Как запретить пользователям общего почтового ящика удалять письма?

Question

[avgenj]

Добрый день, есть сервер MS Exchange 2013, есть общий почтовый ящик. Через веб оснастку некоторым пользователям даны права доступа к этому ящику, полный доступ в частности. Возникла потребность части этих пользователей ограничить возможности взаимодействия с этим ПЯ. В идеале они должны видеть этот ящик у себя, видеть письма, иметь возможность отправлять письма, но не иметь возможности удалять письма или перемещать. Как это сделать? Понятно, что нужно как-то нарезать права через PowerShell. Я пробовал убрать пользователя из ящика полностью, и сделать Add-mailboxfolderpermission -Identity [e-mail]:\Inbox -User user1 -AccessRights Reviewer. Но в почтовом клиенте (Outlook) почтовый ящик не появился, только через OWA его можно открыть, но там даже с этими правами можно делать с письма все что угодно. На счет того, что ящик не появился, допустим автомаппинг не работает, ладно. Но почему ограничения не сработали?

Answer 1

[Пума Тайланд]

Скорее всего FullAccess не снят до конца — через группу или висит старая ACE. Проверь:

Get-MailboxPermission [e-mail] | where AccessRights -match FullAccess

. Пока он есть хоть откуда — Reviewer игнорируется.

Reviewer нужен не только на :\Inbox, но и на :\ (root). Без этого папка не раскроется в Outlook.

Ящик без FullAccess в Outlook сам не появится — добавить вручную: Файл → Параметры учётной записи → Добавить ещё.

p.s. Send As в 2013 on-prem — Add-ADPermission ... -ExtendedRights 'Send As', а не Add-RecipientPermission (та Exchange Online).

Comments

[avgenj]

Принято.
Тогда вопрос к маппингу ящика.
Если даем такие права, то только вручную его подключаем?
Подключаем как если бы на один outlook 2ю учетку? Просто там пароль от ящика спрашивает, он там не задавался, да и не важно что вводишь, при запуске outlook он говорит ввести учетные данные для этого ящика. Если вводишь данные уз, которой права на чтение даны, то outlook их не принимает, если вводить данные тех, у кого полный доступ, то и в outlook этот ящик откроется с полным доступом.

[MaxKozlov]

avgenj, подключать лучше именно как дополнительный ящик, со страницы Файлы данных/параметры/дополнительно, а не ещё одну учётку
Можно ещё для подключения использовать Add-MailboxPermission -AutoMapping $true

[Пума Тайланд]

Именно из-за этого и просит — «вторая учётка» требует пароль от ящика. Как MaxKozlov написал, добавляй через Дополнительно → дополнительный ящик, тогда авторизуется через твои виндовые учётные данные без пароля.

[avgenj]

Принято, способ рабочий. Спасибо.
Тогда остался последний момент, права на чтение на папку Входящие, но внутри есть еще попдпапки, на каждую из них нужно команду повершелла посылать или есть способ назначить на все сразу?

Answer 2

[Роман Безруков]

"давно не брал я в руки шашки..."
как-то так я это делал:

Для ограниченного доступа - FullAccess нужно забрать и дать право Read, далее настраиваются права на папки через Outlook, а пользователь подключает чужой ящик как дополнительный.

1. Создать read-only-группу для тех, кому запретить удаление писем, группа должна быть MailEnabled, т. е. с почтовым адресом;
2. Добавить пользователя в эту группу, удалить из группы FullAccess;
3. Через Powershell дать права на п/я:

Add-MailboxPermission -Identity [e-mail] -User "test-Reviewers" -AccessRights ReadPermission -InheritanceType all
Add-MailboxFolderPermission -Identity [e-mail] -User "test-Reviewers" -AccessRights Reviewer

4. Через Outlook или Powershell дать права на все папки ящика read-only-группе:

Add-MailboxFolderPermission -Identity [e-mail]:\Inbox -User "test-Reviewers" -AccessRights Reviewer

Answer 3

[FastMax1998]

Очередная попытка построить ИТ-тюрьму ради галочки. Если сотруднику нужно работать с письмом, он его переслать себе сможет. Запрет Delete тут бесполезен.