Noções básicas sobre as políticas de atribuições de função de gerenciamento

Aplica-se a: Exchange Server 2013

Uma política de atribuição de funções de gestão é uma coleção de uma ou mais funções de gestão de utilizadores finais que permite aos utilizadores finais gerir as suas próprias Microsoft Exchange Server configuração do grupo de distribuição e caixa de correio de 2013. As diretivas de atribuição de função, que são parte do modelo de permissões RBAC (controle de acesso baseado na função) no Exchange 2013, permitem controlar quais configurações de grupo de distribuição e caixa de correio específicas seus usuários finais poderão modificar. Grupos de usuários diferentes podem ter diretivas de atribuição de função especializadas para eles.

Observação

Este tópico concentra-se na funcionalidade avançada de RBAC. Se quiser gerir permissões básicas do Exchange 2013, como utilizar o Centro de administração do Exchange (EAC) para adicionar e remover membros de e para grupos de funções, criar e modificar grupos de funções ou criar e modificar políticas de atribuição de funções, consulte Permissões.

Para mais informações sobre o RBAC, consulte Controle de acesso baseado em função de compreensão.

Camadas de diretiva de atribuição de função

A lista a seguir descreve as camadas que compõem o modelo de diretiva de atribuição de função:

• Caixa de correio: é atribuída uma única política de atribuição de função às caixas de correio. Quando uma caixa de correio é atribuída a uma diretiva de atribuição de função, as atribuições entre as funções de gerenciamento e a diretiva de atribuição de função são aplicadas à caixa de correio. Isso concede à caixa de correio todas as permissões oferecidas pelas funções de gerenciamento.

• Política de atribuição de funções de gestão: a política de atribuição de funções de gestão é um objeto especial no Exchange 2013. Os usuários são associados a uma diretiva de atribuição de função quando suas caixas de correio são criadas, ou se você alterar a diretiva de atribuição de função em uma caixa de correio. Também é a ela que você atribui funções de gerenciamento de usuário final. A combinação de todas as funções em uma diretiva de atribuição de função define tudo o que o usuário pode gerenciar em sua caixa de correio ou em seus grupos de distribuição.

• Atribuição de função de gestão: uma atribuição de função de gestão é a ligação entre uma função de gestão e uma política de atribuição de funções. Atribuir uma função de gerenciamento a uma diretiva de atribuição de função concede a capacidade de usar cmdlets e parâmetros definidos na função de gerenciamento. Ao criar uma atribuição de função entre uma diretiva de atribuição de função e uma função de gerenciamento, não é possível especificar um escopo. O âmbito aplicado pela atribuição baseia-se na função de gestão e é Self ou MyGAL. Para obter mais informações, consulte Noções básicas sobre as atribuições de função de gerenciamento.

• Função de gestão: uma função de gestão é um contentor para um agrupamento de entradas de funções de gestão. As funções são usadas para definir as tarefas específicas que um usuário pode realizar em sua caixa de correio ou em seus grupos de distribuição. Uma entrada de função de gerenciamento é um cmdlet, script ou permissão especial que permite que cada tarefa especificada em uma função de gerenciamento seja realizada. Só é possível usar funções de gerenciamento com diretivas de atribuição de função. Para obter mais informações, veja Compreender as funções de gestão.

• Entrada da função de gestão: as entradas da função de gestão são as entradas individuais numa função de gestão que determinam que cmdlets e parâmetros estão disponíveis para a função de gestão e o grupo de funções. Cada entrada de função consiste em um único cmdlet e nos parâmetros que podem ser acessados pela função de gerenciamento.

A imagem a seguir mostra cada camada de diretiva de atribuição de função na lista anterior e como cada camada se relaciona à outra.

Para mais informações sobre funções de gerenciamento, atribuições de função e escopos, consulte Controle de acesso baseado em função de compreensão.

Diretivas de atribuição de função explícitas e padrão

As seções a seguir descrevem os dois tipos de diretivas de atribuição de função no Exchange 2013.

Diretiva de atribuição de função padrão

Uma política de atribuição de função predefinida é atribuída a uma caixa de correio quando a caixa de correio é criada ou movida para um servidor com o Exchange 2013 e não foi fornecida uma política de atribuição de funções com o parâmetro RoleAssignmentPolicy nos cmdlets New-Mailbox ou Enable-Mailbox .

O Exchange 2013 inclui uma diretiva de atribuição de função padrão que oferece aos usuários finais as permissões de uso mais comum. As permissões padrão podem ser alteradas na diretiva de atribuição de função padrão adicionando funções de gerenciamento a ela ou removendo-as.

Se você quiser substituir a diretiva de atribuição de função padrão integrada pela sua própria diretiva de atribuição de função padrão, use o cmdlet Set-RoleAssignmentPolicy para selecionar um novo padrão. Ao fazer isso, as caixas de correio novas são atribuídas à diretiva de atribuição de função especificada por padrão, caso uma diretiva de atribuição de função não seja especificada explicitamente.

Quando você altera a diretiva de atribuição de função padrão, as caixas de correio atribuídas à diretiva de atribuição de função padrão não são atribuídas automaticamente à nova diretiva de atribuição de função padrão. Se quiser atualizar caixas de correio criadas anteriormente para que usem a diretiva de atribuição de função que você definiu como padrão, use o cmdlet Set-Mailbox para isso.

Diretiva de Atribuição de Função Explícita

Uma diretiva de atribuição de função explícita é uma diretiva que você atribui a uma caixa de correio manualmente usando o parâmetro RoleAssignmentPolicy nos cmdlets New-Mailbox, Set-Mailbox ou Enable-Mailbox. Ao atribuir uma diretiva de atribuição de função explícita, a nova diretiva tem efeito imediato e substitui a diretiva de atribuição de função explícita atribuída anteriormente.

Usando diretivas de atribuição de função

As diretivas de atribuição de função permitem adaptar as permissões com base nas necessidades empresariais seus usuários precisam ser capazes de configurar. Se a diretiva de atribuição de função padrão atender às suas necessidades, não será preciso fazer mais personalizações. No entanto, se você tiver muitos grupos de usuários diferentes com necessidades especializadas, é possível criar diretivas de atribuição de função para cada um deles.

A diretiva de atribuição de função padrão que você usa deve conter as permissões que se aplicam ao maior grupo de seus usuários. Em seguida, crie diretivas de atribuição de função para cada grupo especializado de usuários e adapte essas diretivas de atribuição de função para conceder mais ou menos permissões restritivas a eles. Ao organizar suas diretivas de atribuição de função dessa forma, você reduz a complexidade atribuindo explicitamente apenas diretivas de atribuição de função aos seus usuários especializados, enquanto a maior parte de seus usuários recebe as permissões mais comuns fornecidas pela diretiva de atribuição de função padrão.

Uma caixa de correio pode ter apenas uma diretiva de atribuição de função. A todos os usuários, incluindo os administradores e usuários especialistas, é atribuída uma diretiva de atribuição de função. Se quiser que um usuário tenha um conjunto diferente de permissões, atribua à caixa de correio do usuário outra diretiva de atribuição de função com as permissões exigidas.

Gerenciamento de diretiva de atribuição de função

Para adicionar uma nova diretiva de atribuição de função, crie uma primeiro e decida se ela deve ser a diretiva de atribuição de função padrão. Depois de criar uma diretiva de atribuição de função, atribua funções de gerenciamento à diretiva de atribuição de função e atribua a diretiva de atribuição de função às caixas de correio. Mais tarde, você poderá adicionar ou remover funções de gerenciamento ou escolher uma diretiva de atribuição de função diferente como padrão.

A tabela a seguir lista a camada de diretiva de atribuição de função e os tópicos sobre os procedimentos que podem ser usados no gerenciamento de cada camada.

Tópicos de gerenciamento de diretiva de atribuição de função

Camada de modelo de diretiva de atribuição de função	Tópicos de gerenciamento
Mailbox	Gerenciar caixas de correio de usuários Alterar a política de atribuição de uma caixa de correio
Diretiva de atribuição de função	Gerenciar políticas de atribuição de função
Funções de gerenciamento e atribuições	Gerenciar políticas de atribuição de função
Entradas de função de gerenciamento	Adicionar uma entrada de função a uma função Alterar uma entrada de função Remover uma entrada de função de uma função Nota: a alteração das entradas de função de gestão em funções de gestão numa política de atribuição de funções é uma tarefa avançada e geralmente não é necessária na maioria dos casos. Você pode, em vez disso, ser capaz de usar uma função de gerenciamento pré-existente adequada às suas necessidades. Para obter mais informações, veja Grupos de funções incorporados.