Exchange 2013에서 PowerShell로 RBAC 권한을 사용자 지정하는 방법

우리는 “Deep Dive” 시리즈를 계속합니다. 이 시리즈에서 몇 가지 기술 질문에 대한 답을 찾을 수 있습니다. 업계 전문가들이 여러 주제에 대한 통찰을 제공하고, 가장 인기 있는 애플리케이션의 일부 새로운 기능을 조사합니다. 시리즈의 첫 번째 기사는 여기에서 확인할 수 있습니다 여기입니다. 또한 Exchange 2013 CAS 구성( Part 1, Part 2 )에 대해 자세히 읽어보세요! 의견과 토론을 환영합니다!

RBAC는 Exchange 2013의 새로운 권한 모델입니다. RBAC를 사용하면 액세스 제어 목록(ACLs)을 수정하고 관리할 필요가 없습니다. 이를 통해 관리자가 수행할 수 있는 작업과 최종 사용자가 할 수 있는 작업을 광범위한 수준과 세부적인 수준 모두에서 제어할 수 있습니다. Exchange 2013에서 RBAC는 이제 수행 가능한 관리 작업과 사용자가 자신의 사서함 및 배포 그룹을 관리할 수 있는 범위를 모두 제어합니다.

역할 그룹은 관리자가 및 전문 사용자들이 수행할 수 있는 작업을 정의하는 다음 구성 요소로 이루어져 있습니다:

• 관리 역할 그룹: 관리 역할 그룹은 특수 유니버설 보안 그룹(USG)으로, 역할 그룹의 구성원인 사서함, 사용자, USG 및 기타 역할 그룹을 포함합니다. 여기서 구성원을 추가하고 제거하며, 관리 역할이 할당되는 대상이기도 합니다. 역할 그룹에 포함된 모든 역할의 조합은 역할 그룹에 추가된 사용자가 Exchange 조직에서 관리할 수 있는 모든 내용을 정의합니다.
• 관리 역할: 관리 역할은 관리 역할 항목의 그룹을 담는 컨테이너입니다. 역할은 역할이 할당된 그룹의 구성원이 수행할 수 있는 특정 작업을 정의하는 데 사용됩니다. 관리 역할 항목은 역할에 지정된 각 작업을 수행할 수 있게 해주는 cmdlet, 스크립트 또는 특수 권한입니다.
• 관리 역할 할당: 관리 역할 할당은 역할과 역할 그룹을 연결합니다. 역할을 역할 그룹에 할당하면 역할 그룹의 구성원에게 해당 역할에 정의된 cmdlet 및 매개 변수를 사용할 수 있는 권한이 부여됩니다. 역할 할당은 관리 범위를 사용하여 해당 할당을 사용할 수 있는 위치를 제어할 수 있습니다.
• 관리 역할 범위: 관리 역할 범위는 역할 할당에 대한 영향 또는 영향 범위를 의미합니다. 역할이 범위를 포함하여 역할 그룹에 할당되면, 관리 범위는 해당 할당이 관리할 수 있도록 허용된 개체를 구체적으로 지정합니다. 그러고 나서 할당과 그 범위가 역할 그룹의 구성원에게 제공되어, 구성원이 관리할 수 있는 대상을 제한합니다. 범위는 서버 또는 데이터베이스 목록, 조직 단위(OU), 또는 서버, 데이터베이스 또는 받는 사람 개체에 대한 필터로 구성될 수 있습니다. 예를 들어, 헬프데스크 팀이 “수신자 관리(Recipient Management)” 권한을 제공해야 한다고 가정해 보겠습니다. 이 권한은 사서함을 생성하고 관리하며, 배포 그룹을 생성하고 관리하고, 사서함을 이동 및 마이그레이션하고, 마지막으로 메시지를 추적하는 일을 담당합니다. 하지만 “수신자 관리” 권한은 삭제 및 비활성화 액세스 권한도 함께 제공합니다. 따라서 이 권한은 헬프데스크 팀에 대해 제한되어야 합니다. 아래 단계에 따라 수신자 관리 권한을 사용자 지정해 보세요.

먼저 아래 명령을 사용하여 “Recipient Management” 역할 그룹 아래에 있는 관리 역할을 이해해 봅시다.

      Get-Rolegroup “Recipient Management” | Select roles).roles | select name
      

위 명령 결과에서 필요한 관리 역할만 선택한 다음, 우리의 요구사항에 맞게 커스터마이즈해야 합니다.

• 배포 그룹 – 커스터마이즈가 필요합니다.
• 메일 수신자 생성 – 커스터마이즈가 필요합니다.
• 메일 수신자 – 커스터마이즈가 필요합니다.
• 메시지 추적(Messaging Tracking) – 사용자 지정이 필요하지 않습니다.
• 우편함 이동(Move Mailboxes) – 사용자 지정이 필요하지 않습니다.
• 수신자 정책(Recipient Policies) – 관리 역할이 필요하지 않습니다.
• 팀 사서함(Team mailboxes) – 관리 역할이 필요하지 않습니다.

아래 단계를 따라 “Recipient Management” 역할 그룹을 만들고 사용자 지정하세요.

1. 아래 PowerShell 명령을 사용하여 새 역할 그룹 “Helpdesk Administrator”을(를) 만듭니다.

      New-RoleGroup “HelpDesk Administrator”
      

2. 이제 “Distribution Groups” 관리 역할 작업을 진행하고, 사용자 지정하기 전에 Distribution Group에 사용할 수 있는 모든 cmdlet을 찾습니다. 아래 PowerShell 명령을 사용하면 관리 역할 “Distribution Groups”에 대한 모든 ManagementRoleEntry를 가져옵니다.

      Get-ManagementRole “Distribution Groups” | Get-ManagementRoleEntry
      

3. 아래 명령을 사용하여 새 관리 역할 “Distribution Groups with no Remove”을(를) 만듭니다. 이 명령은 새 관리 역할 “Distribution Groups with no Remove”을 생성하고, “Distribution Groups”에 사용 가능한 모든 cmdlet을 “Distribution Groups with no Remove” 관리 역할로 복사합니다.

      Get-ManagementRole "Distribution Groups" | New-ManagementRole "Distribution Groups with no Remove"
      

4. 그런 다음 아래 PowerShell 명령을 사용하여 관리 역할 “Remove-*””에서 “Distribution Groups with no Remove” 관리 역할에 포함된 모든 Remove-* cmdlet을 제거합니다.

      Get-ManagementRole "Distribution Groups with no Remove" | Get-ManagementRoleEntry | Where {$_.Name -like "remove*"} | Remove-ManagementRoleEntry -confirm:$false
      

5. 마지막으로 아래 명령을 사용하여 사용자 지정한 관리 역할 “Distribution Groups with no Remove” 을 역할 그룹 “HelpDesk Administrator” 에 할당합니다.

      New-ManagementRoleAssignment -SecurityGroup "HelpDesk Administrator" -Role "Distribution Groups with no Remove" 
      

6. 이로써 “Distribution Groups” 관리 역할을 사용자 지정했습니다. 이제 “Mail Recipient Creation” 및 “Mail Recipients” 관리 역할을 사용자 지정해야 합니다.

7. 아래는 “Mail Recipient Creation” 관리 역할을 사용자 지정하기 위한 일련의 PowerShell 명령입니다. 새로 사용자 지정한 관리 역할인 - “Mail Recipient Creation with no Remove”를 생성한 다음 이를 “HelpDesk Administrator” 역할 그룹에 할당합니다.

      Get-ManagementRole "Mail Recipient Creation" | New-ManagementRole "Mail Recipient Creation with no Remove"

Get-ManagementRole "Mail Recipient Creation with no Remove" | Get-ManagementRoleEntry | Where {$_.Name -like "remove*"} | Remove-ManagementRoleEntry -confirm:$false

New-ManagementRoleAssignment -SecurityGroup "HelpDesk Administrator" -Role "Mail Recipient Creation with no Remove"
      

8. 마찬가지로 아래는 “Mail Recipients” 관리 역할을 사용자 지정하기 위한 일련의 PowerShell 명령입니다. 새로 사용자 지정한 관리 역할인 - “Mail Recipients with no Remove”를 생성한 다음 이를 “HelpDesk Administrator” 역할 그룹에 할당합니다.

      Get-ManagementRole "Mail Recipients" | New-ManagementRole "Mail Recipients with no Remove" 

Get-ManagementRole "Mail Recipients with no Remove" | Get-ManagementRoleEntry | where {$_.Name -like "remove*"} | Remove-ManagementRoleEntry -confirm:$false 

New-ManagementRoleAssignment -SecurityGroup "HelpDesk Administrator" -Role "Mail Recipients with no Remove"
      

9. “Message Tracking” 및 “Move Mailboxes” 관리 역할은 작업을 수행하는 데 필요한 cmdlet이 있으므로 별도의 사용자 지정이 필요하지 않습니다. 아래 명령은 기본 역할인 “Message Tracking” 및 “Move Mailboxes”를 역할 그룹 “HelpDesk Administrator”에 할당합니다.

      New-ManagementRoleAssignment –SecurityGroup “HelpDesk Administrator” –Role “Message Tracking”

New-ManagementRoleAssignment –SecurityGroup “HelpDesk Administrator” –Role “Move Mailboxes”
      

10. 마지막으로 아래 PowerShell 명령을 사용하여 역할 그룹 “HelpDesk Administrator”에 구성원을 추가합니다.

      Get-RoleGroup “HelpDesk Administrator” | Add-RoleGroupMember –Member Krishna.kumar
      

마지막으로, 완전히 맞춤 구성된 역할 그룹 “HelpDesk Administrator”가 있습니다. “HelpDesk Administrator” 그룹의 구성원은 메일박스, 배포 그룹 등을 생성하고 수정할 수 있는 권한이 있지만, 삭제 권한은 없습니다. PowerShell을 사용해 RBAC 권한을 사용자 지정하는 방법을 잘 이해하셨길 바랍니다.