ExchangeServer

Exchange RBAC (Role Based Access Control)

Overview

Das RBAC-Modell von Exchange vergibt Verwaltungsrechte über Management Roles, die Cmdlets und Parameter freigeben. Rollen werden Rollengruppen zugewiesen, deren Mitglieder dann die Rechte erhalten. Bereiche (Scopes) begrenzen, auf welche Objekte sich Rechte beziehen. Es gilt für Exchange Server und Exchange Online. Für Anwendungen in Exchange Online gibt es Application RBAC, das ältere Application Access Policies ersetzt.

How it works

Eine Role Group fasst Mitglieder und Rollen zusammen. Built-in Gruppen sind etwa Organization Management und Recipient Management. Eigene Rollengruppen lassen sich mit begrenzten Rechten anlegen. Scopes begrenzen auf Organisationseinheiten, Server oder Filter. Mit Get-ManagementRoleAssignment lassen sich Rechte auswerten. Split Permissions trennt Exchange- und Active-Directory-Rechte.

Benefits

  • Prinzip der minimalen Rechte für Admins
  • Delegation ohne Vollzugriff
  • Nachvollziehbare Rechtevergabe
  • Gleiches Modell On-Premises und in der Cloud

Practical example

Der Helpdesk darf Postfächer anlegen und Passwörter zurücksetzen, aber keine Transportregeln ändern. Die IT erstellt dafür eine eigene Rollengruppe mit eingeschränkten Rollen.

Conclusion

Gutes RBAC verhindert Rechtewildwuchs. Beginne mit den Standardgruppen und baue eigene nur bei Bedarf.

Further reading

Related articles