Quest QMM – MAgE: Error Cannot update permissions

Bei einer Exchange Inter-Org Migration von Exchange 2010 nach Exchange 2016 mit der Unterstützung des Quest Migration Manager for Exchange 8.13, kamen die noch relativ neuen MAgE Agenten (Migration Agent for Exchange) zum Einsatz. Diese nutzen im Vergleich zu den älteren Agenten nicht mehr das MAPI Protokoll, sondern EWS (Exchange Web Services), um sich mit den Postfächern zu verbinden.

Fehlermeldung: „Error Cannot update permissions“

Während der Postfach- und Kalender-Synchronisation wurde immer wieder die Fehlermeldung „Error Cannot update permissions“ gemeldet. Beim Übertragen der Inhalte wurden auch die Berechtigungen für ebenfalls migrierte Postfächer neu gesetzt. Diese Berechtigungen konnten für eine Vielzahl von Postfächern nicht korrekt gesetzt werden.

Auszug aus dem MAgE.log:

Ursache: Keine Postfach-Berechtigungen für deaktivierte Accounts

Die Ursache für das Problem war, dass die Ziel-Benutzerkonten für den bevorstehenden Roll-Out vorbereitet wurden und bis kurz vorher noch disabled sein sollten. Nachdem ich schließlich bei Quest nachgeforscht hatte, stellte sich heraus, dass MAgE keine Postfach-Berechtigungen für deaktivierte Accounts vergeben kann.

Lösung: Accounts aktivieren

Die Lösung für das Problem war einfach, aber nicht einfach umzusetzen:
Sobald man die Accounts aktiviert, werden die Berechtigungen wieder korrekt übertragen. Leider setzt MAgE die Berechtigungen am Anfang der Synchronisation, bei späteren Übertragungen von Deltas werden die Rechte nicht erneut gesetzt. Startet man einen MailboxReSync über „Rechtsklick > Resynchronize„, so werden auch die Rechte erneut gesetzt. Leider muss man dies für alle Postfächer machen, deren Accounts zu Beginn der Synchronisation deaktiviert waren. Da man dies wahrscheinlich nicht mehr genau herausfinden kann, bedeutet es einen Full-Resync für alle Postfächer.

PS: ein „SmartResync“ reicht leider nicht aus, um die Berechtigungen erneut zu schreiben.