O365 Set-Mailbox с DeliverToMailboxAndForward

Question

Фон

Работа в небольшой среде O365, которая недавно была обновлена ​​с E3 до E5.

Проблема

Журнал аудита показывает, что пользователь включил DeliverToMailboxAndForward в своем почтовом ящике с помощью операции Set-Mailbox.

Вопросы

1. Является ли PowerShell единственным способом выдачиSet-Mailbox или это можно как-то сделать через графический интерфейс?

2. Есть ли способ отключить / запретить пользователям настройку этого (то есть конечные пользователи имеют слишком много разрешений)?

3. Когда я запрашиваю Get-Mailbox user | fl name,forwardingSMTPAddress,delivertomailboxandforward, ForwardingSmtpAddress пуст, а DeliverToMailboxAndForward имеет значение False.Это единственный способ убедиться, что действие отключено?Отображается ли действие отключения в каком-либо журнале событий / аудита?

Answer 1

1. Является ли PowerShell единственным способом выдачи Set-Mailbox или это может быть сделано через графический интерфейс?

В качестве администратора Exchange вы можете использоватьЦентр администрирования Exchange (EAC) для перехода к Свойствам почтового ящика -> Функции почтового ящика -> Под Поток почты , выберите Подробнее -> Установите флажок Включить пересылку и Просмотр получателю.

Настройка пересылки электронной почты для почтового ящика

Есть ли способ отключить / запретить пользователям настройку этого (т. Е. Конечные пользователи имеют слишком много разрешений)?

С точки зрения пользователя они могут пересылать данные с помощью графического интерфейса Outlook:

Пересылка электронной почты из Office 365 на другую учетную запись электронной почты

Когда я запрашиваю Get-Mailbox user | fl name,forwardingSMTPAddress,delivertomailboxandforward, ForwardingSmtpAddress пусто, а DeliverToMailboxAndForward - ложно.Это единственный способ убедиться, что действие отключено?Отображается ли действие отключения в каком-либо журнале событий / аудита?

Вы можете использовать либо скрипт PowerShell для запроса, либо перейти через консоль ECA для проверки.Действие отключения должно появиться в аудите, если оно настроено.

В отношении проблемы,

Журнал аудита показывает, что пользователь включил DeliverToMailboxAndForward в своем почтовом ящике с Set-Mailbox operation.

Обычно большинство пользователей не имеют доступа к консоли управления Exchange и возможности запуска операций PowerShell.Это делает эту запись аудита «странной».Но затем, просматривая документы, я подхожу к этой записи:

Командлеты, которые запускаются непосредственно в командной консоли Exchange, проверяются.Кроме того, операции, выполняемые с помощью центра администрирования Exchange (EAC), также регистрируются, поскольку эти операции запускают командлеты в фоновом режиме.

Журнал аудита администратора на сервере Exchange

То, что вы, вероятно, видите, - это запись, представляющая собой графический интерфейс, выполняющий командлет в фоновом режиме, при котором пользователь фактически не имеет прямого доступа к командной консоли Exchange.Что касается разрешений, я не уверен насчет явных разрешений, чтобы отрицать это конкретное действие, не отрицая много других вещей (то есть, это как отказ в разрешениях на пересылку сообщений), если у вас нет бизнес-необходимости сделать это.

Answer 2

Этот вопрос может получить лучший ответ на форуме Office 365, но я постараюсь ответить на ваши вопросы:

1. GUI / Web UI выполняет команды PowerShell на задней панеликонец, когда пользователи изменяют свою конфигурацию.Чтобы иметь возможность изменять параметр в графическом интерфейсе, такое же разрешение должно существовать для командлетов PowerShell.

2. Это разрешение по умолчанию включено в роль управления MyBaseOptions для пользователей почтовых ящиков Office 365.Эта роль включает в себя множество других разрешений, которые требуются пользователям для управления собственным почтовым ящиком, например, разрешения на создание правил входящих сообщений или обновление их изображения.Вы можете увидеть все действия, включенные в эту роль, с помощью этой команды:

   Get-ManagementRole -Identity mybaseoptions |Select -Expand roleEntries
   

3. Самый простой способ проверить текущие настройки почтового ящика, вероятно, выполнить команду, как вы это сделали.Более эффективный способ запросить все ваши почтовые ящики только для тех, у кого есть определенные настройки, - это использовать параметр -Filter в команде Get-Mailbox, например:

   Get-Mailbox -Filter {DeliverToMailboxAndForward -eq $true -and ForwardingSMTPAddress -ne $null}
   

Надеюсь, это поможетответь на свои вопросы!