解决Outlook M365中阻止发件人时出现的‘权限不足’问题

我来针对你遇到的这个问题详细拆解一下，结合你的环境情况给出根因分析和长期解决方案：

一、问题背景回顾 #

当你在Outlook M365桌面端右键邮件选择「阻止发件人」时，这个操作会尝试更新本地AD用户对象的msExchBlackedSenderHash属性，同步到Entra ID时就触发了“权限不足”的错误；而你通过AD用户和计算机里恢复该账户的默认权限后，同步就能正常完成。而且这个问题特别集中在拥有Domain Admins或Account Operators权限的高权限账户上。

二、根因技术分析 #

这个问题的核心其实和AD的保护管理组（Protected Groups）机制有关：

1. 高权限账户的权限限制：Domain Admins、Account Operators这类内置高权限组的成员账户，AD会自动启用保护机制——移除部分继承权限，防止普通用户篡改高权限账户的属性。这是AD的安全默认行为，避免高权限账户被恶意修改。
2. 属性更新的权限冲突：当你在Outlook中阻止发件人时，Exchange Online会通过AD Connect尝试反向同步（或者说触发本地AD属性更新），来修改msExchBlackedSenderHash这个存储阻止发件人哈希值的属性。但负责同步的AD Connect服务账户（通常是MSOL_xxxxxx格式的账户），因为高权限账户的保护机制，没有足够的权限修改这个属性，于是就抛出了“权限不足”的错误。
3. 临时修复的原理：你通过「属性>安全>高级>恢复默认值」的操作，其实是重新启用了该账户的权限继承，让AD Connect服务账户重新获得了修改msExchBlackedSenderHash的权限，所以同步暂时恢复正常。但要注意，AD的Protected Groups机制会定期（默认每60分钟）重置这些账户的权限，所以这个修复是临时的，问题很可能会复发。

三、长期解决方案（避免反复修复） #

根据你的混合环境情况，推荐以下几种长期解决思路：

1. AD层面调整（最彻底的方案） #

针对Protected Groups的权限模板做修改，让AD Connect服务账户永久拥有修改目标属性的权限：

• 首先打开AD用户和计算机的「视图>高级功能」，找到「系统>AdminSDHolder」对象，这是所有受保护高权限账户的权限模板。
• 打开它的「属性>安全>高级」，点击「添加」，找到你的AD Connect服务账户（格式一般是MSOL_xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx）。
• 给这个服务账户分配仅针对msExchBlackedSenderHash属性的写入权限：在权限设置里，选择「属性」类型，勾选「写入msExchBlackedSenderHash」，其他权限保持默认。
• 保存设置后，AD会在下次权限重置时，让所有受保护的高权限账户自动继承这个权限，这样AD Connect就能正常修改该属性，不会再触发权限错误。

2. AD Connect层面调整（简化方案） #

如果你的环境不需要把Exchange Online的设置（比如阻止发件人）同步回本地AD，可以直接关闭Exchange属性写回功能：

• 打开Azure AD Connect配置向导，选择「更改同步选项」，取消勾选「Exchange属性写回」，完成配置更新。
• 这样操作后，Outlook中阻止发件人的设置只会保存在Exchange Online中，不会触发本地AD的属性更新，自然就不会遇到权限问题。

3. Outlook/M365层面调整（临时规避方案） #

让高权限用户改用Outlook网页版或者Exchange Admin Center（EAC）来设置阻止发件人：

• 网页端的阻止发件人操作只会在Exchange Online中生效，不会触发本地AD的属性同步，完美规避权限冲突问题。适合暂时无法调整AD或AD Connect配置的场景。

四、结合你的环境额外建议 #

考虑到你们还在退役Exchange 2010，邮件已经直接路由到M365，建议：

• 尽快完成Exchange 2010的退役工作，之后完全依赖Exchange Online的设置，关闭AD Connect的Exchange属性写回功能，彻底消除跨环境的同步权限问题。
• 如果暂时无法退役Exchange 2010，优先采用AD层面的AdminSDHolder权限调整方案，这是最适合混合环境的长期解决办法。

备注：内容来源于stack exchange，提问作者Pimp Juice IT