crofex
Goto Top

Bei neuanlage eines Postfachs Vollzugriff für eine Gruppe

Hallöchen!

Habe gerade mit dem Befehl
Get-Mailbox | ? {$_.Servername -eq "EXCHANGESERVER"} | Add-MailboxPermission -User Exchange_Admins -AccessRights FullAccess -InheritanceType All -AutoMapping $false  
der Gruppe Exchange_Admins den Vollzugriff für alle User mit Postfach auf dem Server "EXCHANGESERVER" vergeben. Kann mir von euch jemand sagen wie ich es jetzt hinbekomme, dass diese Gruppe auch bei neu angelegten Usern dieses Recht bekommt?

Gruß
Chris

Content-ID: 231865

Url: https://administrator.de/forum/bei-neuanlage-eines-postfachs-vollzugriff-fuer-eine-gruppe-231865.html

Ausgedruckt am: 23.12.2024 um 06:12 Uhr

colinardo
Lösung colinardo 06.03.2014, aktualisiert am 25.04.2014 um 17:51:20 Uhr
Goto Top
Hallo Chris,
du könntest die Rechte auf die Mailbox-Datenbank vergeben und an alle Unterobjekte vererben, dann bekommen neue Mailboxen automatisch die Rechte zugewiesen:
Add-ADPermission –identity "mailbox database" –user "Exchange_Admins" -AccessRights GenericAll -InheritanceType ALL

Eine sehr interessante Alternative dazu die man ab Exchange 2010 anwenden kann, sind die Scripting-Agents mit welchen man CMDLet-Commands des Servers überwachen kann, wenn z.B. mit irgendwo auf dem System mit New-Mailbox ein neuer User angelegt wird, kann automatisch ein Script darauf reagieren und entsprechende Powershell Befehle darauf absetzen.
Exchange - Nutzung der Cmdlet Extension Agents (Scripte automatisch bei Ereignissen ausführen lassen)

Grüße Uwe
Crofex
Crofex 07.03.2014 um 08:32:36 Uhr
Goto Top
Wird denn bei der Useranlage über die GUI auch nur ein PS-Script angestoßen? Ich meine so wie man es bei aktuellen Installationen aus dem Hause M$ kennt, wo unten dann noch der Button ist: "Script anzeigen"? Achja, Exch 2013 ist im Einsatz.
Crofex
Crofex 07.03.2014 um 09:01:55 Uhr
Goto Top
Hey Uwe, danke für die Hilfe. Da deine Syntax auf Exchange 2013 so nicht funktionieren wollte und ich auf einem Freitag Morgen zu faul bin mir die korrekte Syntax zusammen zu basteln hab ich die ganze geschichte über den AD-Explorer auf GUI-Ebene gelöst. Trotzdem war dein Denkanstoß der Richtige.

Für alle anderen die es ebenfalls lieber grafisch mögen:

Download ADSIEdit or AD Explorer. AD Explorer is better but requires .NET .

-Navigate to Configuration\Services\Microsoft Exchange\organization-name\Administrative Groups\Exchange Administrative Group\SERVERNAME.
-Go to the properties of this 'folder' and choose the security tab. Add the user you wish to have access to all databases on this server, giving them full control rights. Ensure there are no deny attributes being inherited at the administrative group or organization level. By default Exchange administrators have deny rights applied.   

It is not possible to give permissions to just a single database using this method as if security is applied at a child level the option to apply to child objects is disabled as ADSIEdit does not see the child mailboxes. 
colinardo
colinardo 07.03.2014 aktualisiert um 09:26:29 Uhr
Goto Top
Zitat von @Crofex:
Wird denn bei der Useranlage über die GUI auch nur ein PS-Script angestoßen? Ich meine so wie man es bei aktuellen Installationen aus dem Hause M$ kennt, wo unten dann noch der Button ist: "Script anzeigen"?
... bei allem was die entsprechenden CMDLets nutzt, z.B. auch die EMC. Musst du halt mal testen, ich finde die Möglichkeit genial.

Hey Uwe, danke für die Hilfe. Da deine Syntax auf Exchange 2013 so nicht funktionieren wollte und ich auf einem Freitag Morgen zu faul bin mir die korrekte Syntax zusammen zu basteln
OK, da stimmte die Syntax der AccessRights nicht, habe es oben korrigiert. Der Name der Mailbox-Datenbank ist natürlich auch anzupassen. Klar über ADSIEdit ist das natürlich auch zu machen, wollte mir halt die "Klick hier klick da" Erläuterung sparen face-wink Danke für die Ergänzung.

Grüße Uwe
Crofex
Crofex 07.03.2014 um 09:31:38 Uhr
Goto Top
Zitat von @colinardo:
... bei allem was die entsprechenden CMDLets nutzt, z.B. auch die EMC. Musst du halt mal testen, ich finde die Möglichkeit
genial.

Das es diese Möglichkeit gibt ist wirklich super. Evtl kann man dies für andere Probleme/Aufgaben nochmal verwenden.