[Exchange 2010] Bizar probleem met Full Mailbox permissions

[Urk]

Ik heb al heel wat linkjes via Google afgespeurd maar vind helemaal niets over mijn probleem terug...
Het lijkt bizar genoeg een security flaw maar er zal toch wel iets niet goed zitten..

Ik heb een Exchange 2010 mailbox (Gebruiker B, op een Win2k8 R2 server) waar ik iemand anders (Gebruiker A) even tijdelijk volledige mailbox rechten op heb gegeven. In Outlook van Gebruiker A kon ik ervoor de mailbox van Gebruiker B niet openen via het toevoegen van een Additional Mailbox, dus dat klopte. Na deze wijziging wel en verscheen de mailbox netjes onder de mailbox van Gebruiker A. Al met al allemaal prima.

Maar.....nu ontstaat het probleem: Wanneer ik de Full Mailbox permissions bij Gebruiker B weghaal blijft Gebruiker A toegang tot deze mailbox houden. En dat mag natuurlijk niet...
Alles lijkt gewoon te kloppen. Ook zijn er in Outlook 2010 door de gebruiker zelf geen rechten gegeven aan de andere gebruiker en ik kan via Outlook van Gebruiker A de volledige mailbox van Gebruiker B blijven openen.
Zelfs na een paar uur, het opnieuw starten van Outlook, het opnieuw starten van de PC en het opnieuw starten van de server blijft het euvel ontstaan en blijft Gebruiker A toegang houden tot de volledige mailbox van Gebruiker B.

Ook het Exchange cmdlet commando:

code:

Remove-MailboxPermission -Identity GebruikerA -User GebruikerB -AccessRights FullAccess -InheritanceType All

Geeft de volgende melding dat er toch op duidt dat de rechten er niet meer zijn:

code:

WARNING: Can't remove the access control entry on the object "CN=Gebruiker B,OU=Users,OU=Bedrijf,DC=test,DC=local" for account "DOMEIN\GebruikerA" because the ACE doesn't exist on the object.

Ik snap er helemaal niets van...

Update: wat nog wel even noemenswaardig is om de rechten te controleren is dat ik wel de mailbox handmatig via Add Additional Mailbox heb toegevoegd. Automatisch verdwijnde hij netjes uit Outlook na het verwijderen van de permissions.

[ Voor 6% gewijzigd door Urk op 19-09-2014 02:59 ]

[Killah_Priest]

Kan de andere gebruiker ook echt in de mailbox komen? Of blijft het label van de mailbox staan in outlook (waarbij er een foutmelding ontstaat bij het openen)?

Dat laatste probleem ken ik namelijk wel (wat weer op te lossen is dmv adsiedit)

[Urk]

Killah_Priest schreef op vrijdag 19 september 2014 @ 08:08:
Kan de andere gebruiker ook echt in de mailbox komen? Of blijft het label van de mailbox staan in outlook (waarbij er een foutmelding ontstaat bij het openen)?

Dat laatste probleem ken ik namelijk wel (wat weer op te lossen is dmv adsiedit)

Nee, hij kan er echt inkomen. Ik kan in diverse mappen gewoon mailtjes openen...
Jouw probleem ken ik inderdaad ook maar is nu niet het geval....

[chaoscontrol]

En als die gebruiker het op een andere PC met Outlook probeert?

[AP3X]

Zie je ook nieuwe mail binnenkomen?
Met andere woorden, Is het niet de cached mailbox die je ziet (ost)

[Killah_Priest]

Chaser2600 schreef op zaterdag 20 september 2014 @ 07:49:
Zie je ook nieuwe mail binnenkomen?
Met andere woorden, Is het niet de cached mailbox die je ziet (ost)

Dit moet het dus zijn.
Zie ook By default, shared mail folders are downloaded in Cached mode in Outlook 2010 and Outlook 2013

[kroegtijger]

Chaser2600 schreef op zaterdag 20 september 2014 @ 07:49:
Zie je ook nieuwe mail binnenkomen?
Met andere woorden, Is het niet de cached mailbox die je ziet (ost)

Dat zou kunnen inderdaad, maar dan kijk je dus niet op de mailbox, maar in outlook.
Als je in de mailbox kijkt, moet je dat via OWA doen, zodat je de client als oorzaak kan elimineren.

Mocht het nou ook nog via OWA mogelijk zijn, dan kan je even kijken of niet toevallig de user zelf rechtstreeks op de folders rechten heeft gekregen van bijvoorbeeld de owner. Dan kan je namelijk wel de full-control-rechten ontnemen, maar omdat er op folder-niveau nog rechten staan, mag je er nog steeds gewoon bij. Deze rechten zijn in inherritive, dus je zult op zowel de top-level folder als alle onderliggende mappen die toegankelijk zijn de rechten moeten aanpassen indien dit het geval is.

[Urk]

Chaser2600 schreef op zaterdag 20 september 2014 @ 07:49:
Zie je ook nieuwe mail binnenkomen?
Met andere woorden, Is het niet de cached mailbox die je ziet (ost)

Nee, volgens mij is het geen cached mailbox. Nieuwe mail kwam er even niet binnen maar folders werden wel bijgewerkt. Ook dan in geval van cached OST mag dit nog niet gebeuren. Toch?
Edit: sterker nog bedenk ik me net. Had voor de additional mailbox caching uitstaan. Dat zag ik door het werldbol icoontje rechtsonder in Outlook zodra ik de mailbox van de collega opende...

Opmerkelijk te noemen is dat na het uitzetten en opnieuw aanzetten van de betreffende PC het opeens wel werkt goed werkt en de gebruiker niet meer in de mailbox van zijn collega kan komen... Bizar, waarom na 2 herstarts niet? Vast toeval...

Ik kan hierdoor jullie suggesties dus ook met deze case niet meer proberen. Wellicht kan ik het binnenkort nog een keer herhalen

[ Voor 20% gewijzigd door Urk op 22-09-2014 14:35 ]

[kroegtijger]

Urk schreef op maandag 22 september 2014 @ 14:33:
[...]

Nee, volgens mij is het geen cached mailbox. Nieuwe mail kwam er even niet binnen maar folders werden wel bijgewerkt. Ook dan in geval van cached OST mag dit nog niet gebeuren. Toch?
Edit: sterker nog bedenk ik me net. Had voor de additional mailbox caching uitstaan. Dat zag ik door het werldbol icoontje rechtsonder in Outlook zodra ik de mailbox van de collega opende...

Opmerkelijk te noemen is dat na het uitzetten en opnieuw aanzetten van de betreffende PC het opeens wel werkt goed werkt en de gebruiker niet meer in de mailbox van zijn collega kan komen... Bizar, waarom na 2 herstarts niet? Vast toeval...

Dit klinkt alsof het te maken heeft met ofwel inherritive rights-assignment (had je de user via groupmembership toegang gegeven? Groupmemberships worden namelijk bij logon/logof toegepast) ofwel replicatie (bijvoorbeeld bij meerdere exchange-servers, of met meerdere DC's onder elkaar).

Ik kan hierdoor jullie suggesties dus ook met deze case niet meer proberen. Wellicht kan ik het binnenkort nog een keer herhalen

Kan je in de eventlogs van server(s) en client niet terug halen wat er bij boot is gebeurt?