Microsoft, Exchange 2010 und Anonymous
Es gibt Anwendungen, die gern einmal Mails versenden: Statusinformationen, Erinnerungen an die User oder auch Hinweis auf Änderungen von Einträgen in einem System. Davon schwirren bei uns im Unternehmen einige herum. Besonders eine alte Anwendung, die aber sehr wichtig ist (welche ist das leider nicht) verschickt gern Mails, wenn ein Anwender Eintragungen bzw. Änderungen von Vorgängen getätigt hat. Das klappte bis vor der Einführung von Exchange 2k10 sehr gut.
Mails versendet diese Anwendung an einen offen verfügbaren SMTP-Server ohne jegliche Anmeldung, weswegen der 2k10 selbstverständlich dicht machte. Hierzu hatte ich einige Lösungshinweise versucht umzusetzen. Ich richtete einen neuen SMTP-Empfangsconnector ein, setzte die Zugriffsberechtigungen auf IP-Ebene, sodass nur spezielle Arbeitsstationen im lokalen Netz erlaubt waren darüber und nur an spezifische Empfänger zu versenden – wer will schon ein offenes Relay haben. Brachte aber alles nichts, denn den eigentlichen PowerShell Befehl, der für die Berechtigungsfreigabe für Anonymous-Zugriffe nötig ist, wollte ums verrecken nicht funktionieren.
Unter dieser Seite gibt es eine Anleitung mit auch eben jenen Befehl, der zum Scheitern verurteilt ist – zumindest auf deutschsprachigen Systemen.
Get-ReceiveConnector “Anonymous Relay” | Add-ADPermission -User “NT AUTHORITY\ANONYMOUS LOGON” -ExtendedRights “Ms-Exch-SMTP-Accept-Any-Recipient”
Der obige Befehl schlägt mit der Meldung fehl, dass der Benutzer bzw. die Gruppe “NT AUTHORITY\ANONYMOUS LOGON” nicht gefunden werden konnte. Selbstverständlich schlägt der fehl, da es sich eben um keine englischsprachige Maschine handelt. Der richtige Befehl lautet ergo:
Get-ReceiveConnector “Anonymous Relay” | Add-ADPermission -User “ANONYMOUS-Anmeldung” -ExtendedRights “Ms-Exch-SMTP-Accept-Any-Recipient”
oder
Get-ReceiveConnector “Anonymous Relay” | Add-ADPermission -User “NT-AUTORITÄT\ANONYMOUS-Anmeldung” -ExtendedRights “Ms-Exch-SMTP-Accept-Any-Recipient”
Bei aller Anpassung und Normierung von Pfaden, Junctions, SymLinks auf Grund der Problembeseitigung von unterschiedlichen Pfaden in Abhängigkeit von der Programmsprachversion (zB. “Program Files” zu “Programme”) sollte Microsoft einfach mal die Namen der System-User normieren. Dann klappt es auch besser mit dem TechNet.