Exchange Server Berechtigungen

Microsoft Exchange Server umfasst einen großen Satz vordefinierter Berechtigungen, basierend auf dem Berechtigungsmodell für die rollenbasierte Zugriffssteuerung (Role Based Access Control, RBAC), das Sie sofort verwenden können, um Ihren Administratoren und Benutzern einfach Berechtigungen zu erteilen. Sie können die Berechtigungsfeatures in Exchange Server verwenden, damit Sie Ihre neue Organisation schnell starten können.

Rollenbasierte Berechtigungen

In Exchange Server basieren die Berechtigungen, die Sie Administratoren und Benutzern erteilen, auf Verwaltungsrollen. Eine Rolle definiert die Aufgaben, die ein Administrator oder Benutzer ausführen kann. Eine Verwaltungsrolle mit dem Namen Mail Recipients definiert beispielsweise die Aufgaben, die jemand für eine Reihe von Postfächern, Kontakten und Verteilergruppen ausführen kann. Wenn einem Administrator oder Benutzer eine Rolle zugewiesen wird, erhält dieser die von der Rolle bereitgestellten Berechtigungen.

Es gibt zwei Typen von Rollen, Administratorrollen und Endbenutzerrollen:

  • Administrative Rollen: Diese Rollen enthalten Berechtigungen, die Administratoren oder Spezialisierten Benutzern mithilfe von Rollengruppen zugewiesen werden können, die einen Teil der Exchange Organisation verwalten, z. B. Empfänger, Server oder Datenbanken.

  • Endbenutzerrollen: Diese Rollen, die mithilfe von Rollenzuweisungsrichtlinien zugewiesen werden, ermöglichen Benutzern die Verwaltung von Aspekten ihres eigenen Postfachs und ihrer Eigenen Verteilergruppen. Endbenutzerrollen beginnen mit dem Präfix My.

Die Berechtigungen einer Rolle zum Ausführen von Aufgaben werden Administratoren und Benutzern erteilt, indem ihnen die entsprechenden Cmdlets zur Verfügung gestellt werden. Da das Exchange Admin Center (EAC) und die Exchange-Verwaltungsshell Cmdlets zum Verwalten Exchange verwenden, erhält der Administrator oder benutzer die Berechtigung, die Aufgabe in jeder der Exchange Verwaltungsschnittstellen auszuführen.

Rollengruppen und Rollenzuweisungsrichtlinien

Rollen erteilen Berechtigungen zum Ausführen von Aufgaben in Exchange Server, aber Sie benötigen eine einfache Möglichkeit, sie Administratoren und Benutzern zuzuweisen. Exchange Server bietet Folgendes, um Ihnen dabei zu helfen:

  • Rollengruppen: Mit Rollengruppen können Sie Administratoren und Spezialisierten Benutzern Berechtigungen erteilen.

  • Rollenzuweisungsrichtlinien: MitHilfe von Rollenzuweisungsrichtlinien können Sie Endbenutzern Berechtigungen zum Ändern von Einstellungen für ihr eigenes Postfach oder verteilergruppen erteilen, die sie besitzen.

Weitere Informationen zu Rollengruppen und Rollenzuweisungsrichtlinien finden Sie in den folgenden Abschnitten.

Rollengruppen

Jedem Administrator, der Exchange Server verwaltet, muss mindestens eine Rolle zugewiesen werden. Administratoren verfügen möglicherweise über mehr als eine Rolle, da sie möglicherweise Aufgabenfunktionen ausführen, die sich über mehrere Bereiche in Exchange erstrecken. Beispielsweise kann ein Administrator sowohl Empfänger als auch Exchange Server verwalten. In diesem Fall wird diesem Administrator möglicherweise sowohl die Rolle als auch die Mail Recipients Exchange Servers Rolle zugewiesen.

Um die Zuweisung mehrerer Rollen zu einem Administrator zu vereinfachen, enthält Exchange Server Rollengruppen. Rollengruppen sind spezielle universelle Sicherheitsgruppen (USGs), die von Exchange Server verwendet werden und Active Directory-Benutzer, USGs und andere Rollengruppen enthalten können. Beim Zuweisen einer Rolle zu einer Rollengruppe werden die Berechtigungen der Rolle allen Mitgliedern der Rollengruppe erteilt. So können Sie mehreren Rollengruppenmitgliedern gleichzeitig eine Vielzahl von Rollen zuweisen. Rollengruppen gelten typischerweise für umfassendere Verwaltungsbereiche, z. B. die Empfängerverwaltung. Sie werden ausschließlich mit Administratorrollen und nicht mit Endbenutzerrollen verwendet.

Hinweis

Eine Rolle kann einem Benutzer oder einer universellen Sicherheitsgruppe direkt und ohne Verwendung einer Rollengruppe zugewiesen werden. Diese Methode zur Rollenzuweisung ist jedoch ein erweitertes Verfahren, das in diesem Thema nicht behandelt wird. Es wird empfohlen, zur Verwaltung von Berechtigungen Rollengruppen einzusetzen.

Die folgende Abbildung zeigt die Beziehung zwischen Benutzern, Rollengruppen und Rollen.

Rollen, Rollengruppen und Rollengruppenmitglieder

Rollen-, Rollengruppen- und Mitgliederbeziehung.

Exchange Server umfasst mehrere integrierte Rollengruppen, die jeweils Berechtigungen zum Verwalten bestimmter Bereiche in Exchange Server bereitstellen. Bei einigen Rollengruppen gibt es möglicherweise Überschneidungen. In der folgenden Tabelle sind die einzelnen Rollengruppen sowie eine Beschreibung ihrer Verwendung aufgeführt. Zum Anzeigen der Rollen, die den einzelnen Rollengruppen zugewiesen sind, klicken Sie in der Spalte "Rollengruppe" auf den Namen der Rollengruppe, und öffnen Sie den Abschnitt "Dieser Rollengruppe zugewiesene Verwaltungsrollen".

Wichtig

Wenn ein Administrator Mitglied mehrerer Rollengruppen ist, gewährt Exchange Server dem Administrator alle Berechtigungen, die von den Rollengruppen bereitgestellt werden, in der er Mitglied ist.

Integrierte Rollengruppen

Rollengruppe Beschreibung
Organisationsverwaltung Administratoren, die Mitglieder der Rollengruppe "Organisationsverwaltung" sind, haben administrativen Zugriff auf die gesamte Exchange Server Organisation und können nahezu jede Aufgabe für jedes Exchange Server Objekt ausführen, mit einigen Ausnahmen, z. B. der Discovery Management Rolle.
Wichtig: Da die Rollengruppe "Organisationsverwaltung" eine leistungsstarke Rolle ist, sollten nur Benutzer oder USGs, die administrative Aufgaben auf Organisationsebene ausführen, die sich potenziell auf die gesamte Exchange Organisation auswirken können, Mitglied dieser Rollengruppe sein.
View-Only Organization Management Administratoren, die Mitglied der Rollengruppe Organisationsverwaltung - nur Leserechte sind, können die Eigenschaften aller Objekte in der Exchange-Organisation anzeigen.
Empfängerverwaltung Administratoren, die Mitglieder der Rollengruppe "Empfängerverwaltung" sind, haben administrativen Zugriff, um Exchange Server Empfänger innerhalb der Exchange Server Organisation zu erstellen oder zu ändern.
UM-Verwaltung Administratoren, die Mitglied der Rollengruppe UM-Verwaltung sind, können Funktionen in der Exchange-Organisation wie z. B. UM-Dienste (Unified Messaging), UM-Eigenschaften für Postfächer, UM-Telefonansagen und automatische UM-Telefonzentralen konfigurieren und verwalten. (Hinweis: UM ist in Exchange 2019 nicht verfügbar.)
Helpdesk Die Helpdesk-Rollengruppe ermöglicht es Mitgliedern standardmäßig, die Outlook im Web (früher als Outlook Web App bezeichnet) eines beliebigen Benutzers in der Organisation anzuzeigen und zu ändern. Zu diesen Optionen gehört mitunter das Ändern des Anzeigenamens, der Adresse und der Telefonnummer des Benutzers. Sie enthalten keine Optionen, die in Outlook im Web Optionen nicht verfügbar sind, z. B. das Ändern der Größe eines Postfachs oder das Konfigurieren der Postfachdatenbank, in der sich ein Postfach befindet.
Verwaltung von Nachrichtenschutz Administratoren, die Mitglieder der Rollengruppe "Hygieneverwaltung" sind, können die Antivirus- und Antispamfunktionen von Exchange Server konfigurieren. Drittanbieterprogramme, die in Exchange Server integriert sind, können dieser Rollengruppe Dienstkonten hinzufügen, um diesen Programmen Zugriff auf die Cmdlets zu gewähren, die zum Abrufen und Konfigurieren der Exchange Konfiguration erforderlich sind.
Datensatzverwaltung Benutzer, die Mitglied der Rollengruppe "Datensatzverwaltung" sind, können Compliancefeatures wie Aufbewahrungsrichtlinientags, Nachrichtenklassifizierungen und Nachrichtenflussregeln (auch als Transportregeln bezeichnet) konfigurieren.
Erkennungsverwaltung Administratoren oder Benutzer, die Mitglieder der Rollengruppe "Discoveryverwaltung" sind, können In der Exchange Organisation Nach Daten durchsuchen, die bestimmte Kriterien erfüllen, und sie können auch gesetzliche Aufbewahrungspflichten für Postfächer konfigurieren.
Verwaltung Öffentlicher Ordner Administratoren, die Mitglieder der Rollengruppe "Verwaltung öffentlicher Ordner" sind, können öffentliche Ordner auf Servern verwalten, auf denen Exchange Server ausgeführt wird.
Serververwaltung Administratoren, die Mitglied der Rollengruppe zur Serververwaltung sind, können die serverspezifische Konfiguration von Transport-, Unified Messaging-, Clientzugriffs- und Postfachfunktionen wie Datenbankkopien, Zertifikate, Transportwarteschlangen und Sendeconnectors, virtuelle Verzeichnisse und Clientzugriffsprotokolle konfigurieren. (Hinweis: UM ist in Exchange 2019 nicht verfügbar.)
Delegiertes Setup Administratoren, die Mitglieder der Rollengruppe "Delegiertes Setup" sind, können Server bereitstellen, auf denen Exchange Server ausgeführt werden, die zuvor von einem Mitglied der Rollengruppe "Organisationsverwaltung" bereitgestellt wurden.
Verwaltung der Richtlinientreue Benutzer, die Mitglied der Rollengruppe "Verwaltung der Richtlinientreue" sind, können Exchange-Einstellungen zur Richtlinientreue in Übereinstimmung mit der Richtlinie ihrer Organisation konfigurieren und verwalten.

Wenn Sie in einer kleinen Organisation arbeiten, die nur über wenige Administratoren verfügt, verwenden Sie möglicherweise nur die Rollengruppe "Organisationsverwaltung" und keine der anderen. Wenn Sie in einer größeren Organisation arbeiten, verfügen Sie möglicherweise über Administratoren, die bestimmte Aufgaben zur Verwaltung Exchange ausführen, z. B. Empfänger- oder Serververwaltung. In diesen Fällen können Sie einen Administrator zur Rollengruppe "Empfängerverwaltung" und einen anderen Administrator zur Rollengruppe "Serververwaltung" hinzufügen. Diese Administratoren können dann ihre spezifischen Bereiche von Exchange Server verwalten, verfügen jedoch nicht über Berechtigungen zum Verwalten von Bereichen, für die sie nicht verantwortlich sind.

Wenn Sie eine integrierte Rollengruppe, die für die Aufgaben, die Ihr Administrator ausführen muss, nicht finden können, können Sie Rollengruppen erstellt und diesen Rollen hinzufügen. Weitere Informationen finden Sie weiter unten in diesem Thema im Abschnitt Arbeiten mit Rollengruppen.

Rollenzuweisungsrichtlinien

Exchange Server bietet Richtlinien für die Rollenzuweisung, sodass Sie steuern können, welche Einstellungen Ihre Benutzer für ihre eigenen Postfächer und Verteilergruppen konfigurieren können. Diese Einstellungen umfassen den Anzeigenamen, Kontaktinformationen, Voicemaileinstellungen und die Mitgliedschaft in Verteilergruppen.

Ihre Exchange Server Organisation kann über mehrere Rollenzuweisungsrichtlinien verfügen, die unterschiedliche Berechtigungsstufen für die verschiedenen Benutzertypen in Ihren Organisationen bereitstellen. Einige Benutzer können ihre Adresse ändern oder Verteilergruppen erstellen, andere dagegen nicht. Alles hängt von der Rollenzuweisungsrichtlinie ab, die ihrem Postfach zugeordnet ist. Rollenzuweisungsrichtlinien werden direkt zu Postfächern hinzugefügt, und jedem Postfach kann nur jeweils eine Rollenzuweisungsrichtlinie zugeordnet sein.

Eine Rollenzuweisungsrichtlinie in Ihrer Organisation ist als Standardrichtlinie gekennzeichnet. Die Standardrichtlinie für die Rollenzuweisung wird neuen Postfächern zugeordnet, denen bei der Erstellung nicht explizit eine Rollenzuweisungsrichtlinie zugeordnet wird. Die Standardrichtlinie für die Rollenzuweisung sollte die Berechtigungen umfassen, die dem Großteil Ihrer Postfächer erteilt werden sollen.

Berechtigungen werden Rollenzuweisungsrichtlinien mithilfe von Endbenutzerrollen hinzugefügt. Endbenutzerrollen beginnen mit My und erteilen Benutzern Berechtigungen, um nur ihre Postfächer oder Verteilergruppen zu verwalten, die sie besitzen. Sie können nicht zum Verwalten anderer Postfächer verwendet werden. Rollenzuweisungsrichtlinien können nur Endbenutzerrollen zugewiesen werden.

Beim Zuweisen einer Endbenutzerrolle zu einer Rollenzuweisungsrichtlinie erhalten alle Postfächer, die dieser Rollenzuweisungsrichtlinie zugeordnet sind, die über die Rolle erteilten Berechtigungen. So können Sie Berechtigungen zu einer Gruppe von Benutzern hinzufügen oder von dieser Gruppe entfernen, ohne einzelne Postfächer konfigurieren zu müssen. Die Abbildung unten zeigt Folgendes:

  • Endbenutzerrollen werden Rollenzuweisungsrichtlinien zugewiesen. Rollenzuweisungsrichtlinien können dieselben Endbenutzerrollen gemeinsam verwenden.

  • Rollenzuweisungsrichtlinien werden Postfächern zugeordnet. Jedem Postfach kann nur eine Rollenzuweisungsrichtlinie zugeordnet werden.

  • Nachdem einem Postfach eine Rollenzuweisungsrichtlinie zugeordnet wurde, werden die Endbenutzerrollen auf das Postfach angewendet. Die über die Rollen erteilten Berechtigungen werden dem Benutzer des Postfachs zugewiesen.

Rollen, Rollenzuweisungsrichtlinien und Postfächer

Rolle, Rollenzuweisungsrichtlinie, Postfachbeziehung.

Die Rollenzuweisungsrichtlinie für die Standardrolle ist in Exchange Server enthalten. Wie der Name schon sagt, handelt es sich um die Standardrichtlinie für Rollenzuweisung. Informationen zum Ändern der mit dieser Rollenzuweisungsrichtlinie bereitgestellten Berechtigungen oder zum Erstellen von Rollenzuweisungsrichtlinien finden Sie unter Arbeiten mit Rollenzuweisungsrichtlinien weiter unten in diesem Thema.

Arbeiten mit Rollengruppen

Um Ihre Berechtigungen mithilfe von Rollengruppen in Exchange Server zu verwalten, empfehlen wir, das Exchange Admin Center (EAC) zu verwenden. Wenn Sie zum Verwalten von Rollengruppen die Exchange-Verwaltungskonsole verwenden, können Sie mit ein paar Mausklicks Rollen und Mitglieder hinzufügen und entfernen, Rollengruppen erstellen oder Rollengruppen kopieren. Um diese Aufgaben auszuführen, bietet die Exchange-Verwaltungskonsole einfache Dialogfelder wie das in der folgenden Abbildung gezeigte Dialogfeld Neue Rollengruppe.

Dialogfeld "Neue Rollengruppe" in der Exchange-Verwaltungskonsole

Dialogfeld "Neue Rollengruppe" im EAC.

Wenn keine der in Exchange Server enthaltenen Rollengruppen über die erforderlichen Berechtigungen verfügt, können Sie das EAC verwenden, um eine Rollengruppe zu erstellen und die Rollen hinzuzufügen, die über die erforderlichen Berechtigungen verfügen. Für eine neue Rollengruppe führen Sie die folgenden Aufgaben aus:

  1. Auswählen eines Namens für die Rollengruppe.

  2. Auswählen der Rollen, die zur Rollengruppe hinzugefügt werden sollen.

  3. Hinzufügen von Mitgliedern zur Rollengruppe.

  4. Speichern der Rollengruppe.

Nach dem Erstellen der Rollengruppe wird diese wie alle anderen Rollengruppen verwaltet.

Wenn eine vorhandene Rollengruppe einige, jedoch nicht alle erforderlichen Berechtigungen bietet, können Sie die Rollengruppe kopieren und anschließend Änderungen vornehmen, um eine neue Rollengruppe zu erstellen. Sie können eine vorhandene Rollengruppe kopieren und ändern, ohne dass sich dies auf die ursprüngliche Rollengruppe auswirkt. Wenn Sie die Rollengruppe kopieren, können Sie einen neuen Namen und eine Beschreibung angeben, Rollen zur neuen Rollengruppe hinzufügen oder aus dieser entfernen und neue Mitglieder hinzufügen. Beim Erstellen oder Kopieren einer Rollengruppe verwenden Sie erneut das in der Abbildung oben gezeigte Dialogfeld.

Vorhandene Rollengruppen können ebenfalls geändert werden. Über ein Dialogfeld in der Exchange-Verwaltungskonsole, das dem oben gezeigten Dialogfeld ähnelt, können Sie Rollen vorhandenen Rollengruppen hinzufügen bzw. aus diesen Gruppen entfernen und gleichzeitig Mitglieder hinzufügen oder entfernen. Durch das Hinzufügen und Entfernen von Rollen zu bzw. aus Rollengruppen aktivieren und deaktivieren Sie Verwaltungsfunktionen für Mitglieder dieser Rollengruppe.

Hinweis

Wenngleich Sie ändern können, welche Rollen integrierten Rollengruppen zugewiesen sind, sollten Sie die integrierten Rollengruppen stattdessen kopieren, die Kopie der Rollengruppe ändern und anschließend Mitglieder zur Kopie der Rollengruppe hinzufügen.

Arbeiten mit Rollenzuweisungsrichtlinien

Um die Berechtigungen zu verwalten, die Sie Endbenutzern erteilen, um ihr eigenes Postfach in Exchange Server zu verwalten, empfehlen wir die Verwendung des EAC. Wenn Sie zum Verwalten von Endbenutzerberechtigungen die Exchange-Verwaltungskonsole verwenden, können Sie mit ein paar Mausklicks Rollen hinzufügen und entfernen oder Rollenzuweisungsrichtlinien erstellen. Um diese Aufgaben auszuführen, bietet die Exchange-Verwaltungskonsole einfache Dialogfelder wie das in der folgenden Abbildung gezeigte Dialogfeld Rollenzuweisungsrichtlinie.

Dialogfeld "Rollenzuweisungsrichtlinie" in der Exchange-Verwaltungskonsole

Dialogfeld "Rollenzuweisungsrichtlinie" im EAC.

Exchange Server enthält eine Rollenzuweisungsrichtlinie mit dem Namen "Standardrollenzuweisungsrichtlinie". Benutzer, deren Postfächer dieser Rollenzuweisungsrichtlinie zugeordnet sind, können folgende Aufgaben ausführen:

  • Beitreten zu oder Verlassen von Verteilergruppen, die Mitgliedern das Verwalten der eigenen Mitgliedschaft gestatten.

  • Anzeigen und Ändern grundlegender Postfacheinstellungen ihrer eigenen Postfächer. Dazu zählen z. B. Einstellungen für Posteingangsregeln, Rechtschreibprüfung, Junk-E-Mail und Microsoft ActiveSync-Geräte.

  • Ändern ihrer Kontaktinformationen, z. B. geschäftliche Adresse und Telefonnummer, Mobiltelefonnummer und Pagernummer.

  • Erstellen, Ändern oder Anzeigen von Einstellungen für Textnachrichten.

  • Anzeigen oder Ändern von Voicemaileinstellungen.

  • Anzeigen und Ändern ihrer Marketplace-Apps.

  • Erstellen von Teampostfächern und Verbinden dieser Postfächer mit Microsoft SharePoint-Listen.

Um der Standardrichtlinie für Rollenzuweisung oder einer anderen Rollenzuweisungsrichtlinie Berechtigungen hinzuzufügen oder Berechtigungen aus diesen zu entfernen, können Sie die Exchange-Verwaltungskonsole verwenden. Wenn Sie die Rollenzuweisungsrichtlinie in der Exchange-Verwaltungskonsole öffnen, aktivieren Sie die Kontrollkästchen neben den Rollen, die der Richtlinie zugewiesen werden sollen, bzw. deaktivieren Sie die Kontrollkästchen neben den Rollen, die entfernt werden sollen. Die an der Rollenzuweisungsrichtlinie vorgenommenen Änderungen werden auf alle Postfächer angewendet, die der Richtlinie zugeordnet sind.

Wenn Sie den verschiedenen Typen von Benutzern in Ihrer Organisation unterschiedliche Endbenutzerberechtigungen zuweisen möchten, können Sie Rollenzuweisungsrichtlinien erstellen. Sie können einen neuen Namen für die Rollenzuweisungsrichtlinie angeben und anschließend die Rollen auswählen, die der Rollenzuweisungsrichtlinie zugewiesen werden sollen. Nach dem Erstellen einer Rollenzuweisungsrichtlinie können Sie die Richtlinie über die Exchange-Verwaltungskonsole Postfächern zuordnen.

Wenn Sie ändern möchten, welche Rollenzuweisungsrichtlinie die Standardeinstellung ist, müssen Sie die Exchange Verwaltungsshell verwenden. Wenn Sie die Standard-Rollenzuweisungsrichtlinie ändern, werden alle neu erstellten Postfächer der neuen Standard-Rollenzuweisungsrichtlinie zugeordnet, sofern nicht explizit eine andere Richtlinie angegeben wurde. Die Rollenzuweisungsrichtlinie, die vorhandenen Postfächern zugeordnet ist, wird beim Auswählen einer neuen Standard-Rollenzuweisungsrichtlinie nicht geändert.

Hinweise:

  • Wenn Sie ein Kontrollkästchen für eine Rolle mit untergeordneten Rollen aktivieren, werden auch die Kontrollkästchen der untergeordneten Rollen aktiviert. Wenn Sie das Kontrollkästchen für eine Rolle mit untergeordneten Rollen deaktivieren, werden auch die Kontrollkästchen der untergeordneten Rollen deaktiviert.

  • Die Schritte zum Erstellen von Rollenzuweisungsrichtlinien bzw. zum Ändern von vorhandenen Rollenzuweisungsrichtlinien sind in den folgenden Themen näher beschrieben: