Michael Uray's questions

我确实遇到了丢失通过组分配的所有公用文件夹权限的情况。

在从我们的 MSEX2016 服务器开始迁移到 Office 365 之前，所有权限都导出到 XML 文件中，我认为（在此Microsoft 页面上描述）发生在以下命令中：

Get-PublicFolder -Recurse -ResultSize Unlimited | Get-PublicFolderClientPermission | Select-Object Identity,User,AccessRights -ExpandProperty AccessRights | Export-CliXML OnPrem_PFPerms.xml

输出文件“OnPrem_PFPerms.xml”大约有 5 GB。仅对大约 300 GB PF 结构的权限对我来说听起来很重要，但这可能是由于 XML 格式的复杂性造成的。7-Zip 压缩使其降至 25 MB，这意味着其中有很多冗余数据。

在我们之前迁移到 MSEX2016 的 MSEX2010 上，有一个大约 500 MB 的“Legacy_PFPerms.xml”文件。

将 XML 文件中的所有权限应用于 Office 365 / Exchange Online 上的公用文件夹结构的正确 PowerShell 命令是什么？

我猜 Import-CliXML 会以某种方式完成这项工作，但我不太熟悉 PowerShell 来构建正确的命令。

我们安装了一个新的 Exchange 2016 服务器并将所有邮箱从 Exchange 2010 服务器迁移到它。然后我们将所有邮箱和公用文件夹从 MSEX2016 迁移到 Office 365，我们降级并关闭了 MSEX2010。本地 AD 通过我们的一台本地服务器上的 Azure AD 连接器与 Azure AD 同步。

这工作了几个星期没有问题。所有客户端都能够访问 O365 上的公用文件夹及其邮箱。

昨天我们降级了 MSEX2016，它在几天前已经关闭进行测试。上面没有激活 PF，但无法以常规方式删除数据库，因为它始终显示服务器仍处于迁移模式。手动设置属性（如 MigrationComplete...）并没有帮助，我们最终使用 force 选项删除了它们，将服务器降级并关闭了它。

之后，在客户端上出现消息，Exchange 管理员执行了需要重新启动 Outlook 客户端的更改。不确定为什么会出现此消息，因为所有客户端都已连接到 O365，并且不应该与旧的 MSEX2016 建立任何连接。

昨天，我还更改了 Azure AD 连接器，它只同步一些需要的 OU。

今天出现的问题是没有人能够再访问PF了。然后我发现，分配组的文件夹权限上的 SID 显示为未知。

用户 SID 看起来不错，问题仅出在组上。我首先认为这可能与 Azure AD 连接器的 OU 限制有关，我重新激活了之前的完全同步，但它没有帮助。

我也无法通过 WebGUI 更改任何权限，最终会出现以下消息。

`系统在计算 Lambda 表达式时引发异常：[ Boolean(@0[ApplyToSubFolders]) ] 调用目标已引发异常。错误

系统在计算 Lambda 表达式时抛出异常：[ Boolean(@0[ApplyToSubFolders]) ] 调用目标已抛出异常。`

我能够在根 PF 中创建一个新的“测试”文件夹，但我无法通过 WebGUI 在那里设置任何权限。

可以通过 Outlook 客户端更改权限。如果我删除其中一个组权限并重新添加它，则会显示 SID 并且一切正常。对我来说意味着所有组通常在 O365 上都是已知的（它们也显示在 Exchange Admin WebGUI 中），但是在现有权限上它们没有分配给它。

为什么无法通过 WebGUI 设置 PF 权限？

为什么它失去了从现有公用文件夹组权限到 SID 的分配以及如何在不手动删除和重新添加所有权限的情况下修复它？

编辑 1（2021 年 10 月 18 日星期一）：

与此同时，组权限完全消失了。

编辑 2（星期四 2021-10-21）：

自周一以来，有一张微软的罚单开放，但他们无法解释为什么权限消失了，他们的软件工程师正在努力弄清楚发生了什么。他们还在调查为什么无法通过 WebGUI 设置权限。他们提出的解决方案是使用 Outlook 或 PowerShell 手动设置所有文件夹的所有权限，因为我们有大约 2700 个文件夹，所以我并不满意。他们不愿意（“构建自定义脚本通常超出我们的支持范围”）提供一个脚本来重新应用迁移期间创建的 XML 文件的权限，并且他们没有出现任何其他解决方案来获得权限回来了。

同时，我能够使用自己创建的脚本和社区的支持重新应用公用文件夹权限。

编辑 3（星期六，2021-10-30）

MS 说，WebGUI 权限设置的问题是众所周知的：“报告的问题是由已知问题引起的（我们的产品工程团队正在从后端解决）”他们建议使用 Outlook 客户端或 PowerShell更改公用文件夹的权限。

他们进一步说我不能证明权限没有被管理员活动删除，因为我们的审计日志没有启用（根据 MS 默认），我无法显示有关它的记录。我再次向他们发送了我的屏幕截图，其中显示了组权限上缺少 SID 的奇怪情况，以指出这是 MS 基础架构中的问题。我是唯一拥有管理员权限的人，我确信我没有删除公共文件夹的权限。

编辑 4（2021 年 11 月 14 日，星期日）

MS 的回答：“关于通过管理中心 UI 分配权限的问题，我的同事建议这个问题已经在外部发布，因为这个问题现在已经知道了一段时间。如前所述，我们的产品工程团队目前正在努力正在开发一个永久修复程序，但是，目前没有具体的 ETA，因此我们无法完全确定何时可以得到解决。有关更多信息，您还可以参考EAC 中的公用文件夹权限和设置不传播文章（它还包括我们建议的 PowerShell 脚本，这是我们同事提供的针对此问题的官方解决方法）。”

“根据您迄今为止与我们共享的信息（包括来自 EAC 的屏幕截图，其中显示了缺少的 SID），我的同事怀疑受影响的公用文件夹已正常迁移到 Exchange Online，但是，授予权限的邮件安全组到用户之后没有同步（或同步过程存在问题）。因此，这些权限组被认为是孤立的/陈旧的，并已被我们的一致性代理删除，该代理每 7 天在后端运行一次。 " “话虽如此，这种行为是设计使然，但遗憾的是，我们无法完全确认为什么权限首先被检测为陈旧。有关此问题的更多信息，来自 Exchange 开发团队的帖子，其中解释了代理的工作原理。”

我为 OpenWRT (LEDE) 路由器 LUCI (uHTTPd) 系统分配了一个自签名通配符证书。签署此证书的 CA 已作为受信任的证书颁发机构添加到所有浏览器。

它在 Internet Explorer、Edge 和 Chrome 上运行良好，但在 Firefox 58.0.2 上运行良好，即使它在同一错误页面上声明为该域颁发了证书，也会引发错误 SSL_ERROR_BAD_CERT_DOMAIN。

如果我直接为主机颁发证书（没有通配符），那么它在 FF 中也可以正常工作。

什么可能导致这个问题？