Как ограничить права администраторам Exchange 2013?

Question

[Иван Трофимов]

Есть техподдержка с ограниченными правами на Exchange Server 2013. Создают пользователей в AD, почтовые ящики на Exchange, могут менять данные о пользователях, включать архив для почтового ящика.

Assigned Roles:

• Active Directory Permissions
  
• Distribution Groups
  
• Mail Recipient Creation
  
• Mail Recipients
  
• User Options
  

Эти пользователи могут управлять Mailbox Delegation у пользователей и как следствие могут дать своей учётке доступ к ящику пользователей и прочитать их письма. Можно ли как-то ограничить этот функционал?

Answer 1

[akelsey]

Если по работе им может потребоваться "Mailbox Delegation", то лучше всего настроить AdminAuditLog, и просто мониторить получение не одобренного доступа (создать процесс на запрос подобного доступа) и соответствующе наказывать.
PS
Если же всё же требуется убрать добавление прав на почтовый ящик, нужно создать новую роль "My Mail Recipients" - родительской взять "Mail Recipients" и убрать оттуда командлет "Add-MailboxPermission.

Comments

[Иван Трофимов]

Для административных целей не требуется этот функционал, поэтому лучше заблокировать. Но всё равно спасибо за наводку.