Entsprechende Berechtigungen vorausgesetzt (“Senden Als” oder “Senden im Auftrag”) kann dies in Outlook problemlos bewerkstelligt werden, weil hier im E-Mail-Formular das “Von” Feld eingeblendet werden kann und man dort die entsprechende Absenderadresse einfach einträgt.

In Outlook Web Access von Exchange 2007 gibt es keine Möglichkeit, das “Von” Feld zu verwenden. Durch das Öffnen eines anderen Postfachs hat man die Möglichkeit E-Mails aus diesem Postfach zu versenden. Ein Senden im Namen einer Verteilerliste oder eines öffentlichen Ordners ist nicht möglich.

Exchange 2010 bietet in den OWA Einstellungen die Option “Absender immer anzeigen” (siehe Screenshot). Allerdings können keine S/Mime signierte bzw. verschlüsselte E-Mails über Outlook Web App versendet werden, wenn diese Einstellung aktiviert ist.

Mit einem kostenpflichtigen Third-Party-Tool “ChooseFrom” kann OWA von Exchange 2007 um die fehlende Funktion erweitert werden.

Mit dem folgenden Powershell Code werden die Verteilernamen und die Namen des eingetragenen Verwalters ausgegeben, wenn die erforderlichen Active Directory Berechtigungen Read Property und Write Property auf “Member” fehlen:

#Alle Verteiler prüfen, bei denen das Attribut ManagedBy nicht leer ist
$groups = get-distributiongroup -ResultSize Unlimited | where-Object {$_.ManagedBy -ne $Null}
 
#Schleife wird für jede gefundene Gruppe ausgeführt
foreach ($group in $groups) {
 
#Inhalt von ManagedBy abrufen
$manager = $group.ManagedBy
 
#Prüfen ob der Verwalter Berechtigungen auf das Property "Member" hat
$permprop = get-adpermission $group.DistinguishedName -user $manager.DistinguishedName | where-Object {$_.Properties -match 'Member'}
 
#Wenn keine Berechtigungen vorhanden sind Ausgabe des Gruppennamens und des Verwalters
if ($permprop -eq $Null) {
Write-Host "Gruppe: " $group.SamAccountName "Verwalter: " $manager.DistinguishedName
} Else {
 
#Auf das Property "Member" werden Read Property und Write Property Berechtigungen benötigt
$permright = $permprop.AccessRights
if ($permright -notcontains "ReadProperty, WriteProperty") {
Write-Host "Gruppe: " $group.SamAccountName "Verwalter: " $manager.DistinguishedName
}
}
}

Mit dieser Erkenntnis wäre es interessant zu wissen, bei welchen Verteilern der eingetragene Manager nicht über die erforderlichen Bearbeitungsrechte verfügt, um ggf. die Berechtigungen nachzutragen.

Der folgende Powershell Code gibt jeweils eine Zeile mit dem Namen des Verteilers und dem Distinguished Name des eingetragenen Verwalters aus, wenn die Active Directory Berechtigungen ReadProperty und WriteProperty auf die Eigenschaft Member nicht gesetzt sind. Es werden alle Verteiler geprüft. Der Code kann unter Exchange 2007 nicht verwendet werden, da hier noch einiges anders ist. Für Exchange 2007 werde ich das entsprechende Script separat veröffentlichen.

#Alle Verteiler prüfen, bei denen das Property "ManagedBy" gefüllt ist
$groups = get-distributiongroup -ResultSize Unlimited | where-Object {$_.ManagedBy -ne $Null}
 
#Schleife wird für jeden gefundenen Verteiler durchlaufen
foreach ($group in $groups) {
 
	#Es können mehrere Verwalter eingetragen werden, deshalb der Zusatz -expandProperty
	$managers = $group.ManagedBy
 
	#Schleife wird für jeden gefundenen Verwalter durchlaufen
	foreach ($manager in $managers) {
 
		#Prüfe ob für den Verwalter eine Berechtigung für das Property "Member" eingetragen ist
		$permprop = get-adpermission $group.SamAccountName -user $manager.DistinguishedName | where-Object {$_.Properties -match 'Member'}
 
		#Wenn keine Berechtigung vorhanden ist, Ausgabe des Gruppennamens und des Verwalters
		if ($permprop -eq $Null) {
			Write-Host "Gruppe: " $group.SamAccountName "Verwalter: " $manager.DistinguishedName
		} Else {
 
			#Es müssen die Berechtigungen Read Property _und_ Write Property auf "Member" vorhanden sein
			$permright = $permprop.AccessRights
			if ($permright -notcontains "ReadProperty, WriteProperty") {
				Write-Host "Gruppe: " $group.SamAccountName "Verwalter: " $manager.DistinguishedName
			}
		}
	}
}

Hinweise: Die mehrfachenAbfragen get-adpermission sind leider erforderlich, da sonst das Abfrageergebnis nicht verarbeitet werden kann. Das Script wurde in einer Umgebung mit Exchange 2010 SP1 (Beta) erfolgreich getestet. Wer Fehler findet, bitte in den Kommentaren melden. Danke.

Der AppLoader ist Bestandteil des BlackBerry Desktop Managers und wird unter anderem für Firmware Updates und die Installation von zusätzlicher Software verwendet.

Um ein BlackBerry Smartphone auf Werkseinstellungen zurückzusetzen geht man wie folgt vor:

• Gerät per USB mit dem PC verbinden
• Eine DOS Shell öffnen und in das Verzeichnis C:\Program Files (x86)\Common Files\Research In Motion\AppLoader wechseln
• Folgenden Befehl eingeben: loader.exe /resettofactory

Quelle: RIM Knowledgebase

Administratoren, die es gewohnt sind, die Verwaltung einer Exchange Organisation über grafische Oberflächen durchzuführen, müssen beim Einsatz von Exchange 2007 bzw. Exchange 2010 in einigen Bereichen umdenken.

Zu den alltäglichen Aufgaben gehört das Festlegen eines Verwalters für Verteilergruppen, dem dadurch zumeist auch die Berechtigungen zugewiesen werden sollen, Mitglieder hinzuzufügen, bzw. wieder zu entfernen.  In Exchange 2003 Umgebungen hat man diese Aufgabe gewöhnlich in der Active Directory Benutzer und Computer Verwaltungskonsole (ADUC) ausgeführt. Wer dies in Exchange 2007 und Exchange 2010 Umgebungen beibehält, braucht nicht umzudenken.

Dabei ist es wichtig zu wissen, dass es hier um zwei verschiedene Dinge geht:

• die Anzeige des Verwalters in den Eigenschaften der Verteilergruppe im Adressbuch
• die Berechtigungen Read Member und Write Member (Mitglieder lesen / Mitglieder schreiben)

Weder über die Exchange 2007 Verwaltungskonsole, noch über die Verwaltungskonsole für Exchange 2010 können die Berechtigungen Read Member bzw. Write Member vergeben werden!

Verwalter mit Berechtigungen per ADUC setzen

In der Active Directory Benutzer und Computer Verwaltungskonsole die Eigenschaften der Verteilergruppe öffnen und den Reiter “Verwaltet von” bw. “Managed By” auswählen. Durch Klick auf “Ändern” und anschließender Auswahl des gewünschten Verwalters wird die Anzeige des Gruppenverwalters im Adressbuch festgelegt. Das Aktivieren der Option “Vorgesetzter kann Mitgliedsliste ändern” werden die oben genannten Berechtigungen vergeben.

Es kann hier nur ein Verwalter eingetragen werden. Wenn mehrere User die Berechtigungen zur Anpassung des Verteilers benötigen, müssen die Berechtigungen über “Sicherheit”, Erweitert hinzugefügt werden (siehe Screenshot)

Verwalter über die Exchange Verwaltungskonsole setzen

In der Verwaltungskonsole für Exchange kann sowohl unter Exchange 2007 als auch unter Exchange 2010 ein Gruppenverwalter eingetragen werden, der dann im Adressbuch angezeigt wird.

Der Unterschied zwischen Exchange 2007 und Exchange 2010 an dieser Stelle besteht darin, dass bei Exchange 2010 auch mehrere Verwalter eingetragen werden können.

Verwalter per Powershell setzen

Der Powershellbefehl mit dessen Hilfe ein Verwalter definiert werden kann und mit dem gleichzeitig die erforderlichen Berechtigungen gesetzt werden, sieht so aus:



Set-DistributionGroup -Identity verteilername -ManagedBy username | add-adpermission -user username -AccessRights ReadProbperty, WriteProperty -Properties ‘Member’

Rollenberechtigungen in Exchange 2010

Durch Anpassung der “Default Role Assignment Policy”, die für alle Benutzer gilt, kann man den Anwendern pauschal die Berechtigung zuweisen, alle Verteilergruppen zu bearbeiten, für die sie als Verwalter eingetragen sind.

Die Bearbeitung ist dann allerdings nur über die Exchange Systemsteuerung in Outlook Web App möglich. Ein Hinzufügen oder Entfernen von Mitgliedern über das Outlook Adressbuch ist nicht möglich.

Fazit

Auch bei Einsatz von Exchange 2007 und Exchange 2010 bleibt die Active Directory Benutzer und Computer Verwaltungskonsole das Tool, mit dem Verwalter für Gruppen gesetzt werden, sofern man keine Powershell einsetzen möchte.

Bei Exchange 2010 besteht zwar die Möglichkeit, den Anwendern die Berechtigung einzuräumen, Verteiler für die sie als Verwalter/Besitzer eingetragen sind über Outlook Web App verwalten zu können. Ob dies in Umgebungen erfolgreich umgesetzt werden kann, wo Anwender Verteiler bisher über das Outlook Adressbuch  gepflegt haben, bezweifle ich.

• Das Gerät war bereits in Betrieb und die Enterprise-Aktivierung wurde per IT-Richtlinie deaktiviert (versteckt)
• Bei älteren Geräten kann es sich um ein sogenanntes Prosumer Device handeln, also ein Gerät, das nicht für die Verwendung in einer Enterprise Umgebung zugelassen ist (Sperre vom Provider)
• Auch ein Fehler bei der Aktualisierung der Firmware kann die Ursache sein

Mögliche Maßnahmen:

• Gerät auf Werkseinstellungen zurücksetzen (siehe http://www.roland-ehle.de/archives/267)
• Installation einer neueren, vom Provider freigegebenen Firmware

Wenn diese Maßnahmen nicht geholfen haben, sollte man sich davonüberzeugen, dass die Host Routing Table nicht leer ist und das Gerät ggf. nochmals neu starten (Akku entnehmen!).

Wenn alles nicht hilft, sollte man zum Telefonhörer greifen, den Mobilfunk Provider seines Vertrauens anrufen und prüfen lassen, ob das Gerät als Prosumer Gerät gelistet ist.

Wie im Beitrag zum Datenschutz dargestellt, wird hierbei die Methode angewendet, das Ziel von Links in den E-Mails durch  ”falsche” Linktexte zu verschleiern und so den Empfänger in die Irre zu führen. Ein einfacher Blick in die Adresszeile des Browsers genügt, um eine solche Täuschung zu erkenne, oder eben eine Sicherheitssoftware, die Links dieser Art entsprechend kennzeichnet.

In der Nachrichtenübersicht in Outlook und auf den BlackBerry Smartphones wird Datum und Uhrzeit der E-Mails angezeigt. Aber worauf bezieht sich die Zeitangabe?

Outlook

Outlook zeigt in der Nachrichtenübersicht das Datum und die Uhrzeit an, wann die E-Mail dem Empfängerpostfach zugestellt wurde.

Beim Öffnen der E-Mail sieht man in der Kopfzeile die Zeitangabe des Versands der E-Mail. Man kann hier also feststellen, wie lange die E-Mail unterwegs war, bis sie dem Postfach zugestellt wurde. Bei dieser Zeitangabe wird die Zeitzoneneinstellung des Mailservers des Absenders ebenfalls berücksichtigt und automatisch in die Zeitzone umgerechnet, die auf dem Client aktiviert ist. Wenn also die Zeitzoneneinstellung des Mailservers des Absenders nicht stimmt, können sich hier Diskrepanzen ergeben. Gleiches gilt, wenn Datum und Uhrzeit auf dem Absenderserver falsch eingestellt sind.

Bei dem in den obigen Screenshots dargestellten Beispiel war die E-Mail also 10 Minuten unterwegs, bis sie meinem Postfach zugestellt wurde.

BlackBerry

Die Datun-/Zeitangabe, die in der Nachrichtenübersicht auf dem BlackBerry angezeigt wird, entspricht der Zeit, zu der die E-Mail auf das Smartphone zugestellt wurde. Im gezeigten Screenshot war das Gerät des Empfängers zwischen 19:42 und 19:54 nicht erreichbar.

Hier gilt ebenfalls, dass beim Öffnen der E-Mail Datum und Uhrzeit des Versands angezeigt werden.

Fazit

Treten bei der Zustellung einer E-Mail Verzögerungen auf, können diese durch Vergleich der Absendezeit und Empfangszeit identifiziert werden. Dabei muss man jedoch berücksichtigen, dass sich eine zeitliche Differenz auch durch fehlerhafte Zeitzoneneinstellungen bzw. fehlerhafte Zeiteinstellungen des Absenderservers ergeben kann.

Die zeitliche Differenz zwischen Zustellung im Postfach und Zustellung auf dem BlackBerry Smartphone kann folgende Ursachen haben:

• BlackBerry Enterprise Server ausgefallen bzw. Dienste nicht gestartet
• BlackBerry Smartphone des Empfängers ausgeschaltet / nicht erreichbar
• Während Telefonaten werden keine E-Mails auf das BlackBerry Smartphone zugestellt

Single Sign-On ermöglicht die Verwendung von Diensten, für die eine eigene Authentifizierung erforderlich ist, ohne zusätzliche Authentifizierung, sobald man in der Active Directory Domain angemeldet ist. Dies wird über das Kerberos Ticket erreicht.

Die folgende Anleitung zeigt die Schritte, die für die Aktivierung von Single Sign-On für den BlackBerry Enterprise Server 5.0.2 erforderlich sind. In der Anleitung werden folgende Namen für Accounts bzw. Computer verwendet, die durch die passenden Namen der eigenen Umgebung entsprechend ersetzt werden müssen:

• ts-berry1 = Servername des BlackBerry Enterprise Servers
• ts-berry1.roland.local = FQDN des BlackBerry Enterprise Servers
• besadmin = Name des Dienstaccounts, unter dem die BlackBerry Enterprise Server Dienste laufen

Registrierung der Kerberos-Dienstprinzipalnamen

Die vom BlackBerry Enterprise Server Administration Service verwendeten Kerberos-Dienstprinzipalnamen müssen im Active Directory registriert werden (siehe auch: http://technet.microsoft.com/de-de/library/ms178119.aspx). Dazu in einer DOS Shell auf dem Domain Controller nacheinander folgende Befehle eingeben:

setspn -A BASPLUGIN111/ts-berry1 besadmin
setspn -A BASPLUGIN111/ts-berry1.roland.local besadmin
setspn -A HTTP/ts-berry1 besadmin
setspn -A HTTP/ts-berry1.roland.local besadmin
setspn -A HTTPS/ts-berry1 besadmin
setspn -A HTTPS/ts-berry1.roland.local besadmin

Aktivierung der Delegierung für den besadmin Account

Für den Dienstaccount besadmin muss anschließend die Delegierung aktiviert werden. Dazu in den Eigenschaften des Accounts unter dem Reiter “Delegierung” die Option “Benutzer bei Delegierungen aller Dienste vertrauen (nur Kerberos)” aktivieren.

Aktivierung von Single Sign-On im BlackBerry Administration Service

Zur Aktivierung von Single Sign-On für den BlackBerry Administration Service und BlackBerry Webdesktop wie folgt vorgehen:

• Im Administration Service unter “Servers and components” zunächst “Topologie der BlackBerry-Lösung”, dann “BlackBerry Domain” und schließlich “Komponenten anzeigen” aufklappen
• “BlackBerry Administration Service” anklicken
• “Microsoft Active Directory-Authentifizierung” anklicken
• Komponente bearbeiten
• Den Eintrag “Die Authentifizierung der einmaligen Anmeldung für den BlackBerry Administration Service ist eingeschaltet” auf “Ja” umstellen
• “Alle speichern” anklicken

Nach einem Neustart des BlackBerry Administration Service ist Single Sign-On aktiv, wenn man den Administration Service mit dem Internet Explorer aufruft.