Erreur d'autorisation lors de l'activation de AD RMS for Exchange

J'ai récemment rencontré une étrange erreur d'autorisation en essayant d'activer les services de gestion des droits d'Active Directory (AD RMS) pour un serveur Exchange 2010 sur site et j'ai pensé que le monde entier pourrait bénéficier de mon expérience dans la résolution du problème.

Après avoir rempli toutes les conditions préalables appropriées pour activer AD RMS dans Exchange, y compris l'octroi des autorisations appropriées pour le groupe Exchange Servers sur le fichier ServerCertification.asmx et l'activation de la fonctionnalité AD RMS Super Users à l'aide d'un groupe contenant l'utilisateur Exchange approprié, lorsque j'ai exécuté le PowerShell command pour activer AD RMS pour Exchange (Set-IRMConfiguration -InternalLicensingEnabled $True), j'ai reçu une erreur d'autorisation :

The request failed with HTTP status 401: Unauthorized. ---> Failed to get Server Info from https://rms.example.com/_wmcs/certification/server.asmx.
    + CategoryInfo          : InvalidOperation: (:) [Set-IRMConfiguration], Exception
    + FullyQualifiedErrorId : F08D1A6C,Microsoft.Exchange.Management.RightsManagement.SetIRMConfiguration

J'ai consulté le journal des événements du serveur Exchange pour obtenir plus d'informations, mais je n'ai rien trouvé d'utile. J'ai vérifié les journaux des événements de l'application et du système sur le serveur AD RMS, mais là encore, rien d'utile. J'ai activé le débogage sur le serveur AD RMS et j'ai tenté d'accéder au site command tout en examinant la sortie du débogage. Là encore, rien d'utile. J'ai pensé qu'il pouvait s'agir d'un problème d'authentification intégrée (ayant récemment rencontré un bogue apparent avec AD RMS et l'authentification intégrée lié à Internet Explorer 9), j'ai donc joué un peu avec ces paramètres, mais rien n'a été fait. J'ai donc joué un peu avec ces paramètres, mais rien n'y faisait. Finalement, j'ai trouvé la clé qui m'a mis sur la bonne voie. Dans le journal des événements de sécurité (ou d'audit) du serveur AD RMS (qui passe beaucoup de temps à regarder le journal des événements d'audit ?), j'ai trouvé une instance de ceci pour chaque tentative de Set-IRMConfiguration command :

Log Name:      Security
Source:        Microsoft-Windows-Security-Auditing
Date:          4/29/2013 10:26:18 AM
Event ID:      4625
Task Category: Logon
Level:         Information
Keywords:      Audit Failure
User:          N/A
Computer:      rms.example.com
Description:
An account failed to log on.

Subject:
	Security ID:		NULL SID
	Account Name:		-
	Account Domain:		-
	Logon ID:		0x0

Logon Type:			3

Account For Which Logon Failed:
	Security ID:		NULL SID
	Account Name:		EXCHANGE$
	Account Domain:		EXAMPLE

Failure Information:
	Failure Reason:		Unknown user name or bad password.
	Status:			0xc000006d
	Sub Status:		0xc000006a

Process Information:
	Caller Process ID:	0x0
	Caller Process Name:	-

Network Information:
	Workstation Name:	EXCHANGE
	Source Network Address:	10.9.8.5
	Source Port:		30957

Detailed Authentication Information:
	Logon Process:		NtLmSsp
	Authentication Package:	NTLM
	Transited Services:	-
	Package Name (NTLM only):	-
	Key Length:		0

This event is generated when a logon request fails. It is generated on the computer where
access was attempted.

The Subject fields indicate the account on the local system which requested the logon.
This is most commonly a service such as the Server service, or a local process such as
Winlogon.exe or Services.exe.

The Logon Type field indicates the kind of logon that was requested. The most common types
are 2 (interactive) and 3 (network).

The Process Information fields indicate which account and process on the system requested
the logon.

The Network Information fields indicate where a remote logon request originated.
Workstation name is not always available and may be left blank in some cases.

The authentication information fields provide detailed information about this specific
logon request.
	- Transited services indicate which intermediate services have participated in
          this logon request.
	- Package name indicates which sub-protocol was used among the NTLM protocols.
	- Key length indicates the length of the generated session key. This will be 0
          if no session key was requested.

Qu'est-ce que c'est ? Ce message me dit que mon serveur AD RMS n'aime pas le nom d'utilisateur ou le mot de passe du compte machine de mon serveur Exchange. Mais le serveur AD RMS et le serveur Exchange sont reliés au même domaine AD et aucun des deux ne produit de messages de journal d'événements indiquant qu'il y a un problème avec le compte de machine ou le mot de passe.

J'utilise donc ADSI Edit pour vérifier l'historique des changements de mot de passe sur le compte machine du serveur Exchange et je constate que le nombre de mauvais mots de passe pour ce compte s'élève à trois. Il est clair que c'est le mot de passe qui pose problème. Je sors l'outil nltest et lance quelques commandes sur le serveur Exchange pour voir ce qu'il en est. Cela ne révèle aucun problème, mais je décide tout de même de forcer le changement de mot de passe du compte machine.

Dans une invite élevée command (en fait ma session PowerShell élevée) sur le serveur Exchange que j'exécute :

nltest /sc_change_pwd:example.com

Puis je réessaie mon Set-IRMConfiguration command . Et voilà ! Cela fonctionne parfaitement.

La façon dont le mot de passe du compte machine du serveur Exchange s'est retrouvé dans un état où AD et le serveur Exchange lui-même étaient apparemment satisfaits, mais où AD RMS ne l'était pas, reste un mystère.