Exchange 2013 で RBAC 権限をカスタマイズするための PowerShell

「Deep Dive」シリーズを続けます。この中で、いくつかの技術的な質問への答えが見つかるかもしれません。業界の専門家が、複数のトピックについて洞察を提供し、最も人気のあるアプリケーションの新機能を調査します。シリーズ最初の記事はこちらでご覧いただけます こちら。また、Exchange 2013 の CAS 構成（Part 1、 Part 2）についてもぜひお読みください！コメントやディスカッションも大歓迎です！

RBAC は Exchange 2013 における新しい権限モデルです。RBAC を使用することで、アクセス制御リスト（ACLs）を変更・管理する必要がなくなります。これにより、管理者とエンドユーザーが実行できることを、幅広いレベルときめ細かなレベルの両方で制御できます。Exchange 2013 では、RBAC は実行可能な管理タスクと、ユーザーが自分のメールボックスおよび配布グループをどの程度管理できるかの両方を制御するようになりました。

ロール グループは、管理者および専門ユーザーが実行できる操作を定義する次のコンポーネントで構成されています:

• 管理ロール グループ：管理ロール グループは、ロール グループのメンバーであるメールボックス、ユーザー、USG、およびその他のロール グループを含む、特別なユニバーサル セキュリティ グループ（USG）です。ここでメンバーの追加と削除を行い、また管理ロールが割り当てられる対象でもあります。ロール グループ上のすべてのロールの組み合わせにより、ロール グループに追加されたユーザーが Exchange 組織内で管理できる内容がすべて定義されます。
• 管理ロール：管理ロールは、管理ロール エントリのグループを格納するコンテナーです。ロールは、ロールが割り当てられたグループのメンバーが実行できる特定のタスクを定義するために使用されます。管理ロール エントリは、ロール内で指定された各タスクを実行できるようにする cmdlet、スクリプト、または特別な権限です。
• 管理ロールの割り当て：管理ロールの割り当ては、ロールとロール グループを関連付けます。ロールをロール グループに割り当てると、そのロール グループのメンバーは、ロールで定義された cmdlet とパラメーターを使用できるようになります。ロールの割り当てには、管理スコープを使用して、割り当てを使用できる場所を制御できます。
• 管理ロール スコープ：管理ロール スコープは、ロールの割り当てに対する影響範囲（影響の及ぶ範囲）です。ロールをスコープ付きでロール グループに割り当てると、管理スコープは、その割り当てで管理を許可されている対象オブジェクトを具体的に指定します。その割り当てとスコープは、次にロール グループのメンバーに付与され、そのメンバーが管理できる内容が制限されます。スコープは、サーバーまたはデータベースの一覧、組織単位（OU）、またはサーバー、データベース、受信者オブジェクトに対するフィルターで構成できます。たとえば、ヘルプデスク チームが「受信者管理（Recipient Management）」の権限を提供する必要があるケースを考えてみましょう。この権限は、メールボックスの作成と管理、配布グループの作成と管理、メールボックスの移動および移行、そして最後にメッセージの追跡を担当します。しかし「受信者管理」権限には、削除および無効化のアクセス権も含まれます。この権限は、ヘルプデスク チームに対して制限する必要があります。以下の手順に従って、受信者管理の権限をカスタマイズしてください。

まずは、下記のコマンドを使って、「Recipient Management」ロール グループ配下の管理ロールを理解しましょう。

      Get-Rolegroup “Recipient Management” | Select roles).roles | select name
      

上記のコマンド結果から必要な管理ロールだけを選び、自分たちの要件に合わせてカスタマイズする必要があります。

• 配布グループ（Distribution Groups）—カスタマイズが必要です。
• メール受信者の作成（Mail Recipient Creation）—カスタマイズが必要です。
• メール受信者（Mail Recipients）—カスタマイズが必要です。
• メッセージ追跡（Message Tracking）— カスタマイズは不要です。
• メールボックスの移動（Move Mailboxes）— カスタマイズは不要です。
• 受信者ポリシー（Recipient Policies）— 管理ロールは不要です。
• チーム メールボックス（Team mailboxes）— 管理ロールは不要です。

以下の手順に従って、「Recipient Management」ロール グループを作成し、カスタマイズしましょう。

1. 以下の PowerShell コマンドを使用して、新しいロール グループ「Helpdesk Administrator」を作成します。

      New-RoleGroup “HelpDesk Administrator”
      

2. 次に、「Distribution Groups」の管理ロールに取り組み、カスタマイズする前に Distribution Group で利用可能なすべての cmdlet を確認します。以下の PowerShell コマンドで、管理ロール「Distribution Groups」のすべての ManagementRoleEntry を取得します。

      Get-ManagementRole “Distribution Groups” | Get-ManagementRoleEntry
      

3. 以下のコマンドを使用して、新しい管理ロール「Distribution Groups with no Remove」を作成します。このコマンドは、新しい管理ロール「Distribution Groups with no Remove」を作成し、さらに「Distribution Groups」で利用可能なすべての cmdlet を「Distribution Groups with no Remove」の管理ロールにコピーします。

      Get-ManagementRole "Distribution Groups" | New-ManagementRole "Distribution Groups with no Remove"
      

4. 次に、以下の PowerShell コマンドを使用して、管理ロール「Remove-*”」から、管理ロール「Distribution Groups with no Remove」内のすべての Remove-* cmdlet を削除します。

      Get-ManagementRole "Distribution Groups with no Remove" | Get-ManagementRoleEntry | Where {$_.Name -like "remove*"} | Remove-ManagementRoleEntry -confirm:$false
      

5. 最後に、以下のコマンドを使用して、カスタマイズした管理ロール “Distribution Groups with no Remove” をロール グループ “HelpDesk Administrator” に割り当てます。

      New-ManagementRoleAssignment -SecurityGroup "HelpDesk Administrator" -Role "Distribution Groups with no Remove" 
      

6. これにより、“Distribution Groups” の管理ロールをカスタマイズしました。次に、「Mail Recipient Creation」と「Mail Recipients」の管理ロールをカスタマイズする必要があります。

7. 以下は、「Mail Recipient Creation」管理ロールをカスタマイズするための一連の PowerShell コマンドです。新しいカスタム管理ロール「Mail Recipient Creation with no Remove」を作成し、それを “HelpDesk Administrator” のロール グループに割り当てます。

      Get-ManagementRole "Mail Recipient Creation" | New-ManagementRole "Mail Recipient Creation with no Remove"

Get-ManagementRole "Mail Recipient Creation with no Remove" | Get-ManagementRoleEntry | Where {$_.Name -like "remove*"} | Remove-ManagementRoleEntry -confirm:$false

New-ManagementRoleAssignment -SecurityGroup "HelpDesk Administrator" -Role "Mail Recipient Creation with no Remove"
      

8. 同様に、以下は「Mail Recipients」管理ロールをカスタマイズするための一連の PowerShell コマンドです。新しいカスタム管理ロール「Mail Recipients with no Remove」を作成し、それを “HelpDesk Administrator” のロール グループに割り当てます。

      Get-ManagementRole "Mail Recipients" | New-ManagementRole "Mail Recipients with no Remove" 

Get-ManagementRole "Mail Recipients with no Remove" | Get-ManagementRoleEntry | where {$_.Name -like "remove*"} | Remove-ManagementRoleEntry -confirm:$false 

New-ManagementRoleAssignment -SecurityGroup "HelpDesk Administrator" -Role "Mail Recipients with no Remove"
      

9. “Message Tracking” および “Move Mailboxes” の管理ロールは、操作を実行するために必要な cmdlet が用意されているため、カスタマイズの必要はありません。以下のコマンドは、既定のロール「Message Tracking」および「Move Mailboxes」をロール グループ「HelpDesk Administrator」に割り当てます。

      New-ManagementRoleAssignment –SecurityGroup “HelpDesk Administrator” –Role “Message Tracking”

New-ManagementRoleAssignment –SecurityGroup “HelpDesk Administrator” –Role “Move Mailboxes”
      

10. 最後に、以下の PowerShell コマンドを使用して、ロール グループ「HelpDesk Administrator」にメンバーを追加します。

      Get-RoleGroup “HelpDesk Administrator” | Add-RoleGroupMember –Member Krishna.kumar
      

最後に、完全にカスタマイズされたロール グループ「HelpDesk Administrator」があります。「HelpDesk Administrator」グループのメンバーは、メールボックスやディストリビューション グループなどを作成および変更する権限はありますが、削除の権限はありません。PowerShell を使って RBAC 権限をカスタマイズすることを、しっかり理解できたと思います。