Administratoren, die es gewohnt sind, die Verwaltung einer Exchange Organisation über grafische Oberflächen durchzuführen, müssen beim Einsatz von Exchange 2007 bzw. Exchange 2010 in einigen Bereichen umdenken.

Zu den alltäglichen Aufgaben gehört das Festlegen eines Verwalters für Verteilergruppen, dem dadurch zumeist auch die Berechtigungen zugewiesen werden sollen, Mitglieder hinzuzufügen, bzw. wieder zu entfernen.  In Exchange 2003 Umgebungen hat man diese Aufgabe gewöhnlich in der Active Directory Benutzer und Computer Verwaltungskonsole (ADUC) ausgeführt. Wer dies in Exchange 2007 und Exchange 2010 Umgebungen beibehält, braucht nicht umzudenken.

Dabei ist es wichtig zu wissen, dass es hier um zwei verschiedene Dinge geht:

• die Anzeige des Verwalters in den Eigenschaften der Verteilergruppe im Adressbuch
• die Berechtigungen Read Member und Write Member (Mitglieder lesen / Mitglieder schreiben)

Weder über die Exchange 2007 Verwaltungskonsole, noch über die Verwaltungskonsole für Exchange 2010 können die Berechtigungen Read Member bzw. Write Member vergeben werden!

Verwalter mit Berechtigungen per ADUC setzen

In der Active Directory Benutzer und Computer Verwaltungskonsole die Eigenschaften der Verteilergruppe öffnen und den Reiter “Verwaltet von” bw. “Managed By” auswählen. Durch Klick auf “Ändern” und anschließender Auswahl des gewünschten Verwalters wird die Anzeige des Gruppenverwalters im Adressbuch festgelegt. Das Aktivieren der Option “Vorgesetzter kann Mitgliedsliste ändern” werden die oben genannten Berechtigungen vergeben.

Es kann hier nur ein Verwalter eingetragen werden. Wenn mehrere User die Berechtigungen zur Anpassung des Verteilers benötigen, müssen die Berechtigungen über “Sicherheit”, Erweitert hinzugefügt werden (siehe Screenshot)

Verwalter über die Exchange Verwaltungskonsole setzen

In der Verwaltungskonsole für Exchange kann sowohl unter Exchange 2007 als auch unter Exchange 2010 ein Gruppenverwalter eingetragen werden, der dann im Adressbuch angezeigt wird.

Der Unterschied zwischen Exchange 2007 und Exchange 2010 an dieser Stelle besteht darin, dass bei Exchange 2010 auch mehrere Verwalter eingetragen werden können.

Verwalter per Powershell setzen

Der Powershellbefehl mit dessen Hilfe ein Verwalter definiert werden kann und mit dem gleichzeitig die erforderlichen Berechtigungen gesetzt werden, sieht so aus:



Set-DistributionGroup -Identity verteilername -ManagedBy username | add-adpermission -user username -AccessRights ReadProbperty, WriteProperty -Properties ‘Member’

Rollenberechtigungen in Exchange 2010

Durch Anpassung der “Default Role Assignment Policy”, die für alle Benutzer gilt, kann man den Anwendern pauschal die Berechtigung zuweisen, alle Verteilergruppen zu bearbeiten, für die sie als Verwalter eingetragen sind.

Die Bearbeitung ist dann allerdings nur über die Exchange Systemsteuerung in Outlook Web App möglich. Ein Hinzufügen oder Entfernen von Mitgliedern über das Outlook Adressbuch ist nicht möglich.

Fazit

Auch bei Einsatz von Exchange 2007 und Exchange 2010 bleibt die Active Directory Benutzer und Computer Verwaltungskonsole das Tool, mit dem Verwalter für Gruppen gesetzt werden, sofern man keine Powershell einsetzen möchte.

Bei Exchange 2010 besteht zwar die Möglichkeit, den Anwendern die Berechtigung einzuräumen, Verteiler für die sie als Verwalter/Besitzer eingetragen sind über Outlook Web App verwalten zu können. Ob dies in Umgebungen erfolgreich umgesetzt werden kann, wo Anwender Verteiler bisher über das Outlook Adressbuch  gepflegt haben, bezweifle ich.

Verwandte Artikel

• Update: Exchange 2007 / 2010 – tägliche Messagingstatistik (1)
• Exchange 2007: Verteilergruppen-Mitglieder vom Typ E-Mail Kontakt (1)
• Exchange 2007: Berechtigungen Vollzugriff und “Senden Als” per Powershell vergeben (0)
• Exchange 2007: Berechtigungen für BesAdmin (2)
• Exchange 2007: Berechtigungen auslesen per Powershell (2)

Dank dem kostenlosen Tool PFDAVAmin von Microsoft ist dies kein Problem. PFDAVAdmin sollte jeder Exchange Administrator kennen, weil damit einige Aufgaben erledigt werden können. Beispielsweise ist es möglich die Berechtigungen eines Ordners auf alle darunterliegenden Ordner und Elemente zu vererben. Dies kann auch für die Vererbung von Berechtigungen in Postfächern verwendet werden.

Link: http://www.microsoft.com/downloads/details.aspx?FamilyId=635BE792-D8AD-49E3-ADA4-E2422C0AB424&displaylang=en. Der Download kommt als selbstextrahierendes Archiv.

Systemvoraussetzungen: Windows 2000 Server; Windows Server 2003; Windows Vista; Windows XP. Für die Ausführung wird das .NET Framework 1.1 benötigt. 

Zurück zur Aufgabe:  Nach dem Entpacken kann die Datei pfdavadmin.exe per Doppelklick gestartet werden.

Über das Menü File und Connect kann man eine Verbindung zu den öffentlichen Ordnern herstellen. Dabei ist zu beachten, dass der Account, der für die Verbindung verwendet wird, Mitglied in der Gruppe “Exchange Öffentliche Ordner Administratoren” sein muss.

Nach dem ersten Start muss zunächst über Tools, Options das Logging aktiviert werden, damit die Exportfunktion verwendet werden kann.

Nach erfolgreichem Verbindungsaufbau im linken Bereich den Eintrag “Public Folders” auswählen, anschließend kann über Tools, Content Report die Reportfunktion aufgerufen werden.

Unter Scope wählt man “Selected folder and subfolders” aus, es sei denn man möchte die Systemordner ebenfalls exportieren.

Als Ergebnis erhält man eine Textdatei mit Tab-separierten Werten, die sich in Excel öffnen lässt. In der Spalte D mit der Überschrift “PR_MESSAGE_SIZE_EXTENDED” wird die Größe des Ordners, ohne Unterordner, in Byte angezeigt.

Interessant ist in diesem Zusammenhang noch die Tatsache, dass ich nirgendwo in der Dokumentation einen Hinweis finden konnte, welche Maßeinheit bei den Größenangaben verwendet wird. Diese ist aber definitiv Byte.

Weitere Beschreibungen zu PFDAVAdmin finden sich in Microsoft Technet

Mit Exchange 2010 kann das Tool PFDAVAdmin derzeit leider nicht mehr verwendet werden. Dafür gibt es 2 Gründe: Zum einen unterstützt Exchange 2010 kein WebDAV, zum anderen fehlt das von PFDAVAdmin verwendete virtuelle Verzeichnis “Exadmin” unter Exchange 2010. Microsoft hat als Ersatz ein neues, kostenloses Tool ExFolders für Exchange 2010 veröffentlicht. Über ExFolders werde ich in einem separaten Artikel berichten.

Verwandte Artikel

• Update Rollup 4 für Exchange 2010 (0)
• Servicepack 1 für BES 5.0 ist online (2)
• Serie: Digitale Signatur für E-Mails (1) (0)
• Projekt: Überwachung BlackBerry Enterprise Server mit Nagios – OIDs (0)
• Powershell: Bearbeiten von Eigenschaften mit mehreren Werten (0)

Prozentrechnung

Verwandte Artikel

• Exchange Server 2010 Beta veröffentlicht (0)
• BES: Kommunikations Matrix für Exchange 2000/2003 (0)
• Was macht eigentlich ein PDC-Emulator (0)
• Vergleich BlackBerry Pushtechnologie mit Microsoft Mobile Access (5)
• Update: Exchange 2007 / 2010 – tägliche Messagingstatistik (1)

Fehlerbeschreibung: Obwohl alle E-Mails im Posteingang des Gruppenpostfachs als gelesen markiert sind, erscheint Posteingang fettgedruckt mit einer Zahl in Klammern dahinter. Es sind also noch ungelesene E-Mails vorhanden, die jedoch für den Anwender nicht sichbar sind. Der Anwender wurde via Active Directory Benutzer und Computer mit den Berechtigungen “Vollzugriff” auf das Postfach versehen.

Ursache: Der Posteingang enthält eine oder mehrere E-Mails, die vom Absender mit der Vertraulichkeit “Privat” gekennzeichnet wurden.

Hintergrund: Als privat gekennzeichnete E-Mails können nur unter folgenden Bedingungen gelesen werden:

• Anmeldung am Postfach mit dem User-Account, dem das Postfach zugeordnet ist
• Anmeldung am Postfach mit einem beliebigen User-Account, sofern dieser über Stellvertreterberechtigungen mit dem Zusatz “Stellvertreter darf private Elemente einsehen” versehen ist

Sofern man als Administrator keinen Zugriff auf das zum Gruppenpostfach gehörende Benutzerkonto hat, weil dieses z.B. deaktiviert ist, oder aber das Kennwort nicht bekannt ist, kann man die notwendigen Stellvertreter wie folgt einrichten:

1. Zunächst muss der Administrator die Berechtigung “Vollzugriff” auf das Postfach erhalten
2. Im nächsten Schritt müssen alle Stellvertreter die Berechtigung “Senden im Auftrag von” (Send on behalf) auf das Gruppenpostfach erhalten
3. Jetzt in Outlook ein separates Profil für das Gruppenpostfach anlegen und anschließend Outlook mit diesem Profil starten
4. Unter Extras, Optionen, Stellvertretung findet man jetzt alle Benutzer, die in Schritt 2 die Berechtigung “Senden im Auftrag von” erhalten haben vor.  Jetzt müssen die Berechtigungen dieser Personen nur noch angepasst werden:
   - Posteingang – Berechtigungsstufe 3
   - Option “Stellvertreter darf private Elemente sehen” muss aktiviert werden

Wichtiger Hinweis: Wenn man die Option “Stellvertreter darf private Elemente sehen” auf Verteilerlisten anwendet, so ist diese Option für Mitglieder des Verteilers unwirksam.

Verwandte Artikel

• Outlook: Verwendung von PST-Dateien verhindern (0)
• Outlook: Regeln werden nicht ausgeführt (0)
• Outlook 2003: Schaltfläche “Zu Kontake hinzufügen” fehlt in Adressbuch (0)
• Zustellbestätigung für per Powershell versendete E-Mails (0)
• Zu: Die neue Kampagne von 1&1 (1)