Vollzugriff delegieren
Vollzugriff auf die Mailbox dieses Benutzers gewähren oder entfernen
Beschreibung
Gewährt einer oder mehreren Personen vollen Zugriff auf das Postfach dieses Benutzers oder entfernt diesen Zugriff wieder. Optional öffnet sich das Postfach automatisch in Outlook der Delegierten. Die Berechtigungen werden vor und nach der Änderung angezeigt, und ein Fehler bei einem Delegierten hält die anderen nicht auf.
So funktioniert es
Bei jedem Lauf führt das Runbook Folgendes aus:
Stellt über die verwaltete Identität des Automation-Kontos eine Verbindung mit Exchange Online her.
Überprüft, ob der ausgewählte Postfachbesitzer (
Benutzername) tatsächlich ein Postfach hat – wenn nicht, wird der Lauf beendet, bevor etwas geändert wird.Löst jeden ausgewählten Delegierten in seine primäre SMTP-Adresse auf und entfernt Duplikate sowie den Postfachbesitzer selbst.
Liest den aktuellen FullAccess Delegierungen für das Postfach ein und gibt sie aus (den aktuellen Zustand).
Gewährt oder entfernt für jeden verbleibenden Delegierten einzeln FullAccess.
Liest die Postfachberechtigungen erneut ein und gibt den resultierenden Status sowie eine Zusammenfassung pro Lauf aus.
Das Runbook berührt immer nur das FullAccess Recht am einen ausgewählten Postfach. Send As, Send on Behalf und Berechtigungen auf Ordnerebene sind nicht betroffen.
Auswählen von Delegierten
Das Delegiertenzugriff auf ist ein Mehrfachauswahl- Benutzer-Auswahlfeld. Wählen Sie so viele Delegierte wie nötig aus – alle erhalten in einem einzigen Lauf dieselbe Aktion (Zugriff gewähren oder Zugriff entfernen) und dieselbe AutoMapping-Einstellung aus dem Formular in einem einzigen Lauf.
Die Auswahl ist auf Mitgliedskonten (userType eq 'Member') beschränkt, daher werden Gastkonten nicht angeboten. Es übergibt jeden ausgewählten Delegierten als Benutzerprinzipalnamen, sodass die allererste Protokollzeile bereits als Liste von UPNs statt roher Objekt-IDs erscheint. Jeder Wert wird dann gegen Exchange Online aufgelöst, und ab dem Vorabprüf-Schritt zeigen alle Ausgaben die primäre SMTP-Adresse des Delegierten an.
Zwei Auswahlfeldeinträge, die sich auf dasselbe Postfach auflösen, werden dedupliziert, und ein Delegierter, der sich auf den Postfachbesitzer auflöst, wird mit einer Warnung entfernt – ein Postfach kann nicht an sich selbst delegiert werden.
Was geändert wird
Zugriff gewähren (
Entfernen= false):Add-MailboxPermissionmit-AccessRights FullAccessfür jeden Delegierten.Zugriff entfernen (
Entfernen= true):Remove-MailboxPermissionmit-AccessRights FullAccess -InheritanceType Allfür jeden Delegierten.
AutoMapping
AutoMapping wird nur beim Gewähren von Zugriff ausgewertet; das Portal blendet das Feld aus, wenn Zugriff entfernen ausgewählt ist. Mit aktiviertem AutoMapping fügt Outlook das delegierte Postfach dem Profil des Delegierten automatisch hinzu – jedoch erst nachdem der Client die Zuordnung neu erstellt hat, was eine Weile dauern kann. Vorhandene Berechtigungen werden nicht neu geschrieben, um ihren AutoMapping-Wert zu ändern; entfernen Sie die Delegierung und gewähren Sie sie erneut, wenn das Zuordnungsverhalten geändert werden muss.
Von Haus aus idempotent
Nichts wird doppelt getan, und nichts schlägt fehl, nur weil es bereits zutraf:
Das Gewähren von Zugriff für einen Delegierten, der bereits FullAccess besitzt, wird als unverändert, nicht als Fehler, gemeldet.
Das Entfernen von Zugriff bei einem Delegierten, der keinen FullAccess-Eintrag hat, wird als unverändert, nicht als Fehler, gemeldet.
Wenn der Snapshot vor der Änderung einen vorhandenen Berechtigungseintrag nicht klassifizieren kann, nimmt das Runbook keine Abkürzung - es ruft Exchange Online auf und lässt dessen Antwort entscheiden, sodass eine entfernungsfähige Delegierung nie stillschweigend übersprungen wird. nicht nimmt Exchange Online die Entscheidung ab, sodass eine entfernungsfähige Delegierung nie stillschweigend übersprungen wird.
Teilresultate
Delegierte werden unabhängig voneinander verarbeitet:
Ein Delegierter ohne Postfach wird bei der Vorabprüfung übersprungen und als übersprungengemeldet; die übrigen Delegierten werden weiterhin verarbeitet. Wenn keiner der ausgewählten Delegierten ein Postfach hat, wird der Lauf beendet.
Wenn die Änderung bei einem Delegierten fehlschlägt wird ein gezielter Grund ausgegeben (Verzögerung bei der Verzeichnisreplikation, unzureichende Exchange Online-Berechtigungen für die verwaltete Identität, eine von einer Gruppe geerbte Berechtigung oder ein freigegebenes/nicht lizenziertes Postfach), und die Schleife wird mit dem Rest fortgesetzt.
Jeder Lauf endet mit einer Zusammenfassungszeile in der Form Zusammenfassung: <changed>, <unchanged>, <failed>, <skipped (no mailbox)>, gefolgt von den resultierenden FullAccess-Delegierungen auf dem Postfach.
Wenn irgendein Delegierter fehlgeschlagen ist, meldet das Runbook selbst einen Fehler. Das ist beabsichtigt: Bei einem Auswahlfeld mit Mehrfachauswahl würde ein als sauberer Lauf gemeldeter Teilerfolg Delegierte verbergen, die nie Zugriff erhalten haben.
Einschränkungen
Geerbte Berechtigungen können nicht entfernt werden. Ein FullAccess-Recht, das aus der Mitgliedschaft in einer Rollengruppe oder Security Group-Mitgliedschaft stammt, wird als geerbt angezeigt, kann hier aber nicht widerrufen werden – passen Sie stattdessen die Gruppenmitgliedschaft oder Rollenzuweisung an.
Es werden nur explizite Allow-Gewährungen verwaltet. Ein expliziter Deny Eintrag auf dem Postfach wird der Transparenz halber angezeigt, aber das Runbook fügt nie einen hinzu oder entfernt einen.
Voraussetzungen
Die verwaltete Identität des Automation-Kontos verbindet sich mit Exchange Online über Connect-RjRbExchangeOnline und benötigt:
die
Exchange.ManageAsAppAnwendungsberechtigung für Office 365 Exchange Online, unddie Exchange-Administrator Rolle (oder eine gleichwertige Exchange Online RBAC-Rolle, die Folgendes einschließt
Add-MailboxPermissionundRemove-MailboxPermission).
Das Runbook führt keine Microsoft Graph-Aufrufe aus – die Benutzerauswahl ist nur eine portalseitige Annotation, daher sind keine Anwendungsberechtigungen für Graph erforderlich.
Ort
Benutzer → Mail → Delegierten Vollzugriff
Vollständiger Runbook-Name
rjgit-user_mail_delegate-full-access
Details
Version
1.1.3
Erforderliche Module
RealmJoin.RunbookHelper (>= 0.8.9) ExchangeOnlineManagement (>= 3.9.2)
Planbar
nein
Berechtigungen
Anwendungsberechtigungen
Typ: Office 365 Exchange Online
Exchange.ManageAsApp
Verwaltet FullAccess-Postfachdelegierungen in der App-only-Exchange Online-Sitzung
RBAC-Rollen
Exchange-Administrator
Erforderlich für die App-only-Exchange Online-Sitzung zur Verwaltung von FullAccess-Berechtigungen
Parameter
Benutzername
User Principal Name des Benutzers, auf den das Runbook angewendet wird. Wird vom Portal aus dem ausgewählten Benutzer gesetzt.
Erforderlich
ja
Standardwert
Typ
Zeichenfolge
Im Portal ausgeblendet
ja (vorkonfiguriert über Runbook-Anpassung)
delegateTo
Personen, die vollen Zugriff erhalten oder verlieren. Sie können mehrere gleichzeitig auswählen.
Erforderlich
ja
Standardwert
Typ
String[]
Anzeigename im Portal
Delegiertenzugriff auf
Entfernen
Grant gewährt den ausgewählten Personen vollen Zugriff, Remove entzieht ihn.
Erforderlich
nein
Standardwert
Falsch
Typ
Boolesch
Anzeigename im Portal
Aktion
Portaloptionen
Zugriff gewähren
nein
Zugriff entfernen
ja
AutoMapping
Lässt das Postfach automatisch in Outlook der Delegierten erscheinen. Hat keine Auswirkung, wenn der Zugriff entfernt wird.
Erforderlich
nein
Standardwert
Falsch
Typ
Boolesch
Anzeigename im Portal
Das Postfach automatisch in Outlook zuordnen?
Zuletzt aktualisiert
War das hilfreich?