Déléguer l'accès complet

Accorder ou supprimer l'accès complet à la boîte aux lettres de cet utilisateur

Description

Accorde à une ou plusieurs personnes un accès complet à la boîte aux lettres de cet utilisateur, ou supprime à nouveau cet accès. Facultativement, la boîte aux lettres s’ouvre automatiquement dans Outlook des délégués. Les autorisations sont affichées avant et après la modification, et l’échec d’un délégué n’empêche pas les autres.

Fonctionnement

À chaque exécution, le runbook :

1. Se connecte à Exchange Online avec l’identité gérée du compte d’Automation.
2. Vérifie que le propriétaire de boîte aux lettres sélectionné (Nom d’utilisateur) a bien une boîte aux lettres - sinon, l’exécution s’arrête avant toute modification.
3. Résout chaque délégué sélectionné vers son adresse SMTP principale et élimine les doublons ainsi que le propriétaire de la boîte aux lettres lui-même.
4. Lit et affiche l’état actuel du FullAccess des délégations sur la boîte aux lettres (le état actuel).
5. Accorde ou supprime FullAccess pour chaque délégué restant, un par un.
6. Relit les autorisations de la boîte aux lettres et affiche l’état résultant ainsi qu’un résumé par exécution.

Le runbook ne touche que le FullAccess droit sur la seule boîte aux lettres sélectionnée. Les autorisations Send As, Send on Behalf et celles au niveau des dossiers ne sont pas affectées.

Sélection des délégués

Le champ Delegate access to est un sélecteur d’utilisateurs à sélection multiple Sélectionnez autant de délégués que nécessaire - tous recevront la même action (Accorder l’accès ou Supprimer l’accès) et le même paramètre AutoMapping du formulaire en une seule exécution.

Le sélecteur est limité aux comptes membres (userType eq 'Member'), donc les comptes invités ne sont pas proposés. Il transmet chaque délégué sélectionné comme un nom principal d’utilisateur, de sorte que la toute première ligne du journal s’affiche déjà comme une liste de UPN plutôt que d’ID d’objet bruts. Chaque valeur est ensuite résolue dans Exchange Online, et à partir de l’étape de pré-vérification, toute la sortie affiche l’adresse SMTP principale du délégué.

Deux entrées du sélecteur qui se résolvent vers la même boîte aux lettres sont dédupliquées, et un délégué qui se résout vers le propriétaire de la boîte aux lettres est supprimé avec un avertissement - une boîte aux lettres ne peut pas être déléguée à elle-même.

Ce qui est modifié

• Accorder l’accès (Supprimer = false) : Add-MailboxPermission avec -AccessRights FullAccess pour chaque délégué.
• Supprimer l’accès (Supprimer = true) : Remove-MailboxPermission avec -AccessRights FullAccess -InheritanceType All pour chaque délégué.

AutoMapping

AutoMapping n’est évalué que lors de l’octroi de l’accès ; le portail masque le champ lorsque Supprimer l’accès est sélectionné. Avec AutoMapping activé, Outlook ajoute automatiquement la boîte aux lettres déléguée au profil du délégué - mais seulement après que le client recrée le mappage, ce qui peut prendre un certain temps. Les attributions existantes ne sont pas réécrites pour modifier leur valeur AutoMapping ; supprimez la délégation puis accordez-la à nouveau si le comportement de mappage doit changer.

Idempotent par conception

Rien n’est fait deux fois et rien n’échoue simplement parce que c’était déjà vrai :

• L’octroi de l’accès à un délégué qui dispose déjà de FullAccess est signalé comme inchangé, et non comme une erreur.
• La suppression de l’accès d’un délégué qui ne possède aucune entrée FullAccess est signalée comme inchangé, et non comme une erreur.
• Lorsque l’instantané pré-modification ne peut pas classer une entrée d’autorisation existante, le runbook ne prend pas le raccourci - il interroge Exchange Online et laisse sa réponse décider, de sorte qu’une délégation supprimable n’est jamais ignorée silencieusement. ne prendre le raccourci - il interroge Exchange Online et laisse sa réponse décider, de sorte qu’une délégation supprimable n’est jamais ignorée silencieusement.

Résultats partiels

Les délégués sont traités indépendamment :

• Un délégué sans boîte aux lettres est ignoré pendant la vérification préliminaire et comptabilisé comme ignoré; les autres délégués sont tout de même traités. Si aucun des délégués sélectionnés n’a de boîte aux lettres, l’exécution s’arrête.
• Un délégué dont la modification échoue est signalé avec une raison ciblée (délai de réplication du répertoire, permissions Exchange Online insuffisantes sur l’identité gérée, autorisation héritée d’un groupe, ou boîte aux lettres partagée/sans licence) et la boucle continue avec le reste.

Chaque exécution se termine par une ligne de résumé au format Résumé : <modifiés>, <inchangés>, <échoués>, <ignorés (aucune boîte aux lettres)>, suivie des délégations FullAccess résultantes sur la boîte aux lettres.

Si un quelconque délégué a échoué, le runbook lui-même signale un échec. C’est volontaire : avec un sélecteur multi-sélection, un succès partiel présenté comme une exécution réussie masquerait des délégués qui n’ont jamais reçu l’accès.

Limites

• Les autorisations héritées ne peuvent pas être supprimées. Un droit FullAccess provenant d’un groupe de rôles ou de l’appartenance à un Security Group est affiché comme hérité mais ne peut pas être révoqué ici - ajustez plutôt l’appartenance au groupe ou l’attribution du rôle.
• Seules les attributions explicites Allow sont gérées. Une entrée explicite Deny sur la boîte aux lettres est affichée à des fins de transparence, mais le runbook n’en ajoute ni n’en supprime jamais.

Prérequis

L’identité gérée du compte d’Automation se connecte à Exchange Online via Connect-RjRbExchangeOnline et nécessite :

• le Exchange.ManageAsApp droit d’autorisation d’application sur Office 365 Exchange Online, et
• le Administrateur Exchange le rôle (ou un rôle RBAC Exchange Online équivalent qui inclut Add-MailboxPermission et Remove-MailboxPermission).

Le runbook n’effectue aucun appel Microsoft Graph - le sélecteur d’utilisateurs n’est qu’une annotation côté portail, donc aucune autorisation d’application Graph n’est requise.

Emplacement

Utilisateur → Courrier → Accès complet délégué

Nom complet du runbook

rjgit-user_mail_delegate-full-access

Détails

Propriété	Valeur
Version	1.1.3
Modules requis	RealmJoin.RunbookHelper (>= 0.8.9) ExchangeOnlineManagement (>= 3.9.2)
Planifiable	non

Autorisations

Autorisations d’application

• Type: Office 365 Exchange Online

  • Exchange.ManageAsApp

    • Gère les délégations de boîte aux lettres FullAccess dans la session Exchange Online en mode application uniquement

Rôles RBAC

• Administrateur Exchange

  • Requis pour la session Exchange Online en mode application uniquement gérant les autorisations FullAccess

Paramètres

Nom d’utilisateur

Nom principal d’utilisateur de l’utilisateur sur lequel le runbook agit. Défini par le portail à partir de l’utilisateur sélectionné.

Propriété	Valeur
Obligatoire	vrai
Valeur par défaut
Type	Chaîne
Masqué dans le portail	oui (prédéfini via la personnalisation du runbook)

delegateTo

Personnes qui obtiennent ou perdent l’accès complet. Vous pouvez en sélectionner plusieurs à la fois.

Propriété	Valeur
Obligatoire	vrai
Valeur par défaut
Type	String[]
Nom d’affichage du portail	champ Delegate access to

Supprimer

Accorder donne l’accès complet aux personnes sélectionnées, Supprimer le retire.

Propriété	Valeur
Obligatoire	faux
Valeur par défaut	Faux
Type	Booléen
Nom d’affichage du portail	Action

Options du portail

Option du portail	Valeur
Accorder l’accès	faux
Supprimer l’accès	vrai

AutoMapping

Fait apparaître automatiquement la boîte aux lettres dans Outlook des délégués. N’a aucun effet lorsque l’accès est supprimé.

Propriété	Valeur
Obligatoire	faux
Valeur par défaut	Faux
Type	Booléen
Nom d’affichage du portail	Mapper automatiquement la boîte aux lettres dans Outlook ?

Retour à la vue d’ensemble de la référence du runbook