Nadawanie uprawnień do personifikacji przy użyciu PowerShell

Zamierzenie

W tym wpisie wyjaśniono, w jaki sposób można nadać uprawnienia do personifikacji na koncie administratora za pomocą PowerShell.

Wymaganie wstępne

• Aby nadać uprawnienia do personifikacji administratorowi środowiska Office 365 lub serwera Exchange hostowanego w lokalizacji zdalnej, należy połączyć się ze zdalnym serwerem Exchange za pomocą PowerShell.
• Aby nadać uprawnienia do personifikacji administratorowi lokalnego serwera Exchange, należy upewnić się, że system, w którym otwierany jest PowerShell i serwer Exchange są w tej samej domenie. Jeśli system i serwery Exchange są w różnych domenach, należy upewnić się, że między domenami ustanowiono zaufane połączenie.

Kroki

• Otwórz Windows PowerShell.
• Sprawdź, czy konto administratora ma już przypisane uprawnienia do personifikacji, korzystając z poniższego polecenia cmdlet.
  Get-ManagementRoleAssignment -RoleAssignee "$account_name" -Role ApplicationImpersonation -RoleAssigneeType user

  Zastąp $account_name nazwą konta administratora usługi Exchange.

• Jeśli do konta administratora nie przypisano uprawnień do personifikacji, należy wykonać poniższe polecenie cmdlet, aby przypisać te uprawnienia.
  New-ManagementRoleAssignment -Name:$impersonation_Assignment_Name -Role:ApplicationImpersonation -User: "$account_name"

  Zastąp $impersonation_Assignment_Name unikatową nazwą dla tej operacji.

  Uwaga: Sekcję $impersonation_Assignment_Name polecenia cmdlet można wykluczyć, a unikatowa nazwa przypisania zostanie wygenerowana automatycznie.

Konto administratora ma teraz uprawnienia do personifikacji wszystkich użytkowników. Można również ograniczyć prawa administratora do personifikacji użytkowników dowolnej grupy usługi AD, definiując nowy zakres zarządzania.

Aby ograniczyć prawa administratora do personifikacji określonego zbioru użytkowników, wykonaj poniższe czynności.

• Utwórz nowy zakres zarządzania.
  $ADGroup = Get-DistributionGroup -Identity "$group_name" New-ManagementScope "$scope_name" -RecipientRestrictionFilter "MemberOfGroup -eq '$($ADGroup.DistinguishedName)'"

  Zastąp $group_name nazwą grupy usługi AD, a $scope_name unikatową nazwą wybranego zakresu.

• Zmodyfikuj uprawnienia do personifikacji, aby dotyczyły tylko utworzonego zakresu.
  Set-ManagementRoleAssignment "$impersonation_Assignment_Name" -CustomRecipientWriteScope "$scope_name"

Administrator otrzymał teraz uprawnienia do personifikacji członka wybranej grupy usługi AD.

Odebranie uprawnień do personifikacji

Aby w dowolnym momencie usunąć uprawnienia do personifikacji nadane administratorowi, należy wykonać to polecenie cmdlet.