Delegar acceso total

Conceder o quitar acceso total al buzón de este usuario

Descripción

Otorga a una o más personas acceso completo al buzón de este usuario, o elimina ese acceso de nuevo. Opcionalmente, el buzón se abre automáticamente en Outlook de los delegados. Los permisos se muestran antes y después del cambio, y un fallo de un delegado no detiene a los demás.

Cómo funciona

En cada ejecución, el runbook:

1. Se conecta a Exchange Online con la identidad administrada de la cuenta de Automation.
2. Verifica que el propietario del buzón seleccionado (UserName) realmente tenga un buzón; si no, la ejecución se detiene antes de cambiar nada.
3. Resuelve cada delegado seleccionado a su dirección SMTP principal y descarta duplicados y al propio propietario del buzón.
4. Lee e imprime el actual FullAccess delegaciones en el buzón (el estado actual).
5. Concede o elimina FullAccess para cada delegado restante, uno a la vez.
6. Vuelve a leer los permisos del buzón e imprime el estado resultante junto con un resumen por ejecución.

El runbook solo toca el FullAccess permiso en el único buzón seleccionado. Los permisos Send As, Send on Behalf y a nivel de carpeta no se ven afectados.

Selección de delegados

El Delegar acceso a campo es un selector de selección múltiple de usuarios. Seleccione tantos delegados como sea necesario: todos reciben la misma acción (Conceder acceso o Eliminar acceso) y el mismo ajuste de AutoMapping del formulario en una sola ejecución.

El selector está restringido a cuentas miembro (userType eq 'Member'), por lo que no se ofrecen cuentas invitadas. Pasa cada delegado seleccionado como un nombre principal de usuario, por lo que la primera línea del registro ya se muestra como una lista de UPN en lugar de identificadores de objeto sin procesar. Después, cada valor se resuelve en Exchange Online, y a partir del paso de comprobación previa toda la salida muestra la dirección SMTP principal del delegado.

Dos entradas del selector que se resuelven en el mismo buzón se deduplican, y un delegado que se resuelve en el propietario del buzón se descarta con una advertencia: un buzón no puede delegarse a sí mismo.

Qué se cambia

• Conceder acceso (Quitar = false): Add-MailboxPermission con -AccessRights FullAccess para cada delegado.
• Eliminar acceso (Quitar = true): Remove-MailboxPermission con -AccessRights FullAccess -InheritanceType All para cada delegado.

AutoMapping

AutoMapping solo se evalúa al conceder acceso; el portal oculta el campo cuando Eliminar acceso está seleccionado. Con AutoMapping habilitado, Outlook agrega automáticamente el buzón delegado al perfil del delegado, pero solo después de que el cliente vuelva a crear la asignación, lo cual puede tardar un tiempo. Las concesiones existentes no se vuelven a escribir para cambiar su valor de AutoMapping; quite la delegación y concédala de nuevo si debe cambiar el comportamiento de la asignación.

Idempotente por diseño

Nada se hace dos veces y nada falla solo porque ya fuera cierto:

• Conceder acceso a un delegado que ya tiene FullAccess se informa como sin cambios, no como un error.
• Quitar el acceso a un delegado que no tiene una entrada FullAccess se informa como sin cambios, no como un error.
• Cuando la instantánea anterior al cambio no puede clasificar una entrada de permiso existente, el runbook no no toma atajos: llama a Exchange Online y deja que su respuesta decida, por lo que una delegación que puede eliminarse nunca se omite en silencio.

Resultados parciales

Los delegados se procesan de forma independiente:

• Un delegado sin buzón se omite durante la comprobación previa y se cuenta como omitido; los delegados restantes siguen procesándose. Si ninguno de los delegados seleccionados tiene buzón, la ejecución se detiene.
• Un delegado cuyo cambio falla se informa con un motivo específico (retraso de replicación del directorio, permisos insuficientes de Exchange Online en la identidad administrada, un permiso heredado de un grupo o un buzón compartido/sin licencia) y el bucle continúa con el resto.

Cada ejecución termina con una línea de resumen en el formato Resumen: <cambiado>, <sin cambios>, <fallido>, <omitido (sin buzón)>, seguido de las delegaciones FullAccess resultantes en el buzón.

Si algún delegado falló, el propio runbook informa un fallo. Esto es deliberado: con un selector de selección múltiple, un éxito parcial informado como una ejecución correcta ocultaría a los delegados que nunca recibieron acceso.

Limitaciones

• Los permisos heredados no se pueden quitar. Un permiso FullAccess que proviene de un grupo de roles o de la pertenencia a un Security Group se muestra como heredado pero no se puede revocar aquí; ajuste la pertenencia al grupo o la asignación de rol en su lugar.
• Solo se administran las concesiones explícitas de Allow. Una entrada explícita Deny en el buzón se muestra para transparencia, pero el runbook nunca añade ni quita una.

Requisitos previos

La identidad administrada de la cuenta de Automation se conecta a Exchange Online mediante Connect-RjRbExchangeOnline y necesita:

• el Exchange.ManageAsApp permiso de aplicación en Office 365 Exchange Online, y
• el Administrador de Exchange rol (o un rol RBAC equivalente de Exchange Online que incluya Add-MailboxPermission y Remove-MailboxPermission).

El runbook no realiza llamadas a Microsoft Graph: el selector de usuarios es solo una anotación del portal, por lo que no se requieren permisos de aplicación de Graph.

Ubicación

Usuario → Correo → Delegar acceso completo

Nombre completo del runbook

rjgit-user_mail_delegate-full-access

Detalles

Propiedad	Valor
Versión	1.1.3
Módulos requeridos	RealmJoin.RunbookHelper (>= 0.8.9) ExchangeOnlineManagement (>= 3.9.2)
Programable	no

Permisos

Permisos de aplicación

• Tipo: Office 365 Exchange Online

  • Exchange.ManageAsApp

    • Administra las delegaciones FullAccess del buzón en la sesión de Exchange Online solo de aplicación

roles de RBAC

• Administrador de Exchange

  • Requerido para la sesión de Exchange Online solo de aplicación que administra permisos FullAccess

Parámetros

UserName

Nombre principal de usuario del usuario sobre el que actúa el runbook. Establecido por el portal a partir del usuario seleccionado.

Propiedad	Valor
Requerido	verdadero
Valor predeterminado
Tipo	Cadena
Oculto en el portal	sí (preestablecido mediante la personalización del runbook)

delegateTo

Personas que obtienen o pierden acceso completo. Puede seleccionar varias a la vez.

Propiedad	Valor
Requerido	verdadero
Valor predeterminado
Tipo	String[]
Nombre para mostrar en el portal	Delegar acceso a

Quitar

Grant otorga a las personas seleccionadas acceso completo; Remove lo quita.

Propiedad	Valor
Requerido	falso
Valor predeterminado	Falso
Tipo	Booleano
Nombre para mostrar en el portal	Acción

Opciones del portal

Opción del portal	Valor
Conceder acceso	falso
Eliminar acceso	verdadero

AutoMapping

Hace que el buzón aparezca automáticamente en Outlook de los delegados. No tiene efecto cuando se elimina el acceso.

Propiedad	Valor
Requerido	falso
Valor predeterminado	Falso
Tipo	Booleano
Nombre para mostrar en el portal	¿Asignar automáticamente el buzón en Outlook?

Volver a la vista general de la referencia del runbook