LegacyExchangeDN und X.500

Was verbirgt sich hinter dem Feld "LegacyExchangeDN", welches sowohl in Exchange 5.5 als auch in Exchange 2000/2003 vorhanden ist. Zuerst sollten Sie dieses Feld nicht mit "msExchADCGlobalNames" verwechseln. Weitere Felder zu Benutzern im AD sind auf RDNCHANGE.VBS erläutert.

Diese Beschreibung geht sehr detailliert auf Systemeinstellungen ein, die im Normalfall nicht von einem Administrator oder Anwender verändert werden sollen. Sie sind hier zum besseren Verständnis der Hintergründe und Interna's von Exchange wiedergegeben. Es kann keine Garantie über die Vollständigkeit und Fehlerfreiheit gegeben werden. Manuelle Eingriffe sind meist nicht durch Microsoft unterstützt und können zu Datenverlusten und Funktionsstörungen führen, die schlimmstenfalls einen Neuaufbau ihrer gesamten Umgebung bedeuten können

LegacyExchangeDN unter Exchange 5.5

Unter Exchange 5.5 hat jedes Objekt einen eindeutigen "Objekt Distinguished Name" (Obj-Dist-Name), der eindeutig ist. Sie können dieses Feld mit der SID in einer Domäne vergleichen. Alle Berechtigungen auf öffentliche Ordner, Postfächer etc. wurden anhand dieses Feldes vergeben vergeben. Ein Feld "LegacyExchangeDN" gibt es in Exchange 5.5 allerdings nicht, sondern ist nur im Active Directory mit Exchange 2000/2003 zu finden.

Der Obj-Dist-Name unter Exchange 5.5 hatte immer die Form:

/O=orgname/ou=Standortname/cn=Recipients/cn=objektname

Dies bildet die logische Struktur im Exchange 5.5 Verzeichnis ab. Es ist gut zu sehen, dass auch der Empfängercontainer innerhalb der Site enthalten ist. Wenn Sie selbst den Feld für ein Objekt anzeigen wollen, dann nutzen Sie einfach den Exchange 5.5 Administrator im "RAW-Mode"  (Aufruf von "ADMIN.EXE /RAW"). Sie können dann zu jedem Objekte neben den normalen Eigenschaften auch die Basiseigenschaften anzeigen lassen.

Soweit ist das noch nichts besonders.

LegacyExchangeDN und Exchange 2000/2003

Lange Zeit hieß es, dass das Feld LegacyExchangeDN in Exchange 2000/2003 nicht mehr erforderlich sei, aber das was sicher vorschnell, so dass es auch mit Exchange 2000/2003 wichtig ist, die Bedeutung und Funktion dieser Variablen zu kennen. Denn sehr viele ältere  Programme, die bislang mit Exchange 5.x genutzt wurden, erwarten auch weiterhin bestimmte Informationen für die Funktion.

Das was bei Exchange 5.5 der "Obj-Dist-Name" war ist bei Exchange 2000/2003 der LegacyExchangeDN. Jedes Objekt, welches für Exchange aktiviert ist, bekommt durch den RUS einen passenden LegacyExchangeDN vergeben. Der RUS nutzt dazu die Informationen über die Organisation und die Administrative Gruppe, der z.B.: das Postfach zugeordnet ist.

d.h. immer wenn Sie einen Benutzer mit MMC für Active Directory Benutzer & Computer anlegen und diese für Exchange aktivieren, dann erstellt der RUS hierfür nicht nur die Mailadressen, sondern auch den LegacyExchangeDN. Der RUS nutzt dazu den "Given Name" des Objekts und die dazugehörige Organisation und administrative Gruppe. Wann immer Sie ein solches Objekt verändern, verschieben etc, wird der RUS erneut den ExchangeLegacyDN setzen. Das  Format ist identisch zum Obj-Dist-Name bei Exchange 5.5:

/O=orgname/ou=Standortname/cn=Recipients/cn=objektname

Wir können also festhalten, dass der Exchange 5.5 Obj-Dist-Name  im Active Directory dem LegacyExchangeDN entspricht.

Exchange Mixed Mode und ADC

Das  ist umso wichtiger zu wissen,  da auch der ADC diese Feld bei einem Anwender im Active Directory füllen kann. Wenn der ADC die Informationen über ein Exchange Objekt von Exchange 5.5 in das Active Directory übernimmt, dann wir der Inhalt von "Obj-Dist-Name" zum LegacyExchangeDN im Active Directory. Den Inhalt diese Felds kann am einfachsten mit ADSIEDIT eingesehen werden:

Diese Übernahme der Informationen ist später noch wichtig.

LegacyExchangeDN und ADCDisabledMailByADC

Manchmal  werden Sie aber Objekte finden, die nicht im Exchange Adressbuch sichtbar sind und das Feld "LegacyExchangeDN" enthält den sehr befremdlichen Wert "ADCDisabledMailByADC" oder "ADCDisabledMail". Wenn ein Objekt diesen Inhalt hat, dann wird es durch den RUS nicht  mehr weiter verarbeitet und bleibt unverändert. Damit stellt sich die Frage, woher dieser Eintrag kommt.

Bei der Replikation von Benutzern mit dem ADC zwischen Exchange 5.5 und dem Active Directory ist auch der Fall möglich, dass ein Postfach in Exchange 5.5 gelöscht wird. Nun liegt es an der Einstellung der Verbindungsvereinbarung, was der ADC daraus macht. Das Zielobjekt im Active Directory kann ein aktivierter (wurde aktiv genutzt) oder deaktivierter Benutzer (war ein Platzhalterkonto eventuell mit externem Benutzerkonto) sein und der ADC kann Löschbefehle durchführen oder nicht durchführen

  Disabled Account Enabled Account
Delete aktiv Objekt wird im Active Directory gelöscht. Objekt wird "Exchange Disabled"

Es bleibt vorhanden, aber hat keine Exchange Eigenschaften mehr.

Der ADC schreibt "ADCDisabledMailByADC" in den LegacyExchangeDN und lösche das Feld "MSExchADCGlobalnames"
Delete nicht aktiv Objekt bleibt erhalten!

Löschanweisung wird in LDF-Datei geschrieben.
Administrator muss selbst die Löschung durchführen.

Objekt wird aber "Exchange Disabled"
Der ADC schreibt "ADCDisabledMailByADC" in den LegacyExchangeDN und lösche das Feld "MSExchADCGlobalnames"		 Objekt wird "Exchange Disabled"

Es bleibt vorhanden, aber hat keine Exchange Eigenschaften mehr.

Der ADC schreibt "ADCDisabledMailByADC" in den LegacyExchangeDN und lösche das Feld "MSExchADCGlobalnames"

Sie werden diesen Wert also nur finden, wenn die entsprechende Verbindungsvereinbarung auf die Betriebsart "Löschen" eingestellt ist.

Der RUS wird darauf hin dieses Konto nicht mehr berücksichtigen. Wenn Sie den Benutzer allerdings wieder mittels der MMC aktivieren, dann wird durch die MMC das Feld wieder gefüllt.

LegacyExchangeDN und Exchange 2000/2003 Empfängerrichtlinien

Beim gemischten Betrieb von Exchange 5.5 und Exchange 2000/2003 in einer Organisation finden Sie deutlich sichtbar die Exchange 5.5 Standortadressierung als Empfängerrichtlinie in ihrem Exchange 2000/2003 Administrator wieder. In den Eigenschaften sehen Sie den Erstes Auftreten in den Empfängerrichtlinien.

Diese Richtlinie kann weder gelöscht noch verändert werden und stellt sicher, dass sowohl Exchange 5.5 als auch Exchange 2000/2003 bei der Ermittlung der Mailadressen auf das gleiche Ergebnis kommen. Siehe auch Exchange 2000 - RUS und Empfängerrichtlinien). Damit ist aber auch klar, dass bei einem falschen LegacyExchangeDN nicht mehr die richtige Richtlinie greift.

LegacyExchangeDN in Outlook

Der LegacyExchangeDN zeigt sich z.B. auch in Outlook. Wenn Sie mehrere Empfänger mit dem gleichen Namen haben (z.B.: mehrer öffentliche Ordner gleichen Namens) dann muss der LegacyExchangeDN natürlich eindeutig sein. Exchange hängt dann einfach zufällige Nummern an. Mit dem Softerra LDAP kann das dann z.B. so aussehen.

Das ist im ersten Moment erst mal nicht kritisch, aber wenn Sie in Outlook z.B. eine Mail an diesen Empfänger adressieren und Outlook mögliche Empfänger vorschlägt, dann finden Sie hier den letzten Teil des LegacyExchangeDN wieder:

Da auch das von einigen Anwendern natürlich als "verwirrend" angesehen wird, stellt sich auch hier die Frage, wie dies "korrigiert" werden kann.

Wer nutzt den LegacyExchangeDN und kann ich das Feld manuell ändern ?

Es kann ja nun sein, dass Sie ihre Exchange Organisation immer mal wieder umstrukturieren, Benutzer von einem Standort in den anderen Standort wechseln. Dann stellt sich schnell die Frage, ob Sie den LegacyExchangeDN nicht einfach mit LDIFDE oder anderen Tools ändern können.

Als Administrator mit ausreichend Berechtigungen können Sie natürlich dieses Feld einfach ändern, allerdings werden die Effekte nicht immer von Vorteil sein, weil eben der LegacyExchangeDN anderweitig genutzt wird. So kann es passieren dass:

Trotzdem ist es daher meist besser, den LegacyExchangeDN nicht zu ändern und die anderen Probleme zu lösen, z.B. in dem Sie einen migrierten Anwender manuell wieder in die Gruppen hinzu fügen, eventuell Berechtigungen auf Ordner ersetzen oder gleich auf "Verteiler" umstellen.

Auch Microsoft hat ein passendes Tool, um den LegacyExchangeDN zu ändern:

Microsoft Exchange Server LegacyDN Utility
http://www.microsoft.com/downloads/details.aspx?familyid=5ef7786b-a699-4aad-b104-bf9de3f473e5&displaylang=en

Beachten Sie dazu aber die Beschreibung

The Legacydn.exe tool enables you to change Exchange 2000 and 2003 organization names, change Exchange 2000 and 2003 administrative group names, change legacyExchangeDN values on critical system objects, and view legacyExchangeDN values. LegacyExchangeDN is an attribute of many Microsoft® Active Directory® directory service objects (such as mail-enabled users, mailbox-enabled users, public folders, and Exchange system configuration objects), that provides backward compatibility with Exchange 5.5.

One of common use of LegacyDN.exe is to use it to help you rename attributes as part of the process of recovering an Exchange database to a test server when Exchange data is not recoverable using other methods.

Important This tool is to be used in a test environment only. Do not use it to make changes in a production system because doing so will render all Exchange databases as unstartable.

Wenn Sie den LegacyExchangeDN wirklich ändern, dann sollten Sie den alten Wert als X500-Adresse mit in die ProxyAddresses aufnehmen.

LegacyExchangeDN und X.500

Vielleicht haben Sie sich schon mal gefragt, warum Benutzer in den Proxy Adressen auch X.500 Adressen haben. Das passiert immer dann, wenn man einen Benutzer von einer Exchange Site in eine andere Site verschiebt und im MixedMode ist oder wenn man man Benutzer korrekt in eine andere Exchange Organisation überträgt.

Der alte LegacyExchangeDN wird dann zusätzlich als X.500 Adresse addiert, damit Rückläufer etc. weiter zugestellt werden. Stellen Sie sich einfach vor, dass dies so ähnlich funktioniert wie die SID-History bei der Migration von Benutzern in eine andere Domäne.

LegacyExchangeDN und Exchange 2007

Wenn Sie nun glauben, dass der LegacyExchangeDN mit Exchange 2007 und Outlook2007 überflüssig geworden ist, dann irren Sie. Auch in dieser Umgebung ist dieses Feld weiterhin erforderlich. Ein Beispiel hierzu:

Wenn Sie in einem öffentlichen Ordner vom Typ "Kontakte" einen Verteiler anlegen, dann können Sie in diesen Verteiler verschiedene andere Empfänger aufnehmen. Dazu zählen natürlich auch Personen aus der GAL. Outlook speichert in der Verteilerliste nun aber nicht die SID, die SMTP-Adresse oder den distinguishedName des Active Directory Objekts, sondern den LegacyExchangeDN.

Dies ist erst mal "nur" ein Outlook Problem aber soll reichen, warum sie auch heute noch ein Augenmerk auf dieses Feld haben sollten.

Wer legt das Feld an ?

Zur schnelleren Übersicht hier noch mal die verschiedenen Prozesse, die das Feld anlegen:

LegacyExchangeDN, Admingroups und Objekte verschieben.

Seit Exchange 5.5 SP4 und natürlich seit Exchange 2000 und neuer ist es möglich, Postfächer auch von einer Site in eine andere Site zu verschieben. Wird ein Postfach frisch angelegt, dann wird der LegacyExchangeDN der dazu gehörenden administrativen Gruppe als Basis für den LegacyExchangeDN des Exchange-Objekts genutzt.

Weitere Links

Keywords: LegacyExchangeDN ADCDisabledMailByADC