Exchange  Gruppen

Jede Exchange Version hat ihre eigenen Gruppen mitgebracht um Berechtigungen zu vergeben und Funktionen zu steuern. Exchange 2010 macht da keine Ausnahme und legt eine ganze Menge neuer Gruppen in einer eigenen OU "Microsoft Exchange Security Groups" an. Ganz klassisch zu der Vergabe von Berechtigungen gibt es wieder universelle Gruppen, in denen Personen aufgenommen werden können, die ihrerseits in anderen Gruppen Mitglied sind, die zur Delegierung der Berechtigungen genutzt werden.

Exchange 2000/2003

Hier war die Welt noch einfach. Gerade mal zwei Gruppen wurde im Active Directory für die Delegierung von Berechtigungen angelegt:

OU Gruppe Mitglieder
cn=Users Exchange Domain Servers Computerkonten
cn=Users Exchange Enterprise Servers Exchange Domain Servers

Zusätzlich gab es nur die Abstufung von Berechtigungen, die über den Assistent der Exchange Verwaltungskonsole vergeben werden konnten:

Bitte  verschieben Sie diese Gruppen nicht in andere OUs

Exchange 2007

Mit Exchange 2007 hat sich die Anzahl der Gruppen verändert. Da es keine klassische Administrative Gruppe mehr gibt und die Verwaltung nicht mehr primär über delegierte OU-Berechtigungen und die MMC für Benutzer und Computer geht, wurden die "Exchange Recipient Administrators" addiert.

Die Gruppen liegen alle bis auf eine Ausnahmen in der neuen OU Microsoft Exchange Security Groups in der Root Domain. Es ist mit Exchange 2007 möglich, diese Gruppen in eine andere OU zu verschieben aber mit Hinblick auf Exchange 2010 nicht ratsam

Q: Can I move the default Exchange security groups to another container or domain in the forest? 
A: They can be moved to different organizational units and also to other domains in the forest. Moving the groups in the forest is supported because these groups have two unique properties: a well-known GUID and a distinguished name that can change

Quelle: Exchange 2007 Permissions: Frequently Asked Questions http://technet.microsoft.com/en-us/library/bb310792.aspx

 Nur die Gruppe "Exchange Install Domain Servers" ist in der OU "Microsoft Exchange System Objects" der jeweiligen Domäne

Gruppe Mitglieder
Exchange Organization Administrators Administrator bzw. wer den ersten Exchange 2007 installiert hat
Exchange Public Folder Administrators
(Seit Exchange 2007 Service Pack 1)		 Exchange Organization Administrators
Exchange Recipient Administrators Exchange Organization Administrators
Exchange Servers Exchange Install Domain Servers
Compterkonten mit Exchange
Exchange Trusted Subsystem <leer> bzw. Memberserver der Domain
Exchange View-Only Administrators Exchange Public Folder Administrators
Exchange Recipient Administrators
ExchangeLegacyInterop <leer> bzw. Exchange 2003/2000 Server
Exchange Install Domain Servers Computerkonten, der Domäne, auf denen Exchange Installiert werden soll/ist
Sonderfall: Liegt in der OU ""Microsoft Exchange System Objects" der jeweiligen Domäne

Exchange 2010

Die Gruppen von Exchange 2010 stellen eine Übermenge der Exchange 2007 Gruppen dar. Neben den schon bekannten Gruppen wurden neue Gruppen für die Umsetzung von RBAC eingeführt.

Auch diesen Gruppen liegen in der Forest Root Domäne in der OU "Microsoft Exchange Security Groups".
Sie sollten möglichst nicht verschoben werden
http://blogs.dirteam.com/blogs/davestork/archive/2012/02/07/do-not-move-rbac-role-group-out-of-the-exchange-security-group-ou.aspx

Hier ein Bild der Exchange 2010 Standardgruppen einer frischen unveränderten Installation:

Die Gruppen haben ebenso einige vordefinierten Mitglieder, die Sie möglichst nicht ändern sollten. Die Gruppen liegen normalweise alle in der OU "Microsoft Exchange Security Groups" der Root-Domäne

Gruppe Hinweis Mitglieder
Delegated Setup   <Leer>
Discovery Management   <Leer>
Exchange All Hosted Organizations   <Leer>
Exchange Organization Administrators Hinweis1 Administrator
Exchange Public Folder Administrators Hinweis1 Exchange Organization Administrators
Exchange Recipient Administrators Hinweis1 Exchange Organization Administrators
Exchange Servers   Computerkonto der Exchange Server
Exchange Install Domain Servers
Exchange Trusted Subsystem   Computerkonto der Exchange Server
Exchange View-Only Administrators Hinweis1 Exchange Public Folder Administrators
Exchange Recipient Administrators
Exchange Windows Permissions   Exchange Trusted Subsystem
ExchangeLegacyInterop   <Leer>
Help Desk   <Leer>
Hygiene Management   <Leer>
Organization Management   Administrator
Exchange Organization Administrators
Public Folder Management   Exchange Public Folder Administrators
Recipient Management   Exchange Recipient Administrators
Records Management   <Leer>
Server Management   <Leer>
UM Management   <Leer>
View-Only Organization Management   Exchange View-Only Administrators
Exchange Install Domain Servers Hinweis2 <Leer>
  1. Hinweis1
    Diese Gruppe ist nur vorhanden, wenn Exchange mit LegacyUnterstützung installiert wurde
  2. Hinweis 2
    Diese Gruppe liegt nicht in der Root sondern in "OU=Microsoft Exchange System Objects" der jeweiligen Domäne

Sie sehen aber auch, dass viele Gruppen gar keine Mitglieder haben. So sind z.B. "Helpdesk" und andere einfach für RBAC vorbereitet Gruppen, die schon entsprechende Rollen zugewiesen bekommen haben und sie nur noch die Benutzer dort aufnehmen müssen.

Weitere Links

Keywords:E2010 Gruppen