Berechtigungen erforderlich (Vollzugriff erlaubt ja das Setzen von neuen Sicherheitsberechtigungen, was Schreiben/Ändern nicht erlaubt), die man aber im Normfall oder nur unter besonderen Umständen nicht merkt.
Wie auch immer: Das nachträglich hinzufügen der Berechtigungen sehe ich als unkritisch an. Ob allerdings während des "falschen" Setups irgendwas nicht eingetragen werden konnte, was nun feht, kann ich nicht sagen.
Ich probiere mal, mehr herauszufinden, kann aber nicht versprechen, dass das bald passiert. Wenn Du auf Nummer sicher gehen willst, löse die DAG auf und baue sie neu. Ich persönlich würde erstmal noch nichts tun und das ganze beobachten.
Welche Fehlermeldung genau hast Du denn?
Gruesse aus Berlin schickt Robert - MVP Office Servers and Services (Exchange Server)
