Concessione dei diritti di rappresentazione tramite PowerShell

Obiettivo

Questo messaggio spiegherà come fornire i diritti di rappresentazione a un account amministratore tramite PowerShell.

Prerequisito

• Per fornire i diritti di rappresentazione a un amministratore dell'ambiente Office 365 o del server Exchange ospitato in una posizione remota, connettersi a Exchange remoto tramite PowerShell.
• Per fornire i diritti di rappresentazione a un amministratore del proprio Exchange in locale, accertarsi che il sistema nel quale si apre PowerShell e il server Exchange siano sullo stesso dominio. Se il sistema e i server Exchange sono su domini diversi, accertarsi che ci sia un legame attendibile tra i domini.

Fasi

• Aprire Windows PowerShell.
• Controllare che l’account amministratore abbia già i diritti di rappresentazione tramite il seguente cmdlet.
  Get-ManagementRoleAssignment -RoleAssignee "$account_name" -Role ApplicationImpersonation -RoleAssigneeType user

  Sostituire $account_name con il nome dell'account amministratore Exchange.

• Se l’account amministratore non ha i diritti di rappresentazione, esegui il seguente cmdlet per assegnare tali diritti.
  New-ManagementRoleAssignment -Name:$impersonation_Assignment_Name -Role:ApplicationImpersonation -User: "$account_name"

  Sostituire $impersonation_Assignment_Name con un nome unico per questa operazione.

  Nota: È possibile escludere la sezione $impersonation_Assignment_Name del cmdlet e un nome di assegnazione unico sarà generato automaticamente.

L’account amministratore possiede adesso i diritti di rappresentazione per tutti gli utenti. È inoltre possibile limitare i diritti di rappresentazione dell’amministratore agli utenti di un qualsiasi gruppo AD definendo un nuovo ambito di gestione.

Per limitare i diritti di rappresentazione dell’amministratore a un set di utenti specifico, seguire la procedura di seguito.

• Creare un nuovo ambito di gestione.
  $ADGroup = Get-DistributionGroup -Identity "$group_name" New-ManagementScope "$scope_name" -RecipientRestrictionFilter "MemberOfGroup -eq '$($ADGroup.DistinguishedName)'"

  Sostituire $group_name con il nome del gruppo AD e $scope_name con un nome unico di tua scelta per tale ambito.

• Modificare i diritti di rappresentazione affinché siano applicabili solo all’ambito creato.
  Set-ManagementRoleAssignment "$impersonation_Assignment_Name" -CustomRecipientWriteScope "$scope_name"

Adesso l’amministratore fornisce i diritti di rappresentazione al membro del gruppo AD selezionato.

Revoca dei diritti di rappresentazione

Per rimuovere i diritti di rappresentazione forniti a un amministratore in qualsiasi momento, eseguire questo cmdlet.