Exchange Update failed – isn’t Member of Enterprise Admins

Möchte man einen Exchange installieren oder updaten und bekommt eine Reihe an Fehlermeldungen – unter anderem „This user account isn’t a member of the Enterprise Admins group“ – dann liegt die Vermutung nahe, dass sich der Master Schema Role DC nicht in der gleichen Active Directory Site befindet, wie der Exchange selbst. Doch fangen wir von vorne an.

Exchange Update/Installation failed

Führt man die Installationsroutine des Exchange ISOs aus, kommt man vor der eigentlichen Installation zum „Readiness Check“. Hierbei wird überprüft, ob alle Vorkehrungen getroffen wurden, damit das CU installiert werden kann. Steht ein Server Reboot aus oder werden relevante Prozesse blockiert – das und noch viele weitere Parameter werden vorab überprüft. Stößt man dabei auf eine Reihe von verschiedenen Fehlermeldungen:

Error:
The Active Directory Schema isn’t up-to-date, and this user account isn’t a member of the ‘Schema Admins’ and/or ‘Enterprise Admins’ groups.

Error:
Global updates need to be made to Active Directory, and this user account isn’t a member of the ‘Enterprise Admins’ group.

Error:
The local domain needs to be updated. You must be a member of the ‘Domain Admins’ group and ‘Organization Management’ role group, or ‘Enterprise Admins’ group to continue.

Error:
You must be a member of the ‘Organization Management’ role group or a member of the ‘Enterprise Admins’ group to continue.

Error:
You must use an account that’s a member of the Organization Management role group to install or upgrade the first Mailbox server role in the topology.

Error:
You must use an account that’s a member of the Organization Management role group to install the first Client Access server role in the topology.

Error:
You must use an account that’s a member of the Organization Management role group to install the first Client Access server role in the topology.

Error:
You must use an account that’s a member of the Organization Management role group to install or upgrade the first Mailbox server role in the topology.

Error:
You must use an account that’s a member of the Organization Management role group to install or upgrade the first Client Access server role in the topology.

Error:
You must use an account that’s a member of the Organization Management role group to install the first Mailbox server role in the topology.

Error:
Setup encountered a problem while validating the state of Active Directory: Exchange organization-level objects have not been created, and setup cannot create them because the local computer is not in the same domain and site as the schema master.  Run setup with the /prepareAD parameter on a computer in the domain {root-domain} and site (site-name}, and wait for replication to complete.  See the Exchange setup log for more information on this error.

Error:
The forest functional level of the current Active Directory forest is not Windows Server 2003 native or later. To install Exchange Server 2013, the forest functional level must be at least Windows Server 2003 native.

Error:
Either Active Directory doesn’t exist, or it can’t be contacted.

Die Problemlösung

Benötigten Berechtigungen

Schaut man sich die Reihe der Fehlermeldungen an, könnte man schon leicht in Panik verfallen aber arbeiten wir die Fehler nach einander ab. Zu aller erst müssen wir sicherstellen, dass sich unser Benutzer tatsächlich in folgenden Gruppen befindet:

• Domain Admins
• Enterprise Admin
• Schema Admins

Ist das der Fall und tritt die Fehlermeldung auch nach einem Reboot des Servers auf, kommen wir zum nächsten Punkt.

Master Schema Role

Möchte die Exchange Installationsroutine ein Schema Update am Active Directory durchführen, ist es wichtig, dass sich die FSMO Role „Schema Master“ auch tatsächlich in der gleichen AD-Site befindet, wie der Exchange selbst. Ist das nicht der Fall, kommt es zu den oben angeführten Fehlermeldungen. Um zu überprüfen, welcher Server momentan die Schema Master Role hält, öffnen wir eine Eingabeaufforderung und führen den Befehl „netdom query fsmo“ aus:

C:\Users\administrator>netdom query fsmo
Schema master               FRDC02.test.local
Domain naming master        FRDC02.test.local
PDC                         FRDC02.test.local
RID pool manager            FRDC02.test.local
Infrastructure master       FRDC02.test.local
The command completed successfully.

Sollte man seine Umgebung nicht gut genug kennen, damit man auf den ersten Blick feststellen kann, in welcher Site sich der DC befindet, kann man sich das „Active Directory Sites and Services“ Modul zur Hilfe nehmen. Nun muss man nur noch die Schema Master Rolle via Powershell auf den DC innerhalb der Exchange Site migrieren.

PS C:\Users\administrator> Move-ADDirectoryServerOperationMasterRole -Identity NBDC01 -OperationMasterRole SchemaMaster
Move Operation Master Role
Do you want to move role 'SchemaMaster' to server 'NBDC01.test.local' ?
[Y] Yes  [A] Yes to All  [N] No  [L] No to All  [S] Suspend  [?] Help (default is "Y"): y

PS C:\Users\edert> netdom query fsmo
Schema master               NBDC01.test.local
Domain naming master        FRDC02.test.local
PDC                         FRDC02.test.local
RID pool manager            FRDC02.test.local
Infrastructure master       FRDC02.test.local
The command completed successfully.

Führt man die Installation des Exchange ISOs jetzt aus, sollten die Fehlermeldungen nicht mehr auftauchen. Nachdem das Setup ausgeführt wurde, muss natürlich die Schema Master Rolle wieder auf den ursprünglichen DC zurückgeschoben werden. Weitere Informationen zu den FSMO Roles gibt es direkt in diesem Microsoft Docs Artikel.