"Nur lesen" Zugriff auf die EMC, Anzeigen der Zertifikate

  • Hallo zusammen,


    ich habe in meiner Domain einen User der in einer lokal installierten EMC auf einem Exchange 2010 SP3 lediglich Leserechte haben soll. Das habe ich mittels hinzufügen zur AD Gruppe "View-Only Organization Management" gelöst. Das funktioniert soweit auch ganz gut, lediglich erstrecken sich die Leserechte offenbar nicht auf den Abschnitt "Serverkonfiguration -> Exchange-Zertifikate". Dort kommt es zu einer Fehlermeldung:


    "Fehler bei Vorgang auf Server "SERVERNAME", da sich dieser nicht in dem für Sie autorisierten Bereich befindet. Verwenden Sie "Get-ManagementRoleAssignment", um Ihren Bereich zu überprüfen, oder wenden Sie sich an Ihren Exchange-Administrator. "SERVERNAME" liegt nicht innerhalb des gültigen Schreibbereichs. Speichervorgang kann nicht ausgeführt werden. Der Befehl "Get-ExchangeCertificate -Server "SERVERNAME" wurde ausgeführt.


    Mit Verwaltungsrollenadministration habe ich mich bisher nicht auseinandergesetzt, vielleicht kann mir das jemand ein bisschen erleuchten.


    Danke,


    Martin

    • Offizieller Beitrag

    Moin,


    willkommen im Forum!


    RBAC ist ein zu komplexes Thema, um es in einem Forum zu erklären. Daher gibt es ein wenig zum Lesen:
    https://practical365.com/excha…access-control-in-action/
    https://technet.microsoft.com/…d298183(v=exchg.150).aspx
    https://www.msxfaq.de/e2010/rbac.htm



    Was Du nun im Prinzip tun musst:


    - Identifizieren, in welche Rolle sich das CMDLET "Get-ExchangeCertificate" befindet ("View-Only Configuration")


    - die Role kopieren (man kann nur vorhanden Rollen kopieren, "New-Managementrole"


    - einen neuen Scope anlegen für den Server


    - eine neue Zuweisung erstellen


    - die Zuweisung den Scope hinzufügen


    - die Zuweisung der Rolle hinzufügen
    - die Rolle dem Benutzer zuweisen (alternativ: Neue Gruppe anlegen und die Rolle der Gruppe zuweisen)




    Ich hoffe, ich habe nichts vergessen aus dem Kopf, das ist leider nicht so wirklich trivial.



    Hier ist mal ein solcher Vorgang, aber an einem anderen Beispiel:
    https://blogs.technet.microsof…-for-exchange-using-rbac/

    Grüße aus Berlin schickt Robert