Wenn Sie auf dieser Seite gelandet sind, haben Sie das Problem wahrscheinlich bereits erkannt: Sie gewähren einer Sicherheitsgruppe „Vollzugriff“, die Berechtigung wird korrekt angewendet, Benutzer können das Postfach manuell öffnen – aber es wird in Outlook nie automatisch angezeigt.
Die automatische Zuordnung erfolgt über das msExchDelegateListLink Attribut des Postfachobjekts. Exchange füllt dieses Attribut nur dann aus, wenn einem Benutzer Vollzugriff gewährt wird.Wenn Sie dieselbe Berechtigung einer Sicherheitsgruppe erteilen, bleibt das Attribut leer.
Outlook liest dieses Attribut beim Start des Profils aus, um zu entscheiden, welche zusätzlichen Postfächer eingebunden werden sollen. Ist das Attribut leer, wird kein Postfach eingebunden.
Es gibt keine unterstützte Möglichkeit, dies zu umgehen. Add-MailboxPermission -AutoMapping $true gegen eine Gruppe gelingt fehlerfrei – und bewirkt nichts.
Das Attribut ist eine mehrwertige Verknüpfung zu einzelnen Benutzerobjekten. Die Ermittlung der Gruppenzugehörigkeit beim Laden des Profils – einschließlich verschachtelter Gruppen – würde bedeuten, dass Outlook bei jedem Start eine Verzeichniserweiterung durchführen müsste. Dies ist eine bewusste Designentscheidung, kein Versehen, und es ist unwahrscheinlich, dass sich daran etwas ändern wird.
Die automatische Zuordnung funktioniert genau wie vorgesehen. Der Nachteil dabei ist, dass jede Berechtigung nun ein eigenständiges Objekt ist, das Sie manuell pflegen müssen. Bei jedem neuen Mitarbeiter entsteht ein Ticket pro Postfach. Bei jedem Wechsel entstehen mehrere Tickets, und mindestens eines wird übersehen. Innerhalb weniger Jahre kann niemand mehr erklären, warum die Hälfte der Berechtigungen überhaupt existiert.
Ihr Berechtigungsmodell bleibt übersichtlich und nachvollziehbar. Die Kosten tragen Ihre Nutzer und Ihr Service Desk: Jede Person, die einem Team beitritt, muss das gemeinsame Postfach selbst in Outlook hinzufügen.
So sieht es letztendlich in den meisten ausgereiften Umgebungen aus. Es funktioniert. Das bedeutet aber auch, dass Ihr effektives Berechtigungsmodell nicht mehr gruppenbasiert ist. Die Audit Protokolle werden unübersichtlich, das Skript muss gepflegt werden, und in der Regel versteht es genau eine Person. We wrote a longer, honest comparison →
Der SharedConX Manager (Serverkomponente) überwacht die Gruppenzugehörigkeit und wendet die Berechtigungen für Postfächer an. Der SharedConX Client verwaltet das Outlook-Profil und bindet Postfächer bei Änderungen der Mitgliedschaft ein bzw. trennt sie wieder ab.
Da der Client das Profil direkt verwaltet, sind Sie nicht abhängig von msExchDelegateListLink überhaupt – und genau deshalb funktioniert dies dort, wo die native automatische Zuordnung versagt.
| Native Exchange | SharedConX | |
|---|---|---|
| Gruppenbasierte Berechtigungen | Ja | Ja |
| Das Postfach wird automatisch angezeigt | Nur mit direkten Berechtigungen | Ja, über Gruppen |
| Entfernung beim Verlassen der Gruppe | Manuell | Automatisch |
| Unterstützung für verschachtelte Gruppen | N/A | Nein |
| Audit Protokoll | Limitiert | Vollständiges Änderungsprotokoll |
Nein, es erweitert diese Funktion. Die bestehende automatische Zuordnung von direkten Berechtigungen funktioniert weiterhin wie gewohnt.
SharedConX analysiert zunächst Ihre aktuelle Umgebung – im schreibgeschützten Modus – und meldet verwaise, doppelte und widersprüchliche Einträge. Sie entscheiden, was bereinigt werden soll. Ohne Ihre Zustimmung wird nichts geändert.
Verschachtelte Gruppen werden nicht unterstützt. SharedConX wertet direkte Mitglieder der einem Postfach zugewiesenen Sicherheitsgruppe aus – Mitglieder von darin verschachtelten Gruppen werden nicht berücksichtigt. Verwenden Sie für Postfachberechtigungen flache Sicherheitsgruppen mit direkter Mitgliedschaft; dadurch bleibt der tatsächliche Zugriff zudem transparent und nachvollziehbar, da immer genau diejenigen Zugriff haben, die der Gruppe angehören.
Nein. SharedConX benötigt keine Domänenadministratorrechte. Das Dienstkonto verfügt über eingeschränkte, zweckgebundene Berechtigungen – gerade genug, um Gruppenmitgliedschaften abzurufen und Postfachberechtigungen zu verwalten, mehr nicht.
Nichts. Alle bestehenden Berechtigungen bleiben unverändert, zugeordnete Postfächer bleiben zugeordnet, und die Benutzer können ohne Unterbrechung weiterarbeiten. Während des Ausfalls des Dienstes werden Änderungen einfach nicht verarbeitet: Neue Postfächer und Sicherheitsgruppen werden nicht erfasst, Änderungen der Mitgliedschaft werden nicht übernommen, und manuell hinzugefügte Berechtigungen werden nicht bereinigt. Sobald der Manager/Core wieder läuft, wird die Verarbeitung fortgesetzt. Es gibt kein Szenario, in dem ein Ausfall des Managers den Zugriff unterbricht oder Postfächer aus dem System entfernt.