如何通过Exchange丰富的权限管理功能来实现企业邮件系统权限管理，已备受企业关注。但Exchange的权限管理模型非常复杂，很多Exchange运维人员望而止步。本文将抽取数个企业最常用的权限管理模型来进行说明，帮助Exchange管理员能更好的了解Exchange2013权限管理。
 
 
【正文】
 
Exchange 2013提供了丰富的权限管理功能，企业管理员可以通过Exchange 2013内置的管理角色、管理角色组来自定义邮件系统管理员的权限和管理范围。
Microsoft Exchange Server 2013的权限管理基于“角色的访问控制 (RBAC)”。
 

一  定义

Role Based Access Control (RBAC) ，是用于 Microsoft Exchange Server 2013 的权限模型。
角色分为两种类型：
管理角色：可以管理 Exchange 组织的用户或组。
最终用户角色：可以管理其自己的邮箱及其拥有的通讯组的用户。
角色组，使用角色组可以向管理角色授予权限。
角色分配策略，为角色提供不同级别的权限。
作用域，是对角色分配产生影响的作用域。
 
 

 
 

二  关系图

若想更形象的理解Exchange各组件之间的关系，可以参考下图。
 

2.1 用户、角色组和角色之间的关系

 
角色组包含了：Exchange角色（定义权限）和AD成员（AD内的通用组或者AD内的用户）
应用与成员的角色，定义了角色组的管理范围，管理员只可以管理此范围内的Exchange资源（包括用户、Exchange数据库、Exchange服务器、Exchange功能等）
 

 
 

三  权限细则

3.1 内置角色组

内置的角色组已经定义了管理功能和范围，基础的权限管理需求可以通过将AD对象添加到组中来实现权限划分。

3.2 内置管理角色

Exchange内置的管理角色已经关联了相应的角色管理策略，每种管理角色都包含一定的管理功能。

3.3 自定义作用域

OU 作用域   
OU 作用域是最简单的自定义作用域，使用 New-ManagementRoleAssignment cmdlet 的 RecipientOrganizationalUnitScope 参数来创建。通过在分配角色时指定 OU 作用域，分配了该角色的角色受理人仅可以修改此 OU 内的收件人对象。
 
收件人筛选作用域   
收件人筛选作用域按收件人类型或其他收件人属性（如部门、管理员、位置等），使用筛选器将特定的收件人作为目标。
 
配置作用域  
 配置作用域按服务器列表或可以在服务器上定义的可筛选属性（如 Active Directory 站点或服务器角色），使用筛选器或列表将特定的服务器作为目标。配置作用域还可以按数据库列表或可筛选数据库属性，使用数据库作用域将特定的数据库作为目标。
 
有关更多地详细内容可以参考微软官方帮助文档：
http://technet.microsoft.com/en-us /library/dd335146(v=exchg.150).aspx
 

四  如何进行权限定义和管理

Exchange 2013的权限管理，就是将“AD用户“ > ”Exchange管理组“ > ”Exchange管理角色“ > ”Exchange管理作用域”进行关联的过程。
基本思路如下：
示例：希望，用户A可以管理“MY”OU下所有用户的 “Exchange邮箱”
 

• 创建组：首先创建一个Exchange自定义管理组“MY Manager“
• 分配权限：为管理组分配邮箱管理权限
• 关联作用域：将管理组的作用域定义为“MY”OU
• 添加用户：向管理组添加用户A

管理权限分配，可以通过Exchange管理控制界面（EAC）或者Exchange Powershell命令行工具来实现。
可以为每个Exchange自定义管理组分配多个Exchange管理角色，以实现企业邮件管理员的权限划分。
 

4.1 如何为用户配置自定义权限

4.1.1使用 EAC 创建角色组，分配作用域，选择用户

在 Exchange 管理中心 (EAC) 中，导航到“权限”>“管理员角色”，然后单击“添加”  。
在“新建角色组”窗口中，提供新角色组的名称。
您可以现在选择要分配给角色组的角色以及要添加到角色组的成员，也可以另选时间执行此操作。
选择要应用于新角色组的写入作用域。
单击“保存”创建角色组。
 

4.1.2使用命令行管理程序创建角色组，分配作用域，选择用户

可以通过New-RoleGroup命令来进行角色组创建。
示例：
New-RoleGroup -Name "Limited Recipient Management" -Roles "Mail Recipients", "Mail Enabled Public Folders" -Members Kim, Martin – RecipientOrganizationalUnitScope contoso.com/Engineering/User
本示例将创建一个自定义角色组Limited Recipient Management（创建组）。将向该角色组分配 Mail Recipients 和 Mail Enabled Public Folders 角色（分配权限），并会将用户 Kim 和 Martin 添加为成员（分配用户），并配置作用域限制为 contoso.com/Engineering/Users OU（关联作用域），Kim 和 Martin 可以为Users OU中的任何用户管理任何收件人和重置密码。
 

4.2 更多操作

更多详细的权限管理组权限操作可以参考微软的官方文档：
http://technet.microsoft.com/en-us/library/jj657480(v=exchg.150).aspx
文档内包含了“创建角色组”，“复制角色组”，“删除角色组”，“查看角色组”，“向角色组添加角色”，“从角色组中删除角色”，“更改角色组的作用域”，“添加或删除角色组委派”等内容。