[resolu] Paramètres sécurité d'un user qui disparaissent

[Areb]

Bonjour à tous,

J'ai un problème très bizard :
Je suis sous win2003 serveur, j'ai 2 contrôleurs de domaines sur l'un des quels exchange 2003 est installé.
Sur l'autre, j'ai un serveur black berry.
Pour que l'émission/réception de mail fonctionne via black berry, il faut que l'admin black berry ait les droit "envoyer comme" et "recevoir comme" sur l'ensemble des users.

Ce droit est bien hérité sur tous mes utilisateurs ... sauf sur un (tous les users sont dans la même UO) !

Je vais voir dans les paramètres de sécurité de l'utilisateur (onglet sécurité apparant lorsque l'on coche "fonctionnalités avancées" dans la console) et la case "hérite de l'objet parent les entrées d'autorisation etc..." est décochée !

Etrange étrange ... je la recoche ... je redémare les service exchange et black berry et miracle tout fonctionne : l'utilisateur peut envoyer/recevoir ces mails depuis son black berry.

Seulement 15 min plus tard : il me rappelle : ca ne fonctionne à nouveau plus !
Je retourne voir les paramètres de sécurité de l'utilisateur : la case est à nouveau décochée !!

Et rebelotte à chaque fois ...
D'ou cela peut il venir ?

Merci pour votre aide ... là je sèche.

[Timil]

Arret/relance des services après la modif et vérifie que les droits ne sautent pas une fois les services relancés (IISRESET côté Exchange, et relance de BB côté BB).

SI ca se trouve c'est lié à tes comptes de services et les services en cours d'éxécution au moment de la modif.

[Areb]

Je ne pense pas que ca vienne de là, car depuis, j'ai recoché la case sans avoir relancé les services et les droits sautent de la même manière ...
Si j'ajoute des paramètre de sécurité implicites sur l'utilisateurs, il disparaissent aussi !

Là, j'en suis à me demander s'il n'y a pas un problème de réplication entre les deux contrôleurs, l'un venant écraser les modifs de l'autre ...

[Timil]

Je veux juste valider que si tu redémarres tes services les droits ne sautent pas immédiatement.

[Areb]

test effectué :
14h41: j'ai recoché la case d'héritage des sécurité dans le user,
14h42: stoppé tous les services exchange et tous les service black berry
14h45: relancé tous les services
14h51: la case est toujours cochée (3 min après que tout ai redémarré)

[Areb]

et hop 15h24 (je regardais environ toutes les 10 min) l'héritage des sécurités de l'utilisateur a sauté ...

je n'y comprend vraiment rien !

[Timil]

Fait la modif et lance une réplication AD, puis valide que ça saute.

[Areb]

déjà essayé
ca ne saute pas à la réplication.

[Areb]

Voici où j'en suis :

- j'ai essayé de changer les droits avec un autre compte admin : même résultat, les droits sur le compte modifié "sautent" au bout d'un moment
- j'ai essayé de changer les droits sur d'autres comptes que celui qui m'interesse : même résultat

je n'ose cependant pas toucher à des comptes qui vont bien (ceux qui ont la case d'héritage de sécurité des parents cochées)...

j'ai essayé de modifier les droits, couper tous les services exchange et blackberry et de les relancer : ca saute mais au bout d'un moment, pas quand je relance les services

j'ai essayé de couper les services, modifier les droits, relancer les services : pareil

J'ai vérifié les paramètres de sécurité sur le domaine, ils s'appliquent bien aux objets utilisateurs
sur l'UO : pareil c'est bien hérité

Je ne sais vraiment plus ou chercher

[Areb]

je patauge toujours ^^

quelqu'un aurait une idée, une piste de réflexion ?

Merci d'avance

[Timil]

Tu as audité les accès aux objets ainsi que l'utilisation de droits AD?

[Areb]

Merci pour ta proposition, mais je crois que j'ai trouvé ... c'est très tordu. (enfin de mon point de vue ...)

Tout d'abord, je ne le savais pas, mais dans active directory, il y a un processus qui surveille les comptes utilisateurs qui font parti de groupes "protégés".
Dans 2003, les groupes protégés sont :
• Administrateurs
• Opérateurs de compte
• Opérateurs de serveur
• Opérateurs d'impression
• Opérateurs de sauvegarde
• Administrateurs du domaine
• Administrateurs du schéma
• Administrateurs de l'entreprise
• Éditeurs de certificats

Dans mon domaine, la sécurité sur les répertoires est basée sur les groupes locaux / globaux
les groupes locaux étant membres des locaux.

Et bien croyez moi ou pas ... quelqu'un a réussi à me coller un des groupes locaux membre de "opérateur d'impression"
donc dès que le process passait en revu les groupes protégés, il m'écrasait les droit du user avec les droits par défaut (AdminSDHolder).

et voici l'article crosoft qui m'a mis sur la voix : http://support.microsoft.com/kb/907434/

Je viens de changer les droit des users concernés .... en esperant ne pas revenir dans 15 min ici pour dire "ah bah non, finalement c'était pas ça" lol

[Areb]

Ce matin tous les droits sont encore en place, le problème venait donc bien de là.

Merci à ceux qui ont tenté de m'aider.

Arnaud