> For the complete documentation index, see [llms.txt](https://docs.realmjoin.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.realmjoin.com/de/automatisierung/runbooks/runbook-references/user/mail/delegate-full-access.md). # Vollzugriff delegieren Vollzugriff auf die Mailbox dieses Benutzers gewähren oder entfernen ### Beschreibung Gewährt einer oder mehreren Personen vollen Zugriff auf das Postfach dieses Benutzers oder entfernt diesen Zugriff wieder. Optional öffnet sich das Postfach automatisch in Outlook der Delegierten. Die Berechtigungen werden vor und nach der Änderung angezeigt, und ein Fehler bei einem Delegierten stoppt die anderen nicht. ### So funktioniert es Bei jedem Lauf macht das Runbook Folgendes: 1. Verbindet sich mit Exchange Online mithilfe der verwalteten Identität des Automation-Kontos. 2. Überprüft, ob der ausgewählte Postfachbesitzer (`Benutzername`) tatsächlich ein Postfach hat - wenn nicht, wird der Lauf beendet, bevor irgendetwas geändert wird. 3. Löst jeden ausgewählten Delegierten in seine primäre SMTP-Adresse auf und entfernt Duplikate sowie den Postfachbesitzer selbst. 4. Liest die aktuellen **FullAccess** Delegierungen am Postfach aus und gibt sie aus (der *Ist-Zustand*). 5. Gewährt oder entfernt FullAccess für jeden verbleibenden Delegierten einzeln. 6. Liest die Postfachberechtigungen erneut ein und gibt den resultierenden Zustand sowie eine Zusammenfassung pro Lauf aus. Das Runbook berührt nur das **FullAccess** Recht am einen ausgewählten Postfach. Send As, Send on Behalf und Berechtigungen auf Ordnerebene sind nicht betroffen. #### Auswahl von Delegierten Das **Delegate access to** Feld ist eine **Mehrfachauswahl** Benutzerauswahl. Wählen Sie so viele Delegierte wie nötig aus - alle erhalten dieselbe Aktion (*Zugriff gewähren* oder *Zugriff entfernen*) und dieselbe AutoMapping-Einstellung aus dem Formular in einem einzigen Lauf. Die Auswahl ist auf Mitgliedskonten beschränkt (`userType eq 'Member'`), daher werden Gastkonten nicht angeboten. Sie übergibt jeden ausgewählten Delegierten als **Benutzerprinzipalname**, sodass die allererste Protokollzeile bereits als Liste von UPNs statt von rohen Objekt-IDs gelesen wird. Jeder Wert wird dann gegen Exchange Online aufgelöst, und ab dem Preflight-Schritt zeigt die gesamte Ausgabe die primäre SMTP-Adresse des Delegierten an. Zwei Einträge der Auswahl, die auf dasselbe Postfach aufgelöst werden, werden dedupliziert, und ein Delegierter, der auf den Postfachbesitzer aufgelöst wird, wird mit einer Warnung verworfen - ein Postfach kann nicht an sich selbst delegiert werden. #### Was geändert wird * **Zugriff gewähren (`Entfernen` = false):** `Add-MailboxPermission` mit `-AccessRights FullAccess` für jeden Delegierten. * **Zugriff entfernen (`Entfernen` = true):** `Remove-MailboxPermission` mit `-AccessRights FullAccess -InheritanceType All` für jeden Delegierten. #### AutoMapping **`AutoMapping`** wird nur beim Gewähren des Zugriffs ausgewertet; das Portal blendet das Feld aus, wenn *Zugriff entfernen* ausgewählt ist. Bei aktiviertem AutoMapping fügt Outlook das delegierte Postfach automatisch dem Profil des Delegierten hinzu - allerdings erst, nachdem der Client die Zuordnung neu erstellt hat, was eine Weile dauern kann. Vorhandene Gewährungen werden nicht neu geschrieben, um ihren AutoMapping-Wert zu ändern; entfernen Sie die Delegierung und gewähren Sie sie erneut, wenn das Zuordnungsverhalten geändert werden muss. #### Von Haus aus idempotent Nichts wird zweimal getan und nichts schlägt fehl, nur weil es bereits wahr war: * Das Gewähren von Zugriff für einen Delegierten, der bereits FullAccess besitzt, wird gemeldet als *unverändert*, nicht als Fehler. * Das Entfernen von Zugriff bei einem Delegierten, der keinen FullAccess-Eintrag hat, wird gemeldet als *unverändert*, nicht als Fehler. * Wenn der Vorabbildschirm eine vorhandene Berechtigung nicht einordnen kann, nimmt das Runbook **nicht** nicht den Abkürzungsweg - es ruft Exchange Online auf und lässt dessen Antwort entscheiden, sodass eine entfernbar Delegierung nie stillschweigend übersprungen wird. #### Teilergebnisse Delegierte werden unabhängig voneinander verarbeitet: * Ein Delegierter **ohne Postfach** wird bei der Vorabprüfung übersprungen und als *übersprungen*; die übrigen Delegierten werden trotzdem verarbeitet. Wenn keiner der ausgewählten Delegierten ein Postfach hat, wird der Lauf beendet. * Ein Delegierter, dessen Änderung **fehlschlägt** wird mit einem gezielten Grund gemeldet (Verzögerung bei der Verzeichnisreplikation, unzureichende Exchange Online-Berechtigungen für die verwaltete Identität, eine von einer Gruppe vererbte Berechtigung oder ein freigegebenes/lizenzloses Postfach), und die Schleife fährt mit dem Rest fort. Jeder Lauf endet mit einer Zusammenfassungszeile in der Form `Zusammenfassung: , , , <übersprungen (kein Postfach)>`, gefolgt von den resultierenden FullAccess-Delegierungen am Postfach. Wenn **irgendein** Delegierter fehlgeschlagen ist, meldet das Runbook selbst einen Fehler. Das ist beabsichtigt: Bei einer Mehrfachauswahl würde ein als sauber gemeldeter Teilerfolg verbergen, dass einige Delegierte nie Zugriff erhalten haben. #### Einschränkungen * **Geerbte Berechtigungen können nicht entfernt werden.** Ein FullAccess-Recht, das aus einer Rollengruppe oder Security Group-Mitgliedschaft stammt, wird als *geerbt* angezeigt, kann hier aber nicht entzogen werden - passen Sie stattdessen die Gruppenmitgliedschaft oder Rollenzuweisung an. * **Es werden nur explizite Allow-Gewährungen verwaltet.** Ein expliziter **Deny** Eintrag am Postfach wird zur Transparenz angezeigt, aber das Runbook fügt nie einen hinzu oder entfernt einen. #### Voraussetzungen Die verwaltete Identität des Automation-Kontos verbindet sich mit Exchange Online über `Connect-RjRbExchangeOnline` und benötigt: * die `Exchange.ManageAsApp` Anwendungsberechtigung auf *Office 365 Exchange Online*, und * die **Exchange-Administrator** Rolle (oder eine gleichwertige Exchange Online RBAC-Rolle, die `Add-MailboxPermission` und `Remove-MailboxPermission`). Das Runbook führt keine Microsoft Graph-Aufrufe aus - die Benutzerauswahl ist nur eine Anmerkung auf der Portal-Seite, daher sind keine Microsoft Graph-Anwendungsberechtigungen erforderlich. ### Speicherort Benutzer → Mail → Delegierter Vollzugriff **Voller Runbook-Name** rjgit-user\_mail\_delegate-full-access ### Details | Eigenschaft | Wert | | -------------------- | --------------------------------------------------------------------------------- | | Version | 1.1.3 | | Erforderliche Module |

RealmJoin.RunbookHelper (>= 0.8.10)
ExchangeOnlineManagement (>= 3.9.2)

| | Planbar | nein | ### Berechtigungen #### Anwendungsberechtigungen * **Typ**: Office 365 Exchange Online * Exchange.ManageAsApp * *Verwaltet FullAccess-Postfachdelegierungen in der app-only Exchange Online-Sitzung* #### RBAC-Rollen * Exchange-Administrator * *Erforderlich für die app-only Exchange Online-Sitzung, die FullAccess-Berechtigungen verwaltet* ### Parameter #### Benutzername Benutzerprinzipalname des Benutzers, auf den das Runbook angewendet wird. Wird vom Portal aus dem ausgewählten Benutzer gesetzt. | Eigenschaft | Wert | | ---------------------- | ----------------------------------------------- | | Erforderlich | wahr | | Standardwert | | | Typ | Zeichenfolge | | Im Portal ausgeblendet | ja (vorkonfiguriert über die Runbook-Anpassung) | #### delegateTo Personen, die vollen Zugriff erhalten oder verlieren. Sie können mehrere gleichzeitig auswählen. | Eigenschaft | Wert | | --------------------- | ------------------ | | Erforderlich | wahr | | Standardwert | | | Typ | String\[] | | Anzeigename im Portal | Delegate access to | #### Entfernen Grant gewährt den ausgewählten Personen vollen Zugriff, Remove entzieht ihn. | Eigenschaft | Wert | | --------------------- | -------- | | Erforderlich | falsch | | Standardwert | Falsch | | Typ | Boolesch | | Anzeigename im Portal | Aktion | **Portaloptionen** | Portaloption | Wert | | ----------------- | ------ | | Zugriff gewähren | falsch | | Zugriff entfernen | wahr | #### AutoMapping Lässt das Postfach automatisch in Outlook der Delegierten erscheinen. Hat keine Wirkung, wenn der Zugriff entfernt wird. | Eigenschaft | Wert | | --------------------- | --------------------------------------------- | | Erforderlich | falsch | | Standardwert | Falsch | | Typ | Boolesch | | Anzeigename im Portal | Das Postfach automatisch in Outlook zuordnen? | [Zurück zur Übersicht der Runbook-Referenz](/de/automatisierung/runbooks/runbook-references.md) --- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://docs.realmjoin.com/de/automatisierung/runbooks/runbook-references/user/mail/delegate-full-access.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.