フル アクセスを委任

このユーザーのメールボックスへのフル アクセス権を付与または削除

説明

このユーザーのメールボックスへのフル アクセスを 1 人以上に付与するか、そのアクセスを削除します。必要に応じて、メールボックスは委任先の Outlook で自動的に開かれます。アクセス許可は変更の前後に表示され、1 人の委任先で失敗しても他の委任先は停止されません。

仕組み

各実行で runbook は次の処理を行います:

1. Automation アカウントのマネージド ID を使って Exchange Online に接続します。
2. 選択されたメールボックス所有者 (ユーザー名) に実際にメールボックスがあることを確認します。なければ、run は何も変更する前に停止します。
3. 選択した各委任先をプライマリ SMTP アドレスに解決し、重複とメールボックス所有者本人を除外します。
4. 現在の FullAccess 委任をメールボックス上で読み取り、出力します ( 現状).
5. 残った各委任先に対して、1 人ずつ FullAccess を付与または削除します。
6. メールボックスの権限を再度読み取り、結果の状態と各実行の要約を出力します。

この runbook が触れるのは、 FullAccess 選択した 1 つのメールボックス上の権限だけです。Send As、Send on Behalf、およびフォルダー レベルの権限には影響しません。

委任先の選択

この 委任先 フィールドは 複数選択 ユーザー ピッカーです。必要な数だけ委任先を選択できます。選択した全員に同じ操作 (アクセスを付与 または アクセスを削除) と、同じ AutoMapping 設定がフォームから 1 回の実行で適用されます。

ピッカーはメンバー アカウント (userType eq 'Member') に制限されているため、ゲスト アカウントは表示されません。各選択項目は ユーザー プリンシパル名として渡されるため、最初のログ行は生のオブジェクト ID ではなく UPN の一覧として表示されます。その後、それぞれの値が Exchange Online に対して解決され、事前確認のステップ以降はすべての出力に委任先のプライマリ SMTP アドレスが表示されます。

同じメールボックスに解決されるピッカー項目が 2 つある場合は重複排除され、メールボックス所有者に解決される委任先は警告付きで除外されます。メールボックスは自分自身に委任できません。

変更される内容

• アクセスを付与 (削除 = false): Add-MailboxPermission を -AccessRights FullAccess とともに、各委任先に対して実行します。
• アクセスを削除 (削除 = true): Remove-MailboxPermission を -AccessRights FullAccess -InheritanceType All とともに、各委任先に対して実行します。

AutoMapping

AutoMapping はアクセスを付与するときにのみ評価されます。ポータルでは アクセスを削除 アクセスを削除が選択されている場合です。AutoMapping が有効な場合、Outlook は委任されたメールボックスを委任先のプロファイルに自動的に追加します。ただし、クライアントがそのマッピングを再作成した後に限られ、これには時間がかかることがあります。既存の付与は AutoMapping 値を変更するために書き換えられません。マッピングの動作を変更する必要がある場合は、委任を削除してから再度付与してください。

設計上、冪等です

同じことが 2 回行われることも、すでに真であるというだけで失敗することもありません:

• すでに FullAccess を持つ委任先にアクセスを付与することは、 変更なしとして報告され、エラーにはなりません。
• FullAccess エントリを持たない委任先からアクセスを削除することは、 変更なしとして報告され、エラーにはなりません。
• 変更前スナップショットで既存の権限エントリを分類できない場合でも、runbook はショートカットを 表示されません 使わず、Exchange Online を呼び出してその応答に判断させるため、削除可能な委任が静かにスキップされることはありません。

部分結果

委任先は独立して処理されます:

• メールボックスのない 委任先は 事前確認でスキップされ、 スキップ済みとしてカウントされます。残りの委任先は引き続き処理されます。選択した委任先にメールボックスを持つものが 1 人もいない場合、run は停止します。
• 変更が 失敗した 委任先は、対象を絞った理由 (ディレクトリ レプリケーションの遅延、マネージド ID に対する Exchange Online 権限の不足、グループから継承された権限、または共有 / 未ライセンスのメールボックス) とともに報告され、ループは残りを続行します。

各実行は最後に次の形式の要約行で終わります: Summary: <changed>, <unchanged>, <failed>, <skipped (no mailbox)>その後に、メールボックス上の結果の FullAccess 委任が続きます。

もし いずれかの 委任先が失敗した場合、runbook 自体は失敗を報告します。これは意図的です。複数選択ピッカーでは、部分的な成功を正常終了として報告すると、アクセスを受け取れなかった委任先が隠れてしまうからです。

制限事項

• 継承された権限は削除できません。 ロール グループまたは Security Group のメンバーシップから付与された FullAccess 権限は 継承済み として表示されますが、ここでは取り消せません。代わりにグループのメンバーシップまたはロールの割り当てを変更してください。
• 明示的な Allow 付与のみが管理されます。 メールボックス上の明示的な Deny エントリは透明性のために表示されますが、runbook が追加または削除することはありません。

前提条件

Automation アカウントのマネージド ID は、 Connect-RjRbExchangeOnline を介して Exchange Online に接続し、次を必要とします:

• 次の Exchange.ManageAsApp Office 365 Exchange Online 上のアプリケーション権限、および Office 365 Exchange Online、および
• 次の Exchange 管理者 ロール（または、それを含む同等の Exchange Online RBAC ロール Add-MailboxPermission および Remove-MailboxPermission).

runbook は Microsoft Graph を呼び出しません。ユーザー ピッカーはポータル側の注釈にすぎないため、Graph のアプリケーション権限は必要ありません。

場所

ユーザー → メール → フル アクセスを委任

Runbook の完全名

rjgit-user_mail_delegate-full-access

詳細

プロパティ	値
バージョン	1.1.3
必要なモジュール	RealmJoin.RunbookHelper (>= 0.8.9) ExchangeOnlineManagement (>= 3.9.2)
スケジュール可能	いいえ

権限

アプリケーションの権限

• 種類: Office 365 Exchange Online

  • Exchange.ManageAsApp

    • アプリ専用の Exchange Online セッションで FullAccess メールボックス委任を管理します

RBAC ロール

• Exchange 管理者

  • FullAccess 権限を管理するアプリ専用の Exchange Online セッションに必要です

パラメーター

ユーザー名

Runbook が対象とするユーザーのユーザー プリンシパル名。ポータルによって選択されたユーザーから設定されます。

プロパティ	値
必須	true
既定値
種類	文字列
ポータルでは非表示	はい（runbook のカスタマイズで事前設定）

delegateTo

フル アクセスを付与または剥奪される人です。複数まとめて選択できます。

プロパティ	値
必須	true
既定値
種類	String[]
ポータルの表示名	委任先

削除

Grant で選択した人にフル アクセスを付与し、Remove でそれを取り消します。

プロパティ	値
必須	false
既定値	False
種類	ブール値
ポータルの表示名	アクション

ポータル オプション

ポータル オプション	値
アクセスを付与	false
アクセスを削除	true

AutoMapping

Outlook にメールボックスを自動的に表示します。アクセスを削除した場合は効果がありません。

プロパティ	値
必須	false
既定値	False
種類	ブール値
ポータルの表示名	Outlook にメールボックスを自動的にマップしますか？

Runbook リファレンスの概要に戻る