Exchange Impersonation: Service-Benutzer auf Postfächer berechtigen

Grundsätzlich sieht Exchange drei Möglichkeiten vor, um Benutzer auf die Postfächer anderer User zu berechtigen:

• Ordner­berech­tigungen, wenn man einem Benutzer Zugriff auf einen Ordner gewähren möchte, aber dieser nicht die Möglichkeit zu "Senden im Auftrag von" haben soll.
• Delegation, wenn ein Benutzer Arbeiten im Namen eines anderen Users ausführen soll (zum Beispiel eine Sekretärin, die den Kalender des Geschäftsführers verwaltet). Dies lässt sich mittels PowerShell auch zentral erledigen.
• Impersonation bei einer Dienst­anwendung, die auf mehrere Postfächer zugreifen und als Besitzer des Postfachs agieren muss.

Für unsere Anforderung kann man eine Impersonation Role (Identitäts­wechselrolle) zentral auf dem Exchange-Server konfigurieren. Dies funktioniert sowohl unter Exchange on-prem als auch auf Exchange Online.

Aus Sicherheitsgründen wird man den Service-User nicht auf die komplette Organisation berechtigen. Davon wären dann nämlich automatisch auch kritische Positionen wie die des Geschäfts­führers oder Betriebsrats betroffen. Stattdessen kann man die Identitäts­rollen mit Filtern entsprechend justieren.

Identitätswechselrollen verwenden

Konfigurieren lässt die sich die Impersonation via Exchange PowerShell. Mit dem Cmdlet

Get-ManagementRoleAssignment -Role:ApplicationImpersonation

kann man zuerst prüfen, ob es bereits Identitäts­wechsel­rollen gibt.

Eine neue Identitäts­wechsel­rolle legt man mit folgendem Cmdlet an:

New-ManagementRoleAssignment -Role:ApplicationImpersonation `
-User: ServiceUser@rolandeich.onmicrosoft.com

Jetzt kann man die Berechtigungen des Service-Users mit dem Parameter RecipientTypeDetails weiter einschränken, in diesem Beispiel auf Räume:

New-ManagementScope -Name "ApplicationImpersonation-ServiceUser" `
-RecipientRestrictionFilter {RecipientTypeDetails -eq "RoomMailbox"}

Eine weitere Filterung wäre etwa auch auf alle User-Postfächer möglich:

RecipientRestrictionFilter "RecipientType -eq 'UserMailbox'"

Folgendes Beispiel zeigt die Einschränkung der Berechtigungen auf die Mitglieder einer Gruppe

New-ManagementScope "ApplicationImpersonation-ServiceUser" `
-RecipientRestrictionFilter `
"MemberOfGroup -eq '$($GroupDistinguishedName)'"

Weiterführende Informationen zu den Filtermöglichkeiten sind auf Microsoft Docs zu finden.

Wenn Sie allerdings planen, auf zu Exchange Online zu migrieren und on-prem Filter auf Organisations­ebene oder direkt für Server erstellt haben, dann funktionieren diese in Exchange Online nicht, weil es dort keine OUs gibt.

Damit wäre die Konfiguration grundsätzlich abgeschlossen. In der Praxis kommt es aber oft vor, dass verschiedene Service-User auf Kalender zugreifen müssen. In diesem Fall ist es effizienter, die Berechtigungen an eine Gruppe zu erteilen, welche dann die Service-Benutzer enthält:

New-ManagementRoleAssignment -Name GroupImpersonation `
-Role ApplicationImpersonation -User SrvUsr@rolandeich.onmicrosoft.com `
-CustomRecipientWriteScope "ApplicationImpersonation-ServiceUser"

Alle Benutzer, welche Mitglied der Gruppe GroupImpersonation sind, dürfen damit auf die im ManagementScope enthaltenen User zugreifen.

Wer zum Abschluss die oben gesetzten Filter überprüfen möchte, kann dies mit

Get-ManagementScope

und

Get-ManagementRoleAssignment

tun.