Grupo de soporte de Microsoft Exchange y Mensajería Unificada de España

WebCast sobre RBAC y herramientas de administración de Exchange 2010

Hola a tod@s!

Para todos los que estéis empezando con Exchange 2010 puede que os resulte interesante el siguiente webcast:

Webcast TechNet: RBAC y Herramientas Administrativas de Exchange 2010 
http://msevents.microsoft.com/CUI/WebCastEventDetails.aspx?EventID=1032435875&EventCategory=5&culture=es-ES&CountryCode=ES

Espero que os guste.

Saludos,
Pablo

Las bases de datos se han desmontado automáticamente...

Hola a todo@s!

Seguro que muchos de vosotros habéis tenido alguna caída de las bases de datos en algún momento. Vamos a revisar un caso específico que nos hemos encontrado en múltiples ocasiones. Los síntomas son:

- Las bases de datos se desmontan automáticamente
- En el log de aplicaciones se observa el evento 1159 de origen MSExchangeIS y con código de error 0xfffffd9a:

Event Type: Error
Event Source: MSExchangeIS
Event Category: General
Event ID: 1159
Description: Database error 0xfffffd9a occurred in function JTAB_BASE::EcUpdate while accessing the database "<DatabaseName>".

El código de error 0xfffffd9a se traduce como JET_errCheckpointDepthTooDeep.

Estos problemas aparecen cuando estamos cerca de alcanzar el límite del "Checkpoint Depth" de un Storage Group. En Exchange el "Extensible Storage Engine" (ESE) es el encargado de escribir todos los cambios realizados sobre las bases de datos en los logs de transacciones. Posteriormente aplica dichos cambios sobre las bases de datos directamente. Para evitar pérdidas de información se ha fijado un número máximo de información que el ESE puede escribir en los logs antes de aplicar sobre la base de datos. Ese máximo es lo que se conoce como Checkpoint Depth.

En Exchange 2003 el máixmo de logs sin aplicar sobre la base de datos es de 1024 aunque tendremos problemas a partir de 1008 logs. En el caso de Exchange 2007 el límite está en 5120 y los errores aparecerán al llegar a los 5000 logs pendientes de aplicar.

¿Y por qué estoy yo teniendo este problema?

Normalmente estos problemas aparecen por algún log bloqueado. Este log puede quedar bloqueado por cualquier aplicación que esté accediendo a los logs como pueden ser tareas de backup, antivirus, etc. o por problemas de rendimiento o de acceso a disco. La mejor forma de prevenir estos problemas es símplemente conocer el resto del software que tenemos instalado junto nuestro servidor Exchange y evitar que acceda a las carpetas que contengan logs. También es importante asegurar que no se solapen tareas como pueden ser procesos de backup junto con movimiento de buzones. Abajo podéis ver información sobre las exclusiones a fijar a nivel de antivirus de ficheros:

823166 Overview of Exchange Server 2003 and antivirus software
http://support.microsoft.com/default.aspx?scid=kb;EN-US;823166

File-Level Antivirus Scanning on Exchange 2007
http://technet.microsoft.com/en-us/library/bb332342(EXCHG.80).aspx

File-Level Antivirus Scanning on Exchange 2010
http://technet.microsoft.com/en-us/library/bb332342.aspx

* Para Exchange 2010 no está publicado aún. El enlace será el que figura y esperamos tener esta información en breve.

El determinar la causa de estos problemas es muy complicado ya que no siempre disponemos de las herramientas en el momento del fallo. Podemos intentar ver qué está produciendo el bloqueo de las siguientes formas:

- Utilizando una herramienta como Process Monitor
- Capturando un volcado de memoria

Como podéis ver el proceso no es sencillo. Además contamos con el problema añadido de que normalmente cuando notificamos el problema ya es demasiado tarde...

Para corregirlo, una vez tengamos el problema necesitaremos reiniciar el Information Store tal y como indican los siguientes artículos:

905801 The information store is dismounted, and an event ID 1159 message is logged in Exchange Server 2003 or in Exchange 2000 Server
http://support.microsoft.com/default.aspx?scid=kb;EN-US;905801

925817 The Exchange store is dismounted, and event ID 1159 is logged in Exchange Server 2007
http://support.microsoft.com/default.aspx?scid=kb;EN-US;925817

Antes de esto es interesante revisar el estado de las bases de datos ejecutando la herramienta ESEUTIL con el modificador /MH y verificar en las cabeceras de las bases de datos que todo está correcto. En caso de que el estado no sea el bueno, dependiendo de la situación podemos optar por:

- Intentar montar la base de datos para que aplique los logs pendientes
- Recuperar de backup
- Reparar la base de datos

Estos pasos como podéis ver son ya en casos extremos en los que podamos tener algún tipo de daño. En este tipo de situaciones debemos estar muy seguros de el estado en el que nos encontramos y los pasos que vamos a seguri para evitar problemas. Si tenéis dudas os recomiendo contactar con el Soporte de Microsoft, estaremos encantados de ayudar.

Saludos,
Pablo

Problemas con los contactos en OWA 2007

Hola a tod@s!

Para todos los aquellos que utilicemos el interfaz de OWA de Exchange 2007 en español puede que hayáis notado algún problema en cómo se muestran los contactos. Comentar que se trata de un bug en Exchange 2007 pero afortuandamente ya está corregido con el Service Pack 2. El problema es que la documentación sobre este tema es un tanto difícil de localizar. Podéis encontrar información en la Release Notes del propio Service Pack 2:

Microsoft Exchange Server 2007 Service Pack 2 (SP2) Release Notes
http://www.microsoft.com/downloads/details.aspx?FamilyID=ee7829a3-0ae8-44de-822c-908cd1034523&displaylang=en

Consider the following when you install Exchange 2007 SP2 on a server that uses Outlook Web Access, and the regional language is set to Spanish:

When a contact is created in Outlook Web Access, and the regional language is set to Spanish, the mapping of the name fields is as follows:
- "Nombre" in Spanish maps to “First Name” in English and to the underlying storage in Exchange.
- "Inicial" in Spanish maps to “Middle name” in English and to the underlying storage in Exchange.
- "Apellidos" in Spanish maps to “Last Name” in English and to the underlying storage in Exchange.

This is a change from the behavior of Exchange 2007 RTM and Exchange 2007 SP1. In the earlier versions of Exchange 2007, the mapping of the name fields is as follows:
- “Nombre" in Spanish maps to “First Name” in English and to the underlying storage in Exchange.
- "Primer Apellido" in Spanish maps to “Middle name” in English and to the underlying storage in Exchange.
- "Segundo Apellido" in Spanish maps to “Last Name” in English and to the underlying storage in Exchange.

También tenéis más datos aquí:

Name Mapping in Outlook Web Access Contacts is Reversed After Installing Exchange 2007 SP2 When Regional Language Is Spanish
http://technet.microsoft.com/en-us/library/ee331010(EXCHG.80).aspx

Y para todos aquellos que tengáis dudas sobre cómo aplicar y dónde encontrar el Service Pack 2 podéis encontrar respuesta en los siguientes enlaces:

Se facilita información de descarga y de instalación del Service Pack 2:

Exchange Server 2007 Service Pack 2
http://www.microsoft.com/downloads/details.aspx?FamilyID=4c4bd2a3-5e50-42b0-8bbb-2cc9afe3216a&displaylang=en

How to Install the Latest Service Pack or Update Rollup for Exchange 2007
http://technet.microsoft.com/en-us/library/ee221147.aspx

El orden de actualización:

We recommend that you upgrade your servers that are running the Mailbox server role after you upgrade your servers that are running the Client Access, Unified Messaging, Hub Transport, or Edge Transport server roles. Upgrade your computers in the following order:
- Client Access servers
- Unified Messaging servers
- Hub Transport servers
- Edge Transport servers
- Mailbox servers
If you upgrade your servers in this order, you may avoid potential service interruptions.

En caso de que se aplique sobre un clúster deberemos seguir los pasos descritos en el siguiente enlace:

Upgrading Clustered Mailbox Servers to Exchange 2007 SP1 or SP2
http://technet.microsoft.com/en-us/library/bb676559(EXCHG.80).aspx

Espero que os sea de utilidad.

Saludos,
Pablo

Los primeros pasos con Exchange 2010!

Hola a tod@s!

Para todos los que estéis valorando migrar a Exchange 2010 simplemente os queremos hacer llegar un par de enlaces que pueden resultar muy útiles. Toda la documentación sobre Exchange 2010 está publicada en Technet...

Exchange Server 2010
http://technet.microsoft.com/en-us/library/bb124558.aspx

... pero... ¿de dónde vamos a sacar tanto tiempo para leernos toda esta información?¿no hay nada más directo que nos ayude a saber qué es lo que necesitamos? Pues sí, vuestras plegarias han sido escuchadas y nos han enviado herramientas muy útiles:
 

1. Exchange Server Deployment Assistant
2. Exchange 2010 Mailbox Server Role Requirements Calculator

La primera herramienta nos ayudará a conocer los pasos para desplegar Exchange 2010 de forma personalizada, en función de nuestras necesidades. El asistente a través de una serie de preguntas proporciona  una lista de pasos para que podamos poner en marcha Exchange 2010. De esta forma nos evitamos tener que pasar por los más de 2000 topics de la ayuda de Exchange.

Por otro lado, Exchange 2010 Mailbox Server Role Requirements Calculator nos ayudará a calcular la configuración de hardware que necesitaremos para nuestro entorno.

Para calcular o saber las necesidades de otros roles de Exchange 2010 os recomiendo revisar la información de este enlace:

Understanding Exchange Performance
http://technet.microsoft.com/en-us/library/dd351192.aspx

Y las herramientas comentadas:

Exchange Server Deployment Assistant
http://technet.microsoft.com/en-us/exdeploy2010/default.aspx#Home
 
Exchange 2010 Mailbox Server Role Requirements Calculator
http://msexchangeteam.com/archive/2009/11/09/453117.aspx

Esperamos vuestros comentarios.

Saludos,
Pablo

Ya está aquí el Update Rollup 1 para Exchange 2007 Service Pack 2

Hola a tod@s!

Ya tenemos disponible el Update Rollup 1  para Service Pack 2. A través de Windows Update estará disponible mañana día 24 de Noviembre. Como todos sabéis los Update Rollup son dependientes del service pack aplicado por lo que para poder instalar este nuevo rollup necesitaremos tener aplicado el Service Pack 2 previamente.

Más información sobre el modelo de actualizaciones de Exchange 2007:

Exchange 2007 Servicing

http://technet.microsoft.com/en-us/library/dd421853.aspx

Los grandes cambios en este rollup se refieren a bugs corregidos pero también tra algunas mejoras en la instalación del mismo. Estas mejoras se basan en la actualización a Service Pack 2 donde era necesario actualizaar a Windows Installer 4.5. Las mejoras durante la instalación son las siguientes:

1.       Posibilidad de cancelar la instalación del rollup.

2.       Comprobaciones de problemas comunes anteriores a la instalación.

3.       Menor parada de tiempo durante la actualización

4.       Posibilidad para los administradores de Exchange para ejecutar scripts personalizados de PowerShell antes y después de la instalación del rollup para detener servicios de terceros que carguen “assemblies” de Exchange para evitar un reinicio.

Para una lista completa de los fixes incluidos en el Rollup:

971534  Description of Update Rollup 1 for Exchange Server 2007 Service Pack 2

http://support.microsoft.com/default.aspx?scid=kb;EN-US;971534

Información adicional:

How to Install the Latest Service Pack or Update Rollup for Exchange 2007

http://technet.microsoft.com/en-us/library/ee221147.aspx

Applying Exchange 2007 Update Rollups to Clustered Mailbox Servers

http://technet.microsoft.com/en-us/library/bb885043.aspx

Saludos,

Pablo

Cambiar el cuadro de diálogo para listas de recursos

Hola a tod@s!

Hoy vamos a ver una pequeña peculiaridad de las búsquedas en las listas de direcciones desde el cliente Outlook. Seguro que muchos de vosotros os han preguntado por cómo cambiar el orden de los campos, o mostrar otras columnas del cuadro de diálogo que Outlook utiliza para buscar personas denro de la Lista Global de Direcciones. Hay indicar que desafortunadamente... no está soportado su modificación. Se trata del diseño de Outlook y no se puede cambiar, está “hard coded”, las columnas no pueden ser renombradas, movidas o cambiadas por otras. Ahora bien, ¿os habéis fijado qué pasa cuando buscáis en la lista "All Rooms"? Las columnas cambian automáticamente. Y... ahora surge la pregunta... si creo una lista de recursos... ¿puedo utilizar ese cuadro de diálogo? La respuesta... SÍ!!!

Existe un atributo en la partición de Configuración de Directorio Activo que podemos modificar para especificar las listas de direcciones de tipo recurso. El atributo se llama msExchRsourceAddressLists y lo podéis encontrar en las propiedades de la organización de Exchange. Para agregar una lista deberéis seguir estos pasos:

1. Abrir un editor de Directorio Activo, como ADSIEdit.
2. Expandir el siguiente contenedor: CN=All Address Lists,CN=Address Lists Container,CN=<OrganizationName>,CN=Microsoft Exchange,CN=Services,CN=Configuration,DC=<DomainName>,DC=com.
3. Acceder a las propiedades de la nueva Lista de Direcciones
4. Copiar el valor del distinguishedName de esta lista
5. Ahora expandir el siguiente contenedor: CN=<OrganizationName>,CN=Microsoft Exchange,CN=Services,CN=Configuration,DC=<DomainName>,DC=com.
6. Acceder a las propieddes.
7. Editar el atributo msExchRsourceAddressLists y pegar el distinguishedName de la lista que hemos creado

Espero que os guste ;-)

Saludos,
Pablo

Errores de acceso a OWA... el recurso HTTP esta caido!!!

Hola a tod@s!

Durante los últimos meses hemos visto muchos problemas de temas de acceso a OWA o en entornos de clúster balanceos inesperados derivados de caídas del recurso HTTP. Muchos de esos problemas han venido derivados del alto consumo de la memoria no paginada. Aquí van una serie de recomendaciones que pueden ayudar a paliar estos problemas.

Lo primero, cómo identificar el problema. La forma más sencilla para ver si el problema que estamos teniendo se corresponde con lo que os voy a contar es abrir el Administrador de Tareas y comprobar el valor de la memoria no paginada. En caso de que esté por encima de 100MB, ahí seguramente está el problema. En los siguientes enlaces podéis encontrar información sobre los tipos de memoria, límites y demás:

Memory Management - Understanding Pool Resources
http://blogs.technet.com/askperf/archive/2007/03/07/memory-management-understanding-pool-resources.aspx

Pushing the Limits of Windows: Paged and Nonpaged Pool
http://blogs.technet.com/markrussinovich/archive/2009/03/26/3211216.aspx

Ahora que ya tenemos claro algunos conceptos comentar lo siguiente:

En la mayoría de los entornos, los servidores de buzones tendrán el modificador /3GB según la recomendación. Este cambio limita la memoria no paginada a 128 MB. Cuando tenemos menos de 20MB de memoria non-paged pool el driver http.sys no acepta nuevas conexiones provocando la caída del recurso o problemas de acecso a OWA. En el caso del clúster la caída del recurso finalmente causa un balanceo inesperado. La única forma de recuperar el estado es reiniciar la máquina o en caso de que sea un clúster moviendo la instancia virtual al nodo pasivo.

Para todos los que quieran conocer la causa comentar que estos problemas suelen venir derivados por dos motivos:

• Existe algún driver, proceso, etc. que está haciendo un uso excesivo de la memoria no paginada provocando lo que se llama un "memory leak"
• Otra posible causa es que el servidor tenga una carga muy elevada alcanzando el límite de la propia máquina. En tal caso la única opción es balancear la carga con otros servidores.

Para analizar qué está consumiendo la memoria no paginada podéis seguir los pasos indicados en el siguiente artículo:

177415 How to use Memory Pool Monitor (Poolmon.exe) to troubleshoot kernel mode memory leaks
http://support.microsoft.com/default.aspx?scid=kb;EN-US;177415

En cualquier caso, si tenéis oportunidad os recomiendo abrir un incidente con el grupo de plataformas para que lo revisen.

Estas son algunas recomendaciones para intentar evitar que el problema aparezca:

Agrega la clave EnableAggressiveMemoryUsage según indica el siguiente enlace:

934878  Users receive a "The page cannot be displayed" error message, and "Connections_refused" entries are logged in the Httperr.log file on a server that is running Windows Server 2003, Exchange 2003, and IIS 6.0
http://support.microsoft.com/default.aspx?scid=kb;EN-US;934878

Verificar la versión del fichero ADF.sys. Existen problemas reportados con alguna versión por lo que es recomendable revisar si esta puede ser la causa

Deshabilita Hot-Add Memory fijando la siguiente clave:

HKLM\System\CurrentControlSet\Control\Session Manager\Memory Management
Value: DynamicMemory
Type: REG_DWORD
Value Data: 1

Asegurar que el valor de SystemPages está fijado a 0 (Windows 2003):

HKLM\System\CurrentControlSet\Control\Session Manager\Memory Management
Value: SystemPages
Type: REG_DWORD
Value Data: 0

En caso de tener software de Multipath y se está utilizando MPIO necesitaremos comprobar que disponemos de la versión apropiada:

961640 Nonpaged pool kernel memory leak on Windows Server 2003 with Multipathing solution installed
http://support.microsoft.com/default.aspx?scid=kb;EN-US;961640

Reducir el “open handle count” de Inetinfo:

If we cache file handles for longer durations, then the corresponding non-paged pool objects should also remain in memory (and thus, causing the NPP depletion). Decreasing the time would mean that they stay around for a shorter time and the accumulation is reduced decreasing the net non-paged pool memory usage.

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\InetInfo\Parameters
FileCacheLifeTimeSeconds=dword:0000012c (300 decimal, which is 5 minutes. Default is 30 minutes)

Mover EXIFS Free List (Flst) y Auxiliary Free List (AuxL) a la memoria paginada:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\EXIFS\Parameters
Set “AuxFreeListInPagedPool” = REG_DWORD 0x00000001
Set “FreeListInPagedPool” = REG_DWORD 0x00000001

Deshabilita el log de POP e IMAP en caso de que estén habilitados:

The logging feature is designed to be used for short periods of time while you gather troubleshooting information, and then turned off. If you leave protocol logging turned on, the system resources may become exhausted. If frequent bursts of traffic occur and create new log files and new handles, the server eventually runs out of non-paged pool memory and does not respond.

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\Pop3svc\Parameters
POP3 Protocol Log Level = 0

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\IMAP4SVC\Parameters
IMAP4 Protocol Log Level = 0

Añadir también que en muchas ocasiones estos problemas han venido derivados de la aplicación del Service Pack 2 de Windows 2003. Service Pack 2 incorpora una funcionalidad llamada TPC Chimney que puede implicar problemas en servidores Exchange. Esta nueva funcionalidad permite que el procesamiento TCP sea realizado a través de la tarjeta de red. Actualmente muchos adaptadores de red no soportan dicha funcionalidad y es por esto que pueden aparecer ciertos problemas. El siguiente artículo relata una serie de problemas que pueden aparecer y la recomendación al respecto:

945977 Some problems occur after installing Windows Server 2003 SP2
http://support.microsoft.com/default.aspx?scid=kb;EN-US;945977

Windows 2003 Scalable Networking pack and its possible effects on Exchange
http://msexchangeteam.com/archive/2007/07/18/446400.aspx

Espero que esta información pueda ser de ayuda.

Saludos,
Pablo

Problemas con SCOM monitorizando un servidor CAS

Hola a tod@s!

Últimamente hemos detectado un problema con la monitorización de los servidores con rol de CAS de Exchange 2007 utilizando SCOM que puede ser bastante interesante. Durante la monitoización del rol de CAS se ejecuta el comando Test-OwaConnectivity (http://technet.microsoft.com/en-us/library/aa997682.aspx) y, en caso de disponer de algún Controlador de Dominio que sea Windows 2000 en el site de Exchange, esta operación puede fallar. El error obtenido será similar al siguiente:

Date and Time: --/--/---- --:--:--       
Property Name Property Value
State     Error     
Message              Unable to obtain Test-OwaConnectivity result - The test mailbox was not initialized. Run new-TestCasConnectivityUser.ps1 to ensure that the test mailbox is created. Then run Test-ActiveSyncConnectivity ?ResetTestAccountCredentials under a system account to store this user's credentials for use in testing the Client Access services. More information: Mailbox Server:MailboxFQDNName
[Microsoft.Exchange.Monitoring.CasHealthUserNotFoundException]: UserPrincipalName: CAS_XXXXXXXXXXX@smtpaddress.com is not found in Active Directory. Additional error information: [System.Security.SecurityException]: The Kerberos subsystem encountered an error. A service for user protocol request was made against a domain controller which does not support service for user.  

El problema aparece porque en el momento de ejecutar el comando el servidor CAS está utilizando uno de los Controladores de Dominio de Windows 2000 como servidor KDC y el tipo de operación realizada utiliza una extensión de Kerberos no soportada por Windows 2000. Esta extensión fue introducida con Windows 2003, aquí podéis encontrar más información:

Exploring S4U Kerberos Extensions in Windows Server 2003
http://msdn.microsoft.com/en-us/magazine/cc188757.aspx

Finalmente conseguimos evitar este error forzando a los servidores CAS a utilizar Controladores de Dominio de Windows 2008 ejecutando de forma periódica el siguiente comando:
NLTest /dsgetdc:grupo.cm.es / KDC  /DS_6 /FORCE

Comentar que en caso de tener un entorno similar, con Controladores de Dominio ejecutando Windows 2000 en el mismo site que los servidores Exchange 2007 es la única alternativa para evitar que aparezca este problema.

Saludos,
Pablo

OCS - Actualizaciones Octubre 2009

Cliente 

Descripción de la actualización de Communicator 2007 R2: octubre de 2009

http://support.microsoft.com/kb/972884

Servidor

Actualizaciones de Communications Server 2007 R2

http://support.microsoft.com/kb/968802

Desde aquí os podéis descargar las actualizaciones:

Microsoft Office Communications Server 2007 R2 Hotfix KB 968802

http://www.microsoft.com/downloads/details.aspx?displaylang=en&FamilyID=b3b02475-150c-41fa-844a-c10a517040f4

Mas informacion sobre las ultimas actualizaciones:

Updates Resource Center for Office Communications Server 2007 R2 and Clients

http://technet.microsoft.com/en-us/office/ocs/ee695846.aspx

Gracias.

Javi.

Novedades de Exchange 2010: RBAC

Qué? RBAC? Qué #@!!-?!% es eso??? Aunque ahora mismo nos suene a chino RBAC es una de las grandes novedades de Exchange 2010, Role Based Access Control

Primero vamos a centrar un poco el tema. RBAC es el nuevo modelo de permisos de administración de Exchange 2010. En versiones anteriores con el fin de facilitar la administración se introdujeron distintos roles basados en opciones de seguridad para ejecutar ciertas tareas. Estos roles se aplicaban a nivel de la organización o a nivel de los grupos administrativos. Con Exchange 2007 se ampliaron pero aún así no guradaban relación con la estructura de la compañía, es decir, en muchas ocasiones los administradores que crean cuentas de usuarios no son las mismas personas que administran los buzones. Para intentar corregir esas carencias y dar mayores posibilidades llega RBAC. Esto es lo que podremos hacer con RBAC:

• Roles de administración basados en tareas
• Roles personalizables
• Podemos definir el ámbito de un determinado role para limitarlo a objetos específcos.
• RBAC está controlado a nivel de la organización, independientemente de la forma que estemos intentando acceder
• También llega al detalle de las tareas que puede ejecutar, incluso de los parámetros de dichas tareas!
• Finalmente comentar que puede auditarse y crear reportes de forma que sabremos quién ha accedido a un objeto y qué acciones ha realizado

RBAC intenta ayudar a los administradores a specificar el control de acceso en términos de la estructura interna de la compañía y lo consigue creando un nuevo objecto llamado ROLE. Lo que hacemos es asignar roles a los usuaios (no son sólo usuarios pero teniendo esa imagen es más fácil de entender) para que pueda ejecutar una determinada tarea. Es decir, el role se utiliza para definir los permisos sobre un determinado conjunto de recursos. Utiliza un modelo de quién (usuario), qué (role administrativo) y dónde (el ámbio sobre el que tendremos permisos). Está compuesto por:

• Management Role : Define los comandos de Exchange disponibles que se podrán ejecutar
• Management Role Assignment: Es la relación entre el Management Role definido y el usuario, grupo universal (USG) sobre el que se aplica el Role o Assignment Policy que define sobre quén tendrá efecto el role.
• Role Group: Es un grupo de seguridad universal que simplifica la assignación de roles a grupos de usuarios.
• Role Assignment Policy: Se utiliza para facilitar la asignación de roles a usuarios finales.
• Management Scope :Utilizado para definir dónde tendremos control

En el siguiente enlace podéis encontrar todos los detalles:

Understanding Role Based Access Control

http://technet.microsoft.com/en-us/library/dd298183(EXCHG.140).aspx

Espero que haya quedado un poco más claro :)

Saludos,

Pablo

El misterio de las "Named Properties"...

Hola a tod@s!

Esta semana me encuentro en Francia, empezando a ver los detalles de Exchange 2010. Qué puedo decir... IMPRESIONANTE!!! trae numerosas mejoras y cambios, la adaptación, como con cualquier producto nuevo llevará un poco de tiempo pero iremos poniendo información para poder ayudaros. En cualquier caso, hoy no voy a hablar de Exchange 2010, voy a comentaros qué son las Named Properties. Es el método utilizado por Exchange para asignar un ID específico a propiedades MAPI. De esta forma se permiten extender las propiedades MAPI estándar para facilitar que el software de terceros pueda registrar sus propias propiedades. El rango de IDs de propiedades MAPI va desde 1 hasta 0xffff. Las propiedades MAPI estándar van desde 1 a 0x8000, por lo que el rango de IDs para las Named Properties es muy elevado. El problema que nos encontramos con estas propiedades es que el tamaño de las bases de datos disponible para guardar la relación de IDs es un espacio finito y puede llegar a llenarse y puede llegar a impactarnos en el envío/recepción de los correos.

When named property IDs become exhausted, Outlook cannot map a named property. In this scenario, you may experience symptoms that resemble the following:

• Event IDs 9666 and 9667 are logged in the Application log. For more information, see Events 9666, 9667, 9668, and 9669 Received When Named Properties or Replica Identifiers Are Depleted for An Exchange Database http://technet.microsoft.com/en-us/library/bb851495.aspx. 
• Messages that contain properties that cannot be mapped are not delivered. When you examine the message tracking information for an affected message, you notice information that resembles the following:
  550 5.2.0 STOREDRV.Deliver: The Microsoft Exchange Information Store service reported an error.
• When an add-in that adds named properties or X-headers to messages is installed in Outlook, certain messages may not be sent to other users in the organization. In this scenario, the sending user receives a non-delivery report (NDR) that resembles the following:
  The message reached the recipient's e-mail system, but delivery was refused. Attempt to resend the message. If it still fails, contact your system administrator.

Para corregir el problema es necesario incrementar los límites de almacenamiento al máximo. El tamaño máximo total es muy pequeño en comparación con la cantidad de capacidad de almacenamiento que tenemos en la actualidad por lo que el tamaño de nuestras bases de datos permanecerá prácticamente igual. Añadir también que es posible limpiar las relaciones de IDs pero es un procedimiento más intrusivo y el problema volvería a aparecer en poco tiempo ya que el tamaño por defecto es bastante bajo. En el siguiente enlace están los pasos sobre los cambios que necesitamos realizar:

How to Configure Named Properties and Replica Identifier Quotas for Exchange 2007 Databases
http://technet.microsoft.com/en-us/library/bb851493.aspx

Para limpiar los IDs deberéis seguir los pasos descritos en este otro artículo: 

Events 9666, 9667, 9668, and 9669 Received When Named Properties or Replica Identifiers Are Depleted for An Exchange Database
http://technet.microsoft.com/en-us/library/bb851495.aspx

Información adicional:

Understanding the Impact of Named Property and Replica Identifier Limits on Exchange Databases
http://technet.microsoft.com/en-us/library/bb851492.aspx

También hay algún cambio con el Service Pack 2 de Exchange 2007:

Service Pack 2 Preview: Get-NamedProperty
http://msexchangeteam.com/archive/2009/08/06/451948.aspx

Saludos desde París!

Pablo 

Nueva actualización KB974571. MS09-056: Vulnerabilities in CryptoAPI could allow spoofing”

Este fin de semana se ha actualizado el Articulo KB974571 en la que se incluye una descarga de un fichero para solucionar los problemas que tenemos si actualizamos nuestros servidores de OCS / LCS con el update “MS09-056: Vulnerabilities in CryptoAPI could allow spoofing”, como bien nos habéis comentado.

http://support.microsoft.com/default.aspx?scid=kb;EN-US;974571 

Resolution for the known issue

A fix that resolves this issue is available for download from the Microsoft Download Center. To obtain the fix, visit the following Microsoft Web page:

http://go.microsoft.com/fwlink/?LinkId=168248 (http://go.microsoft.com/fwlink/?LinkId=168248)

The fix (OCSASNFix.exe) is governed by the Microsoft Software License Agreement for Office Communications Server 2007 R2, Office Communications Server 2007, Live Communications Server 2005, Office Communicator 2007 R2, Office Communicator 2007, and Office Communicator 2005.

This fix works for both clients and servers, and it is applicable to the following roles for all versions of Office Communications Server and Live Communications Server 2005 SP1 and for evaluation versions of Office Communicator:

• Standard Edition Server
• Director server role
• Enterprise Edition Consolidated
• Enterprise Edition Distributed – Front End
• Edge Server
• Proxy server role
• Office Communicator 2007 Evaluation version only
• Office Communicator 2007 R2 Evaluation version only
• Office Communicator 2005 Evaluation version only

To run the fix, type the following command at a command prompt, and then press ENTER:

ocsasnfix.exe

When you run the command on a computer that is running Office Communication Server 2007, Office Communication Server 2007 R2, or Live Communications server 2005 Service Pack 1, you receive a message that resembles the following:

Checking OCS/LCS Server installation...Fixing registry data
Checking Office Communicator 2007 Eval installation...not installed.
Checking Office Communicator 2005 Eval installation...not installed.

When you run the command on a computer that is running an evaluation version of Office Communication Server 2007, Office Communication Server 2007 R2, or Live Communications server 2005, you receive a message that resembles the following:

Checking OCS/LCS Server installation...not installed.
Checking Office Communicator 2007 Eval installation...Fixing registry data
Checking Office Communicator 2005 Eval installation...not installed.

This fix can be applied either before or after you install security update 974571. If you apply the fix after you install security update 974571, we recommend that you apply the fix before you restart the computer. If you already restarted the computer after you installed security update 974571, this fix can still be applied. However, the Office Communication Services must be started manually.

If all services start without any issues, this indicates that this fix has been applied and is working correctly.

This fix sets the OCSASNFIX DWORD value to 1 for the following registry subkey on the OCS 2007/R2 and LCS 2005-SP1 Server:

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\RtcSrv\InstallInfo\OCSASNFIX

Muchas gracias.

Javi.

Problemas con OCS/LCS después de instalar KB974571

Pasos para actualizar el Schema de forma segura

Hola a tod@s!

En esta ocasión este post no es puramente de Exchange pero creo que muchos de vosotros lo vais a agradecer. En muchas ocasiones nos habéis realizado preguntas sobre cómo actualizar el Schema de Directorio Activo  para poder desplegar Exchange o uno de sus Service Packs. Con otros productos tenemos el mismo problema, es necesario actualizar el schema y siempre queremos tenerlo controlado para evitar cualquier fallo. A continuación os relato los pasos que debemos seguir para actualizar el schema con Exchange 2007 (válidos también para Service Packs y otros productos):

·         Recomendamos realizar la extensión directamente en el Schema Master mediante la herramienta apropiada de Exchange (Setup de Exchange con el modificador correspondiente /PrepareSchema)

·         Antes de extender el esquema recomendamos tener un System State Backup reciente del Schema Master. Es necesario también hacer un backup adicional de la CA en caso de que exista una en la infraestructura. Esta acción puede realizarse desde la consola de la entidad certificadora, clic con el botón derecho, opción backup. En el siguiente artículo hay información detallada sobre cómo cómo realizar el backup de la CA:

298138  How to move a certification authority to another server

http://support.microsoft.com/default.aspx?scid=kb;EN-US;298138

·         El usuario que lleve a cabo la tarea debe ser miembro del grupo Schema Admins y Enterprise Admins.

·         Para identificar qué servidor tiene el rol de Schema Master ha de usarse el comando "netdom query fsmo"

Debemos chequear la replicación en los partners de replicación directos del Schema Master con el comando Repadmin /Showrepl. Si se detectan errores, no se debe continuar, han de corregirse los problemas en AD antes de realizar ninguna acción sobre el esquema.

Pasos para extender el Schema:

1.       Verificar que se cumplen los requisitos de Exchange 2007 según el siguiente artículo:

http://technet.microsoft.com/en-us/library/aa996719(EXCHG.80).aspx -> RTM

http://technet.microsoft.com/en-us/library/bb629489.aspx -> SP1

http://msexchangeteam.com/archive/2009/08/28/452209.asp -> SP2

2.       Asegurar que la replicación se realiza correctamente tal y como se indica anteriromente (Repadmin /Showrepl).

3.       Realizar los backups indicados anteriormente (System State Backup y de la CA en caso de que exista)

4.       Deshabilitar la replicación de entrada y de salida en el Esquema Master mediante estos comandos:

a.       REPADMIN /OPTIONS NombreSchemaMaster +DISABLE_INBOUND_REPL

b.      REPADMIN /OPTIONS NombreSchemaMaster +DISABLE_OUTBOUND_REPL

5.       Preparar el schema según los siguientes artículos (deberemos tener en cuenta si hay algún prerequisito específico y ejecutar el setup con el modificador prepareSchema):

Exchange 2007 Service Pack 2 Prerequisites

http://msexchangeteam.com/archive/2009/08/28/452209.aspx

6.       Verificar que la operación se ha realizado con éxito. Abrir ADSIEdit.msc y verificar el valor del atributo rangeUpper del objeto ms-Exch-Schema-Version-Pt. Para Service Pack 2 tendremos el valor de 14622, para Service Pack 1 es 11116 y para la versión RTM es 10637. También necesitaremos revisar el log de setup de Exchange para una mayor seguridad (ExchangeSetup.log ubicado en la carpeta C:\ExchangeSetupLogs por defecto)

7.       Si todo ha ido bien volver a habilitar la replicación:

a.       REPADMIN / OPTIONS NombreSchemaMaster -DISABLE_INBOUND_REPL

b.      REPADMIN / OPTIONS NombreSchemaMaster -DISABLE_OUTBOUND_REPL

8.       Tras volver a habilitar la replicación, podemos o bien dejar que la replicación se lleve a cabo “por sí sólo” o podemos forzar la replicación hacia fuera desde esta máquina con el siguiente comando:

Repadmin /syncall /e /P NombreServidorSchema CN=Schema,CN=Configuration,DC=<Domain>,DC=<com>

9.       Debemos chequear la replicación en los partners de replicación directos del Schema Master con el comando Repadmin /Showrepl.

Si se produce cualquier tipo de problema:

1.       Reiniciar el Schema Master en modo de recuperación del DA (DSRM) y restaurar un backup de System State.

2.       Arrancar en modo normal y deja que el equipo “vuelva al día” mediante la replicación.

Caso Extremo

·         En el peor de los casos, si detectásemos problemas en el Schema una vez extendido y propagados los cambios entre los DCs del bosque, habría que recuperar un System State Backup de TODOS los DCs del bosque anterior a la extensión del Esquema.

Añadir que con la extensión de Schema Service Pack 2 de Exchange 2007 ya podremos empezar a añadir servidores de Exchange 2010 en nuestra organización!

Saludos,

Pablo

Microsoft OCS Remote Connectivity Analyzer

Si habéis desplegado OCS en vuestra organización y habéis configurado un servidor EDGE y el acceso desde fuera de la organización con el cliente de Communicator no os funciona os recomendamos que vayáis a esta URL en la que podréis probar el acceso desde fuera, os dara una idea del problema que podemos tener, es Beta todavía.

Microsoft OCS Remote Connectivity Analyzer.

Saludos.

Javi.