Postfachberechtigungen an Gruppen im Active Directory vergeben

Eine Gruppe muss grundsätzlich im Gruppenbereich auf Universal und beim Gruppentyp auf Sicherheit gesetzt werden, ansonsten kann man sie nicht mit einem Postfach verknüpfen und es kommt zu unschönen Fehler­meldungen.

Hinzu kommt, dass die Gruppen in gewissen Konstellationen E-Mail-aktiviert sein müssen, wie die folgende Anleitung im Einzelnen zeigt.

Berechtigung über PowerShell erteilen

Bei Funktions­postfächern kommt es oft vor, dass eine Gruppe von Benutzern Vollzugriff benötigt. Dies kann mit PowerShell sehr schnell umgesetzt werden:

Add-MailboxPermission info -User "<Name-der-Gruppe>" -AccessRights Full

Auch bei der Berechtigung für Senden als funktioniert dies nach dem gleichen Muster:

Add-ADPermission info -User "<Name-der-Gruppe>" -AccessRights ExtendedRight `
-ExtendedRights "Send As"

Bei Senden im Auftrag von klappt dies nun aber nicht mehr so. Hier muss die Gruppe zum ersten Mal E-Mail-aktiviert sein. Dies sich schnell mit diesem Kommando erledigen:

Enable-DistributionGroup -Identity "<AD-Gruppe-für-Senden-im-Auftrag-von>"

Allerdings sollte dabei darauf geachtet werden, dass die Verteilergruppe nicht ungewollt im Adressbuch erscheint, falls sie nicht gleichzeitig für diesen Zweck genutzt wird.

Nun kann man das Recht Senden im Auftrag von setzen:

Set-Mailbox info -GrantSendOnBehalfTo "<AD-Gruppe-für-Senden-im-Auftrag-von>"

Möchte man nun granularer mit Gruppen arbeiten, um beispielsweise nur den Kalender eines Postfaches freizugeben, dann muss auch hier die Verteilergruppe E-Mail-aktiviert sein:

Add-MailboxFolderPermission info -User "Berechtigung-InfoPostfach-Kalender" `
-AccessRights Editor

Automapping

Das so genannte Automapping würde aufgrund der Berechtigungs­vergabe an Gruppen nicht mehr funktionieren. Wenn man nämlich einen Benutzer für den Vollzugriff auf ein Funktions­postfach direkt berechtigt, dann wird er dort in das Attribut msExchDelegateListLink der Mailbox eingetragen. Outlook benötigt diese Information, um das Postfach automatisch zuordnen.

Bei der Berechtigung über Gruppen bleibt dieses Attribut jedoch leer und der Benutzer muss das Postfach selbst per Hand in sein Outlook einbinden. In der Praxis weiß allerdings kaum ein User, wie das geht und kontaktiert dafür häufig den Service-Desk.

Um ihm solche Anfragen zu ersparen und trotzdem mit Gruppen zu arbeiten, bietet es sich an, einen kleinen Automatismus per PowerShell zu bauen und diesen dann in regelmäßigen Abständen laufen zu lassen.

$postfachname = "Info" # Mitglieder der Gruppe Berechtigung-InfoPostfach-FULL auslesen $user = Get-ADGroupMember Berechtigung-InfoPostfach-FULL # Inhalt des Attributs löschen Set-ADUser $postfachname -clear msExchDelegateListLink foreach($users in $user){ # Alle Mitglieder in das Attribut übernehmen Set-ADUser $postfachname -Add @{msExchDelegateListLink=$User.distinguishedName} }

Das Beispiel zeigt ein einfaches Script, um das Attribut msExchDelegate­ListLink einer Mailbox zu löschen (falls sich an der Mitgliedschaft der Gruppe etwas geändert haben sollte) und es dann wieder mit den aktuellen Mitgliedern der berechtigten AD-Gruppe neu zu füllen.

Das Automapping sollte dann wieder funktionieren.

Troubleshooting

Manchmal sollen bereits bestehende Verteilergruppen für Berechtigungen in Funktions­postfächern verwendet werden. Dabei können folgende Fehler auftauchen (grammatische Fehler im Original):

Der Benutzer "<Name-der-Gruppe>" wurde in Active Directory gefunden, ihm können aber keine Berechtigungen zugewiesen werden. Versuchen sie stattdessen ein SMTP-Adresse.

Der Benutzer "<Name-der-Gruppe>" ist entweder keine gültige SMTP-Adresse oder es ist keine übereinstimmende Informationen vorhanden.

Wenn über das ECP Mitglieder der Gruppe hinzugefügt werden sollen, kommt unter Umständen folgende Fehlermeldung hoch:

Mitglieder können sich nicht Sicherheits­gruppen hinzufügen. Legen Sie die Gruppe für Anforderungen zum Beitreten auf "Geschlossen" oder "Besitzergenehmigung" fest.

Meist liegt es daran, dass die Mitgliedschafts­genehmigung (im Bereich Besitzer­genehmigung) auf Offen steht. Diese sollte man aber bei diesem Vorhaben beispielsweise auf Geschlossen setzen.

Diesen Status kann man auch per PowerShell prüfen:

Get-Distributiongroup -identity Verteiler-Trainingsraum |
select MemberDepartRestriction

Mit folgendem Befehl kann man diesen Parameter zudem ändern:

Set-Distributiongroup -identity Verteiler-Trainingsraum `
-MemberDepartRestriction closed

Ich würde empfehlen ggf. auch den Parameter -MemberJoinRestriction auf Closed zu setzen, da es eigentlich keinen Sinn macht, für das Verlassen einer Gruppe eine andere Berechtigung zu setzen als für das Beitreten.

Die Verteilung von Berechtigungen und das Hinzufügen von Mitgliedern zu der Gruppe sollten ab jetzt problemlos möglich sein.