Унаследованные разрешения Exchange

304
Lexdon

У нас бывают ситуации, когда я хотел бы, чтобы учетная запись AD была активной по юридическим причинам для доступа только к личным данным заработной платы. Мы хотели бы заблокировать доступ ко всему остальному, включая собственную электронную почту пользователя, но при этом сохранить почтовый ящик активным.

Хотя есть несколько вещей, которые я мог бы сделать вручную, чтобы достичь этого, я хотел бы частично автоматизировать это. Я создал группу AD с намерением добавлять в нее пользователей с определенными запрещающими разрешениями в Exchange и AD. AD в порядке, так как у меня есть объекты групповой политики, которые «запрещают вход» членам группы.

Для Exchange я запустил следующее:

Get-MailboxDatabase -Identity "DB01" | Add-ADPermission -User "DOMAIN\DenyGroup" -AccessRights ExtendedRight -ExtendedRights Receive-As -Deny

Результатом этого для конкретного пользователя является:

Get-MailboxPermission BadUser  User AccessRights IsInherited Deny ---- ------------ ----------- ---- NT AUTHORITY\SELF False False DOMAIN\Administrator True True DOMAIN\Domain Admins True True DOMAIN\Enterprise A... True True DOMAIN\Organization... True True DOMAIN\DenyGroup True True NT AUTHORITY\SYSTEM True False NT AUTHORITY\NETW... True False

Как можно видеть, DenyGroup (членом которой является пользователь) отказано в FullAccess для почтового ящика, однако пользователь все еще может получить доступ к электронной почте через OWA. Я знаю, что NT AUTHORITY \ SELF все еще существует, но я надеялся, что он будет работать там, где мне не придется возиться с этим, и отказ будет иметь приоритет.

Существует ли какая-либо форма приоритета в отношении унаследованных разрешений и разрешений, применяемых на уровне локальных объектов? Я бы подумал, что явный Deny переопределит что-нибудь.

0
Рассматривали ли вы вопрос об изменении «часов входа» пользователя в ноль или об истечении срока действия пароля (или всей учетной записи)? grawity 5 лет назад 0
Ваша команда Exchange запрещает получение, а не полный доступ. Вы можете отключить почтовый ящик (он будет храниться некоторое время в зависимости от вашей конфигурации). Seth 5 лет назад 0

0 ответов на вопрос

Похожие вопросы