(L’accès est refusé) lorsque vous essayez de déplacer des boîtes aux lettres vers Exchange Online dans un déploiement hybride

  • S’applique à: Exchange Online

Numéro de la base de connaissances d’origine : 2975731

Symptômes

Supposons que vous disposez d’un déploiement hybride Microsoft Exchange Server. Si vous essayez de créer un lot de migration pour une migration de déplacement à distance ou si vous essayez de créer une demande de déplacement lorsque vous êtes connecté à Exchange Online via PowerShell distant, vous recevez un message d’erreur semblable à ce qui suit :

L’appel à « https://< ServerName>/EWS/mrsproxy.svc » a échoué. Détails de l’erreur : l’accès est refusé.
+ CategoryInfo : Non spécifié : (:) [New-MoveRequest], RemoteTransientException
+ FullyQualifiedErrorId : [Server=<Server>,RequestId=RequestId,TimeStamp=DateTime] [FailureCategory=Cmdlet-RemoteTransientException] 384B348,Microsoft.Exchange.Management.RecipientTasks.NewMoveRequest
+ PSComputerName : <ComputerName.outlook.com>

Si vous exécutez ensuite l’applet Test-MigrationServerAvailability de commande, vous recevez un message d’erreur semblable à ce qui suit :

RunspaceId : RunspaceId
Résultat : Échec
Message : Les paramètres du point de terminaison ExchangeRemote n’ont pas pu être déterminés à partir de la réponse de découverte automatique. Aucun MRSProxy n’a été trouvé en cours d’exécution sur <le serveur>.
Paramètres de connexion :
SupportsCutover : False
ErrorDetail : erreur interne : Microsoft.Exchange.Migration.MigrationRemoteEndpointSettings couldNotBeAutodiscoveredException : les paramètres de point de terminaison ExchangeRemote n’ont pas pu être déterminés à partir de la réponse de découverte automatique. Aucun MRSProxy n’a été trouvé en cours d’exécution sur «< Server> ». >--- Microsoft.Exchange.Migration.MigrationServerConnectionFailedException :Impossible de terminer la connexion au serveur «< Server> ». >--- Microsoft.Exchange.MailboxReplicationService.RemoteTransientException : l’appel à « https://< ServerName>/EWS/mrsproxy.svc » a échoué. Détails de l’erreur : l’accès est refusé.. >--- Microsoft.Exchange.MailboxReplicationService.RemotePermanentException : Accès refusé.--- Fin de la trace de pile d’exceptions internes --- sur Microsoft.Exchange.MailboxReplicationService.MailboxReplicationServiceFault.<>c__DisplayClass1.<ReconstructAndThrow>b__0() sur Microsoft.Exchange.MailboxReplicationService.ExecutionContext.Execute(Action operation) sur Microsoft.Exchange.MailboxReplicationService.MailboxReplicationServiceFault.ReconstructAndThrow(String serverName, VersionInformation serverVersion) sur Microsoft.Exchange.MailboxReplicationService.CommonUtils.CallWCFService[ExceptionT](Action serviceCall, String epAddress, Action'1 faultHandler, VersionInformation serverVersion) sur Microsoft.Exchange.MailboxReplicationService.CommonUtils.CallService(Action serviceCall, String epAddress, VersionInformation serverVersion) sur Microsoft.Exchange.Migration.MigrationExchangeProxyRpcClient.CanConnectToMrsProxy(Fqdn serverName, Guid mbxGuid, Informations d’identification NetworkCredential, LocalizedException& erreur) --- Fin de la trace de pile d’exceptions internes --- sur Microsoft.Exchange.Migration.DataAccessLayer.ExchangeRemoteMoveEndpoint.VerifyConnectivity() sur Microsoft.Exchange.Management.Migration.TestMigrationServerAvailability.InternalProcessEndpoint(Boolean fromAutoDiscover)--- Fin de la trace de pile d’exceptions internes ---IsValid : TrueIdentity :ObjectState : New

Par exemple, vous recevez ce message d’erreur lorsque vous exécutez la commande suivante :

Test-MigrationServerAvailability -ExchangeRemoteMove -Autodiscover -EmailAddressusername@contoso.com -Credentials (Get-Credential)

En outre, supposons que l’héritage n’est pas activé sur le compte d’ordinateur du serveur hybride Exchange 2013 ou Exchange 2016. Si vous l’activez, vous découvrirez ultérieurement qu’elle a été désactivée.

La cause

Ce problème se produit si le compte d’ordinateur du serveur hybride Exchange 2013 ou Exchange 2016 est membre d’un ou plusieurs groupes protégés.

Résolution

Pour résoudre ce problème, effectuez les étapes suivantes :

  1. Vérifiez que vous rencontrez ce problème. Pour ce faire, déterminez si le compte d’ordinateur du serveur hybride Exchange 2013 a son adminCount attribut défini sur 1.

    Pour rechercher l’attribut adminCount , procédez comme suit :

    1. Recherchez les utilisateurs et les ordinateurs Active Directory, puis sélectionnez Afficher les>fonctionnalités avancées.
    2. Développez le domaine du serveur exécutant Exchange Server, puis développez Ordinateurs.
    3. Recherchez le serveur Exchange 2013 ou Exchange 2016. Cliquez avec le bouton droit sur le serveur, puis sélectionnez Propriétés.
    4. Recherchez l’onglet Éditeur d’attributs , puis recherchez l’attribut adminCount .

    Si l’attribut est défini sur 1, cela signifie que le compte d’ordinateur est membre, directement ou indirectement, d’un autre des groupes protégés suivants :

    • Administrateurs
    • Opérateurs de compte
    • Opérateurs de serveur
    • Opérateurs d’impression
    • Opérateurs de sauvegarde
    • Administrateurs de domaine
    • Administrateurs du schéma
    • Administrateurs d’entreprise
    • Éditeurs de certificats

    Le compte d’ordinateur du serveur hybride Exchange 2013 doit appartenir uniquement aux groupes de sécurité suivants :

    • Ordinateurs du domaine
    • Installation d’Exchange
    • Serveurs de domaine
    • Serveurs Exchange
    • Sous-système approuvé Exchange
    • Serveurs de disponibilité gérés

  2. Définissez la valeur de l’attribut adminCount sur le compte d’ordinateur sur 0.

  3. Redémarrez le serveur.

Plus d’informations

Les membres des groupes protégés n’héritent pas des autorisations du conteneur parent.

Active Directory Domain Services (AD DS) utilise un mécanisme de protection pour vous assurer que les listes de contrôle d’accès (ACL) sont définies correctement pour les membres de groupes sensibles. Le mécanisme s’exécute une fois chaque heure sur le contrôleur de domaine principal (PDC) operations master. Le maître des opérations compare la liste de contrôle d’accès sur les comptes d’utilisateur membres de groupes protégés par rapport à la liste de contrôle d’accès sur l’objet suivant :

CN=adminSDHolder,CN=System,DC=<Domain>,DC=<Com>

Si les listes de contrôle d’accès diffèrent, la liste de contrôle d’accès de l’objet utilisateur est remplacée pour refléter les paramètres de sécurité de l’objet adminSDHolder (et l’héritage des ACL est désactivé). Ce processus protège ces comptes contre la modification par des utilisateurs non autorisés si les comptes sont déplacés vers un conteneur ou une unité organisationnelle où un utilisateur malveillant a été délégué des informations d’identification d’administration pour modifier les comptes d’utilisateur. N’oubliez pas que lorsqu’un utilisateur est supprimé du groupe d’administration, le processus n’est pas inversé et doit être modifié manuellement.

Si vous rencontrez des problèmes lorsque vous déplacez des boîtes aux lettres vers Exchange Online dans Microsoft 365, vous pouvez exécuter l’outil Résoudre les problèmes liés à la migration de boîtes aux lettres Microsoft 365. Ce diagnostic est un outil de résolution des problèmes automatisé. Si vous rencontrez un problème connu, vous recevez un message indiquant ce qui s’est passé. Le message inclut un lien vers un article qui contient la solution. Actuellement, l’outil est pris en charge uniquement dans Internet Explorer.

Vous avez toujours besoin d’aide ? Accédez à Microsoft Community ou aux Questions et réponses Microsoft.

  • Dernière mise à jour :