Remarque
L’accès à cette page nécessite une autorisation. Vous pouvez essayer de vous connecter ou de modifier des répertoires.
L’accès à cette page nécessite une autorisation. Vous pouvez essayer de modifier des répertoires.
S’APPLIQUE à :
2016 2019 Édition d’abonnement
Les organisations qui séparent la gestion des objets Exchange Server 2016 et Exchange Server 2019 et des objets Active Directory utilisent ce que l’on appelle un modèle d’autorisations fractionnées. Les autorisations fractionnées permettent aux organisations d’attribuer des autorisations spécifiques et des tâches connexes à des groupes spécifiques au sein de l’organisation. Cette séparation du travail permet de maintenir les normes et les flux de travail, et aide à contrôler le changement dans l’organisation.
Le niveau le plus élevé d'autorisations fractionnées est la séparation de la gestion Exchange et de la gestion Active Directory. De nombreuses organisations ont deux groupes : les administrateurs qui gèrent l’infrastructure Exchange de l’organisation, y compris les serveurs et les destinataires, et les administrateurs qui gèrent l’infrastructure Active Directory. Il s’agit d’une séparation importante pour de nombreuses organisations, car l’infrastructure Active Directory couvre souvent de nombreux emplacements, domaines, services, applications, et même des forêts Active Directory. Les administrateurs d'Active Directory doivent s'assurer que les modifications apportées à Active Directory n'ont pas d'impact négatif sur les autres services. Par conséquent, seul un petit groupe d’administrateurs est généralement autorisé à gérer cette infrastructure.
En même temps, l’infrastructure d’Exchange, y compris les serveurs et les destinataires, peut également être complexe et nécessiter des connaissances spécialisées. En outre, Exchange stocke des informations extrêmement confidentielles sur les activités de l’organisation. Les administrateurs Exchange peuvent potentiellement accéder à ces informations. En limitant le nombre d'administrateurs Exchange, l'organisation limite qui peut apporter des modifications à la configuration Exchange et qui peut accéder aux informations sensibles.
Les autorisations fractionnées font généralement une distinction entre la création d’entités de sécurité dans Active Directory, telles que des utilisateurs et des groupes de sécurité, et la configuration ultérieure de ces objets. Cela permet de réduire les risques d’accès non autorisé au réseau en contrôlant qui peut créer des objets qui y donnent accès. Le plus souvent, seuls les administrateurs Active Directory peuvent créer des entités de sécurité, tandis que d’autres administrateurs, tels que les administrateurs Exchange, peuvent gérer des attributs spécifiques sur des objets Active Directory existants.
Pour prendre en charge les différents besoins de séparation de la gestion d’Exchange et d’Active Directory, Exchange vous permet de choisir d’utiliser un modèle d’autorisations partagées ou fractionnées. Exchange propose deux types de modèles d’autorisations fractionnées : RBAC et Active Directory. Exchange utilise par défaut un modèle d’autorisations partagées.
Explication des rôles basés sur Access Control et Active Directory
Pour comprendre les autorisations fractionnées, vous devez comprendre comment le modèle d’autorisations Role Based Access Control (RBAC) dans Exchange fonctionne avec Active Directory. Le modèle RBAC contrôle qui peut effectuer quelles actions et sur quels objets ces actions peuvent être effectuées. Pour plus d’informations sur les différents composants de RBAC abordés dans cette rubrique, voir Autorisations Exchange Server.
Toutes les tâches effectuées sur des objets Exchange doivent être effectuées via l’environnement de ligne de commande Exchange Management Shell ou l’interface du centre d’administration Exchange (CAE). Ces deux outils de gestion utilisent RBAC pour autoriser toutes les tâches effectuées.
RBAC est un composant qui existe sur tous les serveurs Exchange. RBAC vérifie si l’utilisateur qui effectue une action est autorisé à le faire :
Si l’utilisateur n’est pas autorisé à effectuer l’action, RBAC n’autorise pas la poursuite de l’action.
Si l’utilisateur est autorisé à effectuer l’action, le contrôle d’accès en fonction du rôle vérifie si l’utilisateur est autorisé à effectuer l’action pour l’objet spécifique demandé :
Si l’utilisateur est autorisé, le contrôle d’accès en fonction du rôle autorise la poursuite de l’action.
Si l’utilisateur n’est pas autorisé, le contrôle d’accès en fonction du rôle n’autorise pas la poursuite de l’action.
Si RBAC autorise la poursuite d’une action, celle-ci est exécutée dans le contexte du sous-système de confiance Exchange et non dans le contexte de l’utilisateur. Le sous-système de confiance Exchange est un groupe de sécurité universel (USG) hautement privilégié qui dispose d’un accès en lecture/écriture à tous les objets Exchange dans l’organisation Exchange. Il est également membre du groupe de sécurité local Administrateurs et de l’USG d’autorisations Windows Exchange, qui permet à Exchange de créer et de gérer des objets Active Directory.
Avertissement
N’apportez aucune modification manuelle à l’appartenance au groupe de sécurité Sous-système de confiance Exchange. Ne l’ajoutez pas non plus aux listes de contrôle d’accès (ACL) objet et ne les supprimez pas. En apportant vous-même des modifications au sous-système de confiance (USG) de confiance d’Exchange, vous pourriez causer des dommages irréparables à votre organisation Exchange.
Il est important de comprendre que les autorisations Active Directory dont dispose un utilisateur lors de l’utilisation des outils de gestion Exchange n’ont pas d’importance. Si l’utilisateur est autorisé, via RBAC, à effectuer une action dans les outils de gestion Exchange, il peut effectuer cette action, quelles que soient ses autorisations Active Directory. À l’inverse, si un utilisateur est un Administration d’entreprise dans Active Directory mais n’est pas autorisé à effectuer une action, par exemple la création d’une boîte aux lettres, dans les outils de gestion Exchange, l’action échouera, car l’utilisateur ne dispose pas des autorisations requises selon RBAC.
Importante
Bien que le modèle d’autorisations RBAC ne s’applique pas à l’outil de gestion des Utilisateurs et ordinateurs Active Directory, les Utilisateurs et ordinateurs Active Directory ne peuvent pas gérer la configuration Exchange. S, bien qu’un utilisateur puisse avoir accès pour modifier certains attributs sur des objets Active Directory, tels que le nom d’affichage d’un utilisateur, l’utilisateur doit utiliser les outils de gestion Exchange, et doit donc être autorisé par RBAC, pour gérer les attributs Exchange.
Autorisations partagées
Le modèle à autorisations partagées est le modèle par défaut pour Exchange. Vous n’avez rien à changer s’il s’agit du modèle d’autorisation que vous souhaitez utiliser. Ce modèle ne sépare pas la gestion des objets Exchange et Active Directory à l’intérieur des outils de gestion Exchange. Il permet aux administrateurs utilisant les outils de gestion Exchange de créer des entités de sécurité dans Active Directory.
Le tableau suivant présente les rôles qui permettent la création de principaux de sécurité dans Exchange et les groupes de rôles de gestion auxquels ils sont affectés par défaut.
| Rôle de gestion | Groupe de rôles |
|---|---|
| Rôle Création de destinataires de message | Gestion de l'organisation |
| Création du groupe de sécurité et rôle de membre | Gestion de l'organisation |
Seuls les groupes de rôles, les utilisateurs ou les groupes de sécurité utilisateur auxquels le rôle de création de destinataire de message est attribué peuvent créer des entités de sécurité telles que des utilisateurs Active Directory. Par défaut, ce rôle est affecté aux groupes de rôles Gestion de l’organisation et Gestion des destinataires. Par conséquent, les membres de ces groupes de rôles peuvent créer des entités de sécurité.
Seuls les groupes de rôles, les utilisateurs ou les groupes de sécurité utilisateur auxquels le rôle Création et appartenance à un groupe de sécurité est attribué peuvent créer des groupes de sécurité ou gérer leurs appartenances. Par défaut, seul le groupe de rôles Gestion de l’organisation se voit attribuer ce rôle. Par conséquent, seuls les membres du groupe de rôles Gestion de l’organisation peuvent créer ou gérer l’appartenance à des groupes de sécurité.
Vous pouvez attribuer le rôle de création de destinataire de message et le rôle de création et d’appartenance au groupe de sécurité à d’autres groupes de rôles, utilisateurs ou USG si vous souhaitez que d’autres utilisateurs puissent créer des entités de sécurité.
Pour activer la gestion des entités de sécurité existantes dans Exchange, le rôle Destinataires de courrier est attribué par défaut aux groupes de rôles Gestion de l’organisation et Gestion des destinataires. Seuls les groupes de rôles, les utilisateurs ou les USG auxquels le rôle Destinataire de courrier est attribué peuvent gérer les entités de sécurité existantes. Si vous souhaitez que d’autres groupes de rôles, utilisateurs ou USG puissent gérer les entités de sécurité existantes, vous devez leur attribuer le rôle Destinataire de courrier.
Pour plus d’informations sur l’ajout de rôles à des groupes de rôles, des utilisateurs ou des USG, consultez les rubriques suivantes :
Si vous êtes passé à un modèle d’autorisations fractionnées et que vous souhaitez revenir à un modèle d’autorisations partagées, consultez Configurer Exchange Server pour les autorisations partagées.
Autorisations fractionnées
Si votre organisation sépare la gestion Exchange et la gestion Active Directory, vous devez configurer Exchange pour qu’il prenne en charge le modèle d’autorisations fractionnées. Lorsque la configuration est correcte, seuls les administrateurs pour lesquels vous souhaitez créer des entités de sécurité, tels que les administrateurs Active Directory, pourront le faire, et seuls les administrateurs Exchange pourront modifier les attributs Exchange sur des entités de sécurité existantes. Cette répartition des autorisations est également similaire à celle des partitions de domaine et de configuration dans Active Directory. Les partitions sont également appelées contextes d’appellation. La partition de domaine stocke les utilisateurs, les groupes et les autres objets d’un domaine spécifique. La partition de configuration stocke les informations de configuration à l’échelle de la forêt pour les services qui utilisaient Active Directory, tels qu’Exchange. Les données stockées dans la partition de domaine sont généralement gérées par les administrateurs Active Directory, bien que les objets puissent contenir des attributs spécifiques à Exchange qui peuvent être gérés par les administrateurs Exchange. Les données stockées dans la partition de configuration sont gérées par les administrateurs pour chaque service respectif qui stocke des données dans cette partition. Pour Exchange, il s’agit généralement des administrateurs Exchange.
Exchange prend en charge les deux types d’autorisations fractionnées suivants :
Autorisations fractionnées RBAC : les autorisations pour créer des entités de sécurité dans la partition de domaine Active Directory sont contrôlées par RBAC. Seuls les serveurs, services et services Exchange membres des groupes de rôles appropriés peuvent créer des entités de sécurité.
Autorisations fractionnées Active Directory : les autorisations de création d’entités de sécurité dans la partition de domaine Active Directory sont intégralement supprimées pour tout utilisateur, service ou serveur Exchange. Aucune option n'est fournie dans le contrôle RBAC pour créer des principaux de sécurité. Dans Active Directory, ces derniers doivent être créés à l'aide des outils de gestion Active Directory.
Importante
Dans les scénarios de coexistence, la configuration des autorisations fractionnées Active Directory s’applique également aux serveurs Exchange 2010 ou version ultérieure de l’organisation.
Si votre organisation choisit d’utiliser un modèle d’autorisations fractionnées au lieu d’autorisations partagées, nous vous recommandons d’utiliser le modèle d’autorisations fractionnées RBAC. Le modèle d’autorisations fractionnées RBAC offre beaucoup plus de flexibilité tout en offrant la même séparation d’administration que les autorisations fractionnées Active Directory, à l’exception du fait que les serveurs et services Exchange peuvent créer des entités de sécurité dans le modèle d’autorisations fractionnées RBAC.
Vous êtes invité à activer les autorisations fractionnées Active Directory pendant l’installation. Si vous choisissez d’activer les autorisations fractionnées Active Directory, vous ne pouvez passer aux autorisations partagées ou aux autorisations fractionnées RBAC qu’en réexécutant le programme d’installation et en désactivant les autorisations fractionnées Active Directory. Ce choix s’applique à tous les serveurs Exchange 2010 ou version ultérieure de l’organisation.
Les sections suivantes décrivent plus en détail les autorisations de fractionnement RBAC et Active Directory.
Autorisations fractionnées RBAC
Le modèle de sécurité RBAC modifie les attributions de rôles de gestion par défaut pour séparer les personnes autorisées à créer des entités de sécurité dans la partition de domaine Active Directory de celles qui administrent les données d’organisation Exchange dans la partition de configuration Active Directory. Les principaux de sécurité, tels que les utilisateurs dotés de boîtes aux lettres et associés à des groupes de distribution, peuvent être créés par des administrateurs qui sont membres des rôles Création de destinataires de message et Création et appartenance au groupe de sécurité. Ces autorisations restent distinctes des autorisations requises pour créer des principaux de sécurité en dehors des outils de gestion Exchange. Les administrateurs Exchange qui ne sont pas affectés aux rôles Création de destinataire de messagerie ou Création de groupe de sécurité et Appartenance peuvent toujours modifier les attributs liés à Exchange sur les principaux de sécurité. Active Directory administrateurs ont également la possibilité d’utiliser les outils de gestion Exchange pour créer des principaux de sécurité Active Directory.
Les serveurs Exchange et le sous-système de confiance Exchange disposent également d’autorisations pour créer des entités de sécurité dans Active Directory pour le compte d’utilisateurs et de programmes tiers qui s’intègrent au RBAC.
Les autorisations fractionnées RBAC sont un bon choix pour votre organisation si les conditions suivantes sont remplies :
Votre organisation n’exige pas que la création d’une entité de sécurité soit effectuée uniquement à l’aide des outils de gestion Active Directory et uniquement par les utilisateurs auxquels des autorisations Active Directory spécifiques sont attribuées.
Votre organization autorise des services, tels que les serveurs Exchange, à créer des entités de sécurité.
Vous souhaitez simplifier le processus requis pour créer des boîtes aux lettres, des utilisateurs à extension de messagerie, des groupes de distribution et des groupes de rôles en autorisant leur création à partir des outils de gestion Exchange.
Vous souhaitez gérer l’appartenance des groupes de distribution et des groupes de rôles dans les outils de gestion Exchange.
Il existe des programmes tiers qui exigent que les serveurs Exchange soient en mesure de créer des entités de sécurité en leur nom.
Si votre organisation nécessite une séparation complète de l’administration Exchange et Active Directory lorsque l’administration Active Directory ne peut pas être effectuée à l’aide des outils de gestion Exchange ou par les services Exchange, consultez la section Autorisations fractionnées Active Directory plus loin dans cette rubrique.
Le passage des autorisations partagées aux autorisations fractionnées RBAC est un processus manuel dans lequel vous supprimez les autorisations nécessaires à la création d’entités de sécurité dans les groupes de rôles qui leur sont accordés par défaut. Le tableau suivant présente les rôles qui permettent la création de principaux de sécurité dans Exchange et les groupes de rôles de gestion auxquels ils sont affectés par défaut.
| Rôle de gestion | Groupe de rôles |
|---|---|
| Rôle Création de destinataires de message | Gestion de l'organisation |
| Création du groupe de sécurité et rôle de membre | Gestion de l'organisation |
Par défaut, les membres des groupes de rôles Gestion de l’organisation et Gestion des destinataires peuvent créer des entités de sécurité. Vous devez transférer la possibilité de créer des entités de sécurité des groupes de rôles intégrés vers un nouveau groupe de rôles que vous créez.
Pour configurer les autorisations fractionnées RBAC, vous devez effectuer les opérations suivantes :
Désactivez Active Directory autorisations fractionnées si elle est activée.
Créez un groupe de rôles qui contiendra les administrateurs Active Directory qui pourront créer des entités de sécurité.
Créez des attributions normales et de rôles de délégation entre le rôle Création du destinataire de message et le nouveau groupe de rôles.
Créez des attributions normales et de rôles de délégation entre le rôle Création et appartenance au groupe de sécurité et le nouveau groupe de rôles.
Supprimez les attributions de rôle ordinaires et de gestion de délégation entre le rôle Création de destinataires de message et les groupes de rôles Gestion de l’organisation et Gestion des destinataires.
Supprimez les attributions de rôle ordinaires et de délégation entre le rôle Création et appartenance au groupe de sécurité et le groupe de rôles Gestion de l’organisation.
Une fois ces étapes effectuées, seuls les membres du nouveau groupe de rôles que vous créez seront en mesure de créer des entités de sécurité, telles que des boîtes aux lettres. Le nouveau groupe pourra uniquement créer les objets. Il ne sera pas en mesure de configurer les attributs Exchange sur le nouvel objet. Un administrateur Active Directory qui est membre du nouveau groupe doit créer l’objet et un administrateur Exchange doit ensuite configurer les attributs Exchange sur l’objet. Les administrateurs Exchange ne pourront pas utiliser les applets de commande suivantes :
New-Mailbox
New-MailContact
New-MailUser
New-RemoteMailbox
Remove-Mailbox
Remove-MailContact
Remove-MailUser
Remove-RemoteMailbox
Toutefois, les administrateurs Exchange pourront créer et gérer des objets spécifiques à Exchange, tels que des règles de flux de courrier (également appelées règles de transport), des groupes de distribution, etc., et gérer des attributs Exchange sur n’importe quel objet.
De plus, les fonctionnalités associées dans le CAE et Outlook sur le web (anciennement Outlook Web App), telles que l’Assistant Nouvelle boîte aux lettres, ne seront plus disponibles non plus ou généreront une erreur si vous essayez de les utiliser.
Si vous souhaitez que le nouveau groupe de rôles puisse également gérer les attributs Exchange sur le nouvel objet, le rôle Destinataires de courrier doit également être attribué au nouveau groupe de rôles.
Pour plus d’informations sur la configuration d’un modèle d’autorisations fractionnées, consultez Configurer Exchange 2013 pour les autorisations fractionnées.
Autorisations fractionnées Active Directory
Avec Active Directory autorisations fractionnées, la création de principaux de sécurité dans la partition de domaine Active Directory, telles que les boîtes aux lettres et les groupes de distribution, doit être effectuée à l’aide des outils de gestion Active Directory. Plusieurs modifications sont apportées aux autorisations accordées au sous-système approuvé Exchange et aux serveurs Exchange pour limiter ce que les administrateurs et serveurs Exchange peuvent faire. Les modifications suivantes apportées aux fonctionnalités se produisent lorsque vous activez Active Directory autorisations fractionnées :
La création de boîtes aux lettres, d’utilisateurs à extension messagerie, de groupes de distribution et d’autres principaux de sécurité est supprimée des outils de gestion Exchange.
L’ajout et la suppression des membres du groupe de distribution ne peuvent pas être effectués à partir des outils de gestion Exchange.
Toutes les autorisations accordées au sous-système approuvé Exchange et aux serveurs Exchange pour créer des principaux de sécurité sont supprimées.
Les serveurs Exchange et les outils de gestion Exchange peuvent uniquement modifier les attributs Exchange des principaux de sécurité existants dans Active Directory.
Par exemple, pour créer une boîte aux lettres avec des autorisations fractionnées Active Directory activées, un utilisateur doit d’abord être créé à l’aide des outils Active Directory par un utilisateur disposant des autorisations Active Directory requises. Ensuite, l’utilisateur peut activer la boîte aux lettres à l’aide des outils de gestion Exchange. Seuls les attributs liés à Exchange de la boîte aux lettres peuvent être modifiés par les administrateurs Exchange à l’aide des outils de gestion Exchange.
Les autorisations fractionnées Active Directory constituent un bon choix pour votre organisation si les conditions suivantes sont remplies :
Votre organisation exige que les entités de sécurité soient créées uniquement à l’aide des outils de gestion Active Directory ou uniquement par les utilisateurs disposant d’autorisations spécifiques dans Active Directory.
Vous voulez séparer complètement la possibilité de créer des entités de sécurité de celles qui gèrent l’organisation Exchange.
Vous voulez effectuer la gestion complète des groupes de distribution, y compris la création de groupes de distribution et l’ajout et la suppression de membres de ces groupes, à l’aide des outils de gestion Active Directory.
Vous ne voulez pas que les serveurs Exchange ou les programmes tiers qui utilisent Exchange en leur nom créent des entités de sécurité.
Remarques :
Le passage aux autorisations fractionnées Active Directory est un choix que vous pouvez faire lorsque vous installez Exchange à l’aide de l’Assistant Installation ou du commutateur de ligne de commande /ActiveDirectorySplitPermissions avec Setup.exe (et vous devez toujours spécifier le commutateur /PrepareAD avec le commutateur /ActiveDirectorySplitPermissions ).
Vous pouvez également activer ou désactiver les autorisations fractionnées Active Directory après avoir installé Exchange en réexécutant Setup.exe à partir de la ligne de commande. Pour activer les autorisations fractionnées Active Directory, utilisez la valeur
/ActiveDirectorySplitPermissions:True. Pour la désactiver, utilisez la valeur/ActiveDirectorySplitPermissions:False.Si vous avez plusieurs domaines dans la même forêt, vous devez également effectuer l’une des étapes suivantes :
Spécifiez le commutateur /PrepareAllDomains lorsque vous appliquez des autorisations fractionnées Active Directory.
Exécutez Setup.exe avec le commutateur /PrepareDomain dans chaque domaine. Vous devez préparer chaque domaine qui contient des serveurs Exchange, des objets à extension messagerie ou des serveurs de catalogue global accessibles par un serveur Exchange.
Vous ne pouvez pas activer les autorisations fractionnées Active Directory si vous avez installé Exchange 2010 ou une version ultérieure sur un contrôleur de domaine.
Après avoir activé ou désactivé les autorisations fractionnées Active Directory, nous vous recommandons de redémarrer les serveurs Exchange au sein de votre organisation pour les forcer à sélectionner le nouveau jeton d’accès Active Directory avec les autorisations mises à jour.
Exchange obtient les autorisations fractionnées Active Directory en supprimant les autorisations et l’appartenance du groupe de sécurité Autorisations Exchange Windows. Ce groupe de sécurité, dans les autorisations partagées et les autorisations fractionnées RBAC, reçoit des autorisations sur de nombreux objets et attributs non-Exchange dans Active Directory. En supprimant les autorisations et l’appartenance à ce groupe de sécurité, les administrateurs et les services Exchange ne peuvent pas créer ou modifier ces objets Active Directory non Exchange.
Le tableau suivant contient la liste des modifications apportées au groupe de sécurité Autorisations Exchange Windows et à d’autres composants Exchange lorsque vous activez ou désactivez les autorisations fractionnées Active Directory.
Remarque
Les attributions de rôles aux groupes de rôles qui permettent aux administrateurs Exchange de créer des entités de sécurité sont supprimées lorsque les autorisations fractionnées Active Directory sont activées. Cette opération vise à supprimer l’accès aux applets de commande qui généreraient sinon une erreur lors de leur exécution, car elles ne disposent pas des autorisations nécessaires pour créer l’objet Active Directory associé.
| Action | Modifications apportées par Exchange |
|---|---|
| Activer les autorisations fractionnées Active Directory lors de la première installation d’Exchange Server | Les actions suivantes se produisent lorsque vous activez les autorisations fractionnées Active Directory, soit via l’Assistant Installation, soit en exécutant Setup.exe avec les commutateurs /PrepareAD et /ActiveDirectorySplitPermissions:true de ligne de commande :
Si vous exécutez Setup.exe avec le commutateur /PrepareAllDomains ou /PrepareDomain , les actions suivantes se produisent dans chaque domaine enfant préparé :
|
| Passer des autorisations partagées ou des autorisations fractionnées RBAC aux autorisations fractionnées Active Directory | Les actions suivantes se produisent lorsque vous exécutez la commande setup.exe avec les commutateurs /PrepareAD et /ActiveDirectorySplitPermissions:true de ligne de commande :
Si vous exécutez Setup.exe avec le commutateur /PrepareAllDomains ou /PrepareDomain , les actions suivantes se produisent dans chaque domaine enfant préparé :
|
| Passer des autorisations fractionnées Active Directory aux autorisations partagées ou aux autorisations fractionnées RBAC | Les actions suivantes se produisent lorsque vous exécutez Setup.exe avec / PrepareAD et /ActiveDirectorySplitPermissions:false les commutateurs :
Si vous exécutez le programme d’installation avec le commutateur /PrepareAllDomains ou /PrepareDomain , les actions suivantes se produisent dans chaque domaine enfant préparé :
Attributions de rôles au destinataire du courrier et à la création de groupes de sécurité Les rôles ne sont pas automatiquement créés lors du passage des autorisations fractionnées Active Directory aux autorisations partagées. Si la délégation des attributions de rôles a été personnalisée avant l’activation des autorisations fractionnées Active Directory, ces personnalisations sont laissées intactes. Pour créer des attributions de rôles entre ces rôles et le groupe de rôles Gestion de l’organisation, voir Configurer Exchange Server pour les autorisations partagées. |
Une fois que vous avez activé Active Directory autorisations fractionnées, les applets de commande suivantes ne sont plus disponibles :
New-Mailbox
New-MailContact
New-MailUser
New-RemoteMailbox
Remove-Mailbox
Remove-MailContact
Remove-MailUser
Remove-RemoteMailbox
Une fois que vous avez activé les autorisations fractionnées Active Directory, les applets de commande suivantes sont accessibles, mais vous ne pouvez pas les utiliser pour créer des groupes de distribution ou modifier l’appartenance à des groupes de distribution :
Add-DistributionGroupMember
New-DistributionGroup
Remove-DistributionGroup
Remove-DistributionGroupMember
Update-DistributionGroupMember
Certaines applets de commande, bien que toujours disponibles, peuvent n’offrir que des fonctionnalités limitées lorsqu’elles sont utilisées avec des autorisations fractionnées Active Directory. En effet, ils peuvent vous permettre de configurer des objets destinataires qui se trouvent dans la partition Active Directory du domaine et des objets de configuration Exchange qui se trouvent dans la partition Active Directory de configuration. Ils peuvent également vous permettre de configurer des attributs Exchange sur des objets stockés dans la partition de domaine. Les tentatives d’utilisation des applets de commande pour créer des objets ou modifier des attributs non liés à Exchange sur des objets dans la partition de domaine se solderont par une erreur. Par exemple, l’applet de commande Add-ADPermission renvoie une erreur si vous tentez d’ajouter des autorisations à une boîte aux lettres. Toutefois, l’applet de commande Add-ADPermission réussira si vous configurez des autorisations sur un connecteur de réception. Cela s’explique par le fait qu’une boîte aux lettres est stockée dans la partition de domaine, tandis que les connecteurs de réception sont stockés dans la partition de configuration.
En outre, les fonctionnalités associées dans le CAE et Outlook sur le web, telles que l’Assistant Nouvelle boîte aux lettres, ne seront plus disponibles ou généreront une erreur si vous essayez de les utiliser.
En revanche, les administrateurs Exchange pourront créer et gérer des objets spécifiques à Exchange, tels que des règles de flux de courrier, etc.
Pour plus d’informations sur la configuration d’un modèle Active Directory avec des autorisations fractionnées, consultez Configurer Exchange 2013 pour des autorisations fractionnées.