Exchagne2010角色權限委派控制

  對于公司一般都會有人員的調動，比如變更使用者所屬部門，所屬上司，居住位址，電話号碼等等操作，如果以上的工作都是由郵件管理者來完成就顯得不太合理了。其實我們可以指派HR郵箱來完成以上操作，這樣既可以減輕管理者的工作量，又可以有效地加快了更改使用者屬性的效率。下面是具體的操作步驟：

1. 管理者有權限管理其他使用者的郵箱，更改郵箱設定。但是把這樣大的權限委派給HR是不實際的。

<a href="http://yueque.blog.51cto.com/attachment/201407/25/4580340_1406303776iYeH.jpg" target="_blank"></a>

2. 普通使用者隻能更改自己的郵箱設定。

<a href="http://yueque.blog.51cto.com/attachment/201407/25/4580340_14063037796tIs.jpg" target="_blank"></a>

3. 為了實作以上的功能，首先建立HR管理組HR_admin，組的類型是安全組。

<a href="http://yueque.blog.51cto.com/attachment/201407/25/4580340_1406303782ZORZ.jpg" target="_blank"></a>

4. 将HR郵箱添加到HR_admin組。

<a href="http://yueque.blog.51cto.com/attachment/201407/25/4580340_1406303785gD5B.png" target="_blank"></a>

5. 建立HR_Recipient_Role管理角色，Mail Recipients為系統預設的管理角色，一般情況下，不建議更改exchange預設的政策，是以要新建立。

New-ManagementRole -Name HR_Recipient_Role -Parent "Mail Recipients"

<a href="http://yueque.blog.51cto.com/attachment/201407/25/4580340_1406303786ZQ3t.jpg" target="_blank"></a>

6. 将建立的HR_Recipient_Role管理角色指派給HR_admin組，并命名為HR_Admin_Role。

New-ManagementRoleAssignment -Name HR_Admin_Role -Role HR_Recipient_Role -SecurityGroup HR_admin

<a href="http://yueque.blog.51cto.com/attachment/201407/25/4580340_1406303787mKja.jpg" target="_blank"></a>

7. 檢視HR_Recipient_Role管理角色所具備的權限。

Get-ManagementRoleEntry HR_Recipient_Role\* | FT Name,Role,Parameters -AutoSize

<a href="http://yueque.blog.51cto.com/attachment/201407/25/4580340_14063037903XFZ.jpg" target="_blank"></a>

8. 删除HR_Recipient_Role多餘的權限，隻保留get-user、set-user、get-mailbox、Get-Recipient權限。

Get-ManagementRoleEntry HR_Recipient_Role\* | where {($_.Name -NotLike "*et-User") -and ($_.Name -NotLike "get-mailbox") -and ($_.Name -NotLike "Get-Recipient")} | Remove-ManagementRoleEntry

<a href="http://yueque.blog.51cto.com/attachment/201407/25/4580340_14063037945WDA.jpg" target="_blank"></a>

9. 檢視HR_Recipient_Role是否隻剩下自定義的四個權限。

Get-ManagementRoleEntry HR_Recipient_Role\* | FT Name,Role,Parameters -Autosize

<a href="http://yueque.blog.51cto.com/attachment/201407/25/4580340_1406303796tWbC.jpg" target="_blank"></a>

10. 使用HR郵箱賬戶打開ecp管理頁面，發現HR郵箱多了“管理我的組織”的選項。

<a href="http://yueque.blog.51cto.com/attachment/201407/25/4580340_1406303800eaEy.jpg" target="_blank"></a>

11. 這裡可以定義使用者的屬性，例如稱謂、部門等等。

<a href="http://yueque.blog.51cto.com/attachment/201407/25/4580340_1406303803lJxO.png" target="_blank"></a>

12. HR沒有權限編寫使用者的“其他電子郵件位址”。

<a href="http://yueque.blog.51cto.com/attachment/201407/25/4580340_140630380695fR.png" target="_blank"></a>

本文轉自 月缺 51CTO部落格，原文連結：http://blog.51cto.com/yueque/1530301，如需轉載請自行聯系原作者