โฟลเดอร์สาธารณะของ Office 365 Exchange สูญเสียการกำหนด SID ให้กับสิทธิ์ของโฟลเดอร์กลุ่มความปลอดภัย

เราติดตั้งเซิร์ฟเวอร์ Exchange 2016 ใหม่และย้ายกล่องจดหมายทั้งหมดจากเซิร์ฟเวอร์ Exchange 2010 ไปยังเซิร์ฟเวอร์ดังกล่าว จากนั้นเราย้ายกล่องจดหมายและโฟลเดอร์สาธารณะทั้งหมดจาก MSEX2016 ไปยัง Office 365 และเราได้ลดระดับและปิดระบบ MSEX2010 โฆษณาในเครื่องได้รับการซิงโครไนซ์กับ Azure AD โดยตัวเชื่อมต่อ Azure AD บนหนึ่งในเซิร์ฟเวอร์ภายในของเรา

สิ่งนี้ใช้ได้สองสามสัปดาห์โดยไม่มีปัญหา ไคลเอนต์ทั้งหมดสามารถเข้าถึงโฟลเดอร์สาธารณะและกล่องจดหมายของพวกเขาบน O365

เมื่อวานเราได้ลดระดับ MSEX2016 ซึ่งถูกปิดไปแล้วสำหรับการทดสอบเมื่อสองสามวันก่อน ไม่มี PF ทำงานอยู่ แต่ไม่สามารถลบฐานข้อมูลด้วยวิธีปกติได้ เนื่องจากแสดงเสมอว่าเซิร์ฟเวอร์ยังอยู่ในโหมดการย้ายข้อมูล การตั้งค่าแอตทริบิวต์ด้วยตนเองไม่ได้ช่วยอะไร (เช่น MigrationComplete...) และในที่สุดเราก็ลบออกด้วยตัวเลือกบังคับ ลดระดับเซิร์ฟเวอร์และปิดตัวลง

หลังจากนั้น ข้อความบนไคลเอ็นต์ปรากฏว่าผู้ดูแลระบบ Exchange ทำการเปลี่ยนแปลงซึ่งจำเป็นต้องรีสตาร์ทไคลเอนต์ Outlook ไม่แน่ใจว่าเหตุใดข้อความนี้จึงปรากฏขึ้น เนื่องจากไคลเอนต์ทั้งหมดเชื่อมต่อกับ O365 แล้ว และไม่ควรมีการเชื่อมต่อกับ MSEX2016 ตัวเก่า

เมื่อวานนี้ ฉันยังเปลี่ยนตัวเชื่อมต่อ Azure AD ที่ซิงโครไนซ์ OU ที่จำเป็นบางส่วนเท่านั้น

วันนี้ปัญหาปรากฏว่าไม่มีใครสามารถเข้าถึง PF ได้อีกต่อไป ฉันพบว่า SID ในการอนุญาตโฟลเดอร์ของกลุ่มที่กำหนดแสดงเป็นไม่รู้จัก

SID ของผู้ใช้ดูดี ปัญหาอยู่ที่กลุ่มเท่านั้น ก่อนอื่น ฉันคิดว่าสิ่งนี้อาจเกี่ยวข้องกับข้อจำกัดของ OU ของ Azure AD Connector และฉันได้เปิดใช้งานการซิงค์แบบเต็มอีกครั้งเหมือนเมื่อก่อน แต่ก็ไม่ได้ช่วยอะไร

ฉันยังไม่สามารถเปลี่ยนสิทธิ์ใดๆ ผ่าน WebGUI ได้ ซึ่งจะลงท้ายด้วยข้อความต่อไปนี้

`ระบบแสดงข้อยกเว้นในการคำนวณ Lambda Expression: [ Boolean(@0[ApplyToSubFolders]) ] เป้าหมายของการเรียกใช้มีข้อยกเว้นเกิดขึ้น ข้อผิดพลาด

ระบบแสดงข้อยกเว้นในการคำนวณ Lambda Expression: [ Boolean(@0[ApplyToSubFolders]) ] เป้าหมายของการเรียกใช้มีข้อยกเว้นเกิดขึ้น"

ฉันสามารถสร้างโฟลเดอร์ "ทดสอบ" ใหม่ในรูท PF ได้ แต่ฉันไม่สามารถตั้งค่าการอนุญาตใดๆ ผ่าน WebGUI ได้

สามารถเปลี่ยนสิทธิ์ผ่านไคลเอนต์ Outlook หากฉันลบการอนุญาตของกลุ่มออกและเพิ่มเข้าไปใหม่ SID จะปรากฏขึ้นและทุกอย่างทำงานได้ดี หมายความว่าฉันรู้จักกลุ่มทั้งหมดโดยทั่วไปที่ O365 (พวกเขายังแสดงที่นั่นใน Exchange Admin WebGUI) แต่พวกเขาไม่ได้กำหนดตามสิทธิ์ที่มีอยู่

เหตุใดจึงไม่สามารถตั้งค่าการอนุญาต PF ผ่าน WebGUI ได้

เหตุใดจึงสูญเสียการมอบหมายจากสิทธิ์กลุ่มโฟลเดอร์สาธารณะที่มีอยู่ไปยัง SID และวิธีการแก้ไขโดยไม่ต้องลบและเพิ่มสิทธิ์ทั้งหมดอีกครั้งด้วยตนเอง

แก้ไข 1 (จันทร์ 2021-10-18):

ในขณะเดียวกันสิทธิ์ของกลุ่มก็หายไปอย่างสมบูรณ์

แก้ไข 2 (วันพฤหัสบดีที่ 2021-10-21):

มีตั๋ว Microsoft เปิดตั้งแต่วันจันทร์ แต่พวกเขาไม่สามารถอธิบายได้ว่าทำไมการอนุญาตหายไป และวิศวกรซอฟต์แวร์ของพวกเขากำลังดำเนินการเพื่อหาว่าเกิดอะไรขึ้น พวกเขากำลังตรวจสอบว่าเหตุใดจึงไม่สามารถตั้งค่าการอนุญาตผ่าน WebGUI ได้ วิธีแก้ไขที่พวกเขาเสนอคือการตั้งค่าการอนุญาตทั้งหมดด้วยมือในโฟลเดอร์ทั้งหมดด้วย Outlook หรือด้วย PowerShell ซึ่งเป็นสิ่งที่ไม่พอใจฉันเนื่องจากเรามีโฟลเดอร์ประมาณ 2,700 โฟลเดอร์ พวกเขาไม่เต็มใจ ("การสร้างสคริปต์ที่กำหนดเองโดยทั่วไปอยู่นอกขอบเขตการสนับสนุนของเรา") เพื่อให้สคริปต์ใช้การอนุญาตอีกครั้งจากไฟล์ XML ซึ่งสร้างขึ้นระหว่างการย้ายข้อมูล และพวกเขาไม่แสดงโซลูชันอื่นใดที่จะได้รับ สิทธิ์กลับ

ในระหว่างนี้ฉันสามารถใช้การอนุญาตโฟลเดอร์สาธารณะอีกครั้งด้วย สคริปต์นี้ สร้างขึ้นเองและโดยการสนับสนุนจากชุมชน

แก้ไข 3 (วันเสาร์ 2021-10-30)

MS กล่าวว่าปัญหาเกี่ยวกับการตั้งค่าสิทธิ์ WebGUI นั้นเป็นที่รู้จักกันดี: "ปัญหาที่รายงานเกิดจากปัญหาที่ทราบ (ซึ่งทีมวิศวกรรมผลิตภัณฑ์ของเรากำลังแก้ไขจากส่วนหลัง)" พวกเขาแนะนำให้ใช้ไคลเอนต์ Outlook หรือ PowerShell เพื่อเปลี่ยนสิทธิ์ในโฟลเดอร์สาธารณะ

พวกเขายังกล่าวอีกว่าฉันไม่สามารถพิสูจน์ได้ว่าการอนุญาตไม่ได้ถูกลบโดยกิจกรรมของผู้ดูแลระบบ เนื่องจากไม่ได้เปิดใช้งานบันทึกการตรวจสอบของเรา (ตามค่าเริ่มต้นของ MS) และฉันไม่สามารถแสดงบันทึกเกี่ยวกับเรื่องนี้ได้ ฉันได้ส่งภาพหน้าจอของฉันไปให้พวกเขาอีกครั้ง ซึ่งแสดงให้เห็นสถานการณ์แปลกๆ กับ SID ที่ขาดหายไปในการอนุญาตกลุ่ม เพื่อชี้ให้เห็นว่านี่เป็นปัญหาในโครงสร้างพื้นฐานของ MS ฉันเป็นคนเดียวที่มีสิทธิ์การเข้าถึงระดับผู้ดูแลระบบ และฉันแน่ใจว่าฉันไม่ได้ลบสิทธิ์ในโฟลเดอร์สาธารณะ

แก้ไข 4 (อาทิตย์, 2021-11-14)

คำตอบจาก MS: "เกี่ยวกับปัญหาเกี่ยวกับการให้สิทธิ์ผ่าน UI ของศูนย์การจัดการ เพื่อนร่วมงานของฉันแนะนำว่าปัญหานี้ได้รับการเผยแพร่ภายนอกแล้ว เนื่องจากปัญหานี้ทราบมาระยะหนึ่งแล้ว ดังที่ได้กล่าวไว้ก่อนหน้านี้ ทีม Product Engineering ของเรากำลังทำงานเพื่อพัฒนาการแก้ไขแบบถาวร อย่างไรก็ตาม ขณะนี้ยังไม่มี ETA ที่เจาะจง ดังนั้นเราจึงไม่สามารถยืนยันได้อย่างสมบูรณ์ว่าจะคาดหวังการแก้ไขเมื่อใด สำหรับข้อมูลเพิ่มเติม คุณยังสามารถดูที่ สิทธิ์และการตั้งค่าโฟลเดอร์สาธารณะไม่เผยแพร่ใน EAC บทความ (นอกจากนี้ยังมีสคริปต์ PowerShell ที่เราแนะนำ ซึ่งเป็นวิธีแก้ปัญหาอย่างเป็นทางการสำหรับปัญหานี้ที่เพื่อนร่วมงานของเรามีให้)"

"จากข้อมูลที่คุณแชร์กับเราจนถึงตอนนี้ (รวมถึงภาพหน้าจอจาก EAC ซึ่งแสดง SID ที่ขาดหายไป) เพื่อนร่วมงานของฉันสงสัยว่าโฟลเดอร์สาธารณะที่ได้รับผลกระทบถูกย้ายไปยัง Exchange Online ตามปกติ อย่างไรก็ตาม กลุ่มความปลอดภัย Mail ให้สิทธิ์ ไม่ซิงโครไนซ์กับผู้ใช้หลังจากนั้น (หรือมีปัญหากับกระบวนการซิงโครไนซ์) ด้วยเหตุนี้ กลุ่มสิทธิ์เหล่านี้จึงถูกพิจารณาว่าไม่ได้ใช้งาน/เก่า และถูกลบด้วยตัวแทนความสอดคล้องของเรา ซึ่งทำงานทุก 7 วันในแบ็กเอนด์ " "ต้องบอกว่า พฤติกรรมนี้เกิดจากการออกแบบ แต่น่าเสียดายที่เราไม่สามารถยืนยันได้อย่างเต็มที่ว่าเหตุใดการอนุญาตจึงถูกตรวจพบว่าไม่มีการใช้งานตั้งแต่แรก สำหรับข้อมูลเพิ่มเติมเกี่ยวกับเรื่องนี้ เราขอแนะนำให้ตรวจสอบอย่างเป็นทางการ การประกาศตัวแทนความสอดคล้องของโฟลเดอร์สาธารณะสำหรับ Exchange Online โพสต์จากทีมพัฒนา Exchange ซึ่งจะอธิบายวิธีการทำงานของตัวแทน"

ข้อผิดพลาด "ระบบแสดงข้อยกเว้นในการคำนวณ Lambda Expression" ซึ่งเกิดขึ้นในโฟลเดอร์สาธารณะดูเหมือนจะเป็นปัญหาที่ทราบแล้ว: ไม่สามารถเปลี่ยนสิทธิ์ข้อผิดพลาด

วิธีแก้ไขในปัจจุบันคือแก้ไขสิทธิ์ผ่าน Outlook หรือไคลเอนต์อื่นๆ นอกจากนี้คุณยังสามารถลอง เชื่อมต่อกับ Exchange Online PowerShell และเรียกใช้คำสั่งต่อไปนี้เพื่อแก้ไขสิทธิ์ของโฟลเดอร์สาธารณะของคุณ:

เพิ่ม PublicFolderClientPermission \pf -AccessRights Owner -User User01