了解管理角色组

适用于： Exchange Server 2010 SP2, Exchange Server 2010 SP3

上一次修改主题： 2015-03-09

*“管理角色组”*是在基于角色的访问控制 (RBAC)（位于 Microsoft Exchange Server 2010）权限模型中使用的通用安全组 (USG)。管理角色组可简化对用户组的管理角色的分配。角色组的所有成员都被授予相同的角色集。为角色组分配的角色有管理员和专家角色，这类角色用于在 Exchange 2010 中定义主要管理任务（如组织管理、收件人管理和其他任务）。角色组使您能够更容易地将范围更广的权限集分配到管理员组或专家用户组。

注意：
本主题重点讲述高级 RBAC 功能UNRESOLVED_TOKEN_VAL()UNRESOLVED_TOKEN_VAL()。了解权限如果要管理基本的 Exchange 2010 权限（例如，使用 Exchange 控制面板 (ECP) 向角色组中添加成员或从角色组中删除成员，创建和修改角色组，或创建和修改角色分配策略），请参阅了解权限。

目录

角色组层

角色组管理

内置的角色组

链接的角色组

角色组委派

角色组成员身份

角色组创建工作流

注意：
如果要将权限分配到用户以管理其拥有的邮箱或通讯组，请参阅了解管理角色分配策略。

角色组层

以下是组成角色组模型的各层：

• 角色拥有者： *“角色拥有者”*是可以添加为角色组成员的邮箱。当某个邮箱添加为角色组成员时，则系统会将在管理角色和角色组之间所作的分配应用于此邮箱。此操作将向邮箱授予管理角色所提供的所有权限。

• 管理角色组： *“管理角色组”*是特殊 USG，它包含属于角色组成员的邮箱。可以在此处添加和删除成员，并且它还是向其分配管理角色的对象。角色组中所有角色的组合定义添加到角色组的用户可以在 Exchange 组织中管理的所有事情。

• 管理角色分配： *“管理角色分配”*链接管理角色和角色组。将管理角色分配到角色组，将使角色组的成员能够使用此管理角色中定义的 cmdlet 和参数。角色分配可以使用管理作用域来控制何处能够使用此分配。有关详细信息，请参阅了解管理角色分配。

• 管理角色作用域： *“管理角色作用域”*是对角色分配产生影响的作用域。将角色与作用域分配到角色组时，管理作用域会专门指定允许该分配进行管理的对象。然后会将此分配及其作用域指定给角色组的成员，从而限制这些成员可以管理的内容。作用域可以由服务器或数据库、组织单位或是服务器、数据库或收件人对象上的筛选器的列表组成。有关详细信息，请参阅了解管理角色作用域。

• 管理角色： *“管理角色”*是一组管理角色条目的容器。角色用于定义特定任务，这些任务可以由分配该角色的角色组成员执行。有关详细信息，请参阅了解管理角色。

• 管理角色条目： *“管理角色条目”*是管理角色上的单个条目，这些条目可提供对 cmdlet、脚本和其他特殊权限（允许执行特定任务）的访问。通常，角色条目由管理角色以及分配了该角色的角色组可以访问的一个 cmdlet 及若干参数构成。

下图显示了前面列表中的每个角色组层以及每个层如何与其他层相关。

管理角色组层

有关 RBAC 的详细信息，请参阅了解基于角色的访问控制。

返回顶部

角色组管理

创建某个角色组时，将创建包含此角色组成员的 USG，并在指定的角色组和管理角色之间创建分配。（可选）还可以指定要应用于此角色分配的管理作用域，并可添加任何您希望其成为新角色组成员的邮箱。

创建角色组后，每个层都成为独立的对象。角色组仍是所有互连层的中心点，但是，每个层都单独进行管理。例如，要修改在角色组创建时应用于该角色组的管理作用域，需要在创建此角色组之后，在每个单独角色分配上更改作用域。对角色组模型的管理是通过使用管理此角色组模型的单个层的 cmdlet 来执行的。

下表列出了角色组层以及可用于管理每个层的过程主题。

角色组管理主题

角色组模型层	管理主题
角色拥有者	向角色组添加成员 从角色组删除成员
角色组	创建角色组 更改链接角色组中的链接外部 USG 添加或删除角色组委派 删除角色组
管理角色和分配	向角色组添加角色 从角色组中删除角色 更改角色组中角色分配的作用域
管理角色条目	向角色添加角色条目 更改角色条目 从角色中删除角色条目 注意： 更改角色组中管理角色的管理角色条目是一项高级任务，大多数情况下不需要执行此操作。您可以使用符合要求的预先存在的管理角色。有关详细信息，请参阅内置的角色组。

返回顶部

内置的角色组

内置角色组是 Exchange 2010 附带的角色。它们提供一组角色组，可用于为用户组提供各种级别的管理权限。可以向任何内置角色组添加或从中删除用户。还可以向大多数角色组添加或从中删除角色分配。仅有的例外如下所示：

• 不能从 组织管理 角色组中删除任何委派角色分配

• 不能从 组织管理 角色组中删除“角色管理”角色。

下表列出了 Exchange 2010 中包含的所有内置角色组。有关内置角色组的详细信息，请参阅内置的角色组。

内置的角色组

返回顶部

链接的角色组

链接的角色组用于在专用资源林中安装 Exchange 2010 并将用户放置在其他受信任的外部林的组织。顾名思义，链接角色组在 Exchange 林中的角色组和外部林中的 USG 之间创建链接。如果您要用于管理 Exchange 的管理员 Active Directory 域服务 (AD DS) 用户帐户所驻留的资源林与 Exchange 驻留的资源林不相同，这将很有用。链接角色组只能与一个外部 USG 相关联。另外，无需在 Exchange 林和外部林之间创建双向信任。Exchange 林需要信任外部林，但外部林无需信任 Exchange 林。

有关在多林拓扑中的权限的详细信息，请参阅了解多林权限。

链接角色组由两部分组成：

• **链接角色组：**链接角色组是将外部 USG 与分配到角色组的管理角色分配相关联的容器对象。

• **外部 USG：**外部 USG 包含应当授予由链接角色组提供权限的成员。

创建链接角色组时，您需要在外部林（包含您需要依靠其来管理 Exchange 林的用户）和 USG（包含那些成员用户、外部 USG 名称和访问外部林所需的凭据）中提供域控制器。Exchange 会将外部 USG 的安全标识符 (SID) 添加到链接角色组。因为 USG SID 是外部 USG 的唯一标识，所以当具有多个外部林时，我们强烈建议您在角色组的名称中指定外部林。

链接角色组不包含任何成员。该角色组的所有成员都使用外部 USG 进行管理。这意味着您无法使用 Update-RoleGroupMember、Add-RoleGroupMember 或 Remove-RoleGroupMember cmdlet 添加或删除角色组成员。将成员添加到外部 USG 时，系统会授予这些成员由链接角色组提供的权限。

无法将标准角色组（包含其自身的成员）更改为链接角色组，反之亦然。如果要将角色组从标准角色组更改为链接角色组，则必须创建新链接角色组，并将存在于标准角色组上的管理角色分配复制到链接角色组上。这也适用于内置角色组，因为内置角色组是标准角色组。如果要从外部林执行 Exchange 林的所有管理，则需要新建链接角色组，并将存在于内置角色组上的管理角色添加到新链接角色组。有关如何完成此过程的详细信息，请参阅创建镜像内置角色组的链接角色组。

有关在资源林中部署 Exchange 的详细信息，请参阅在 Exchange 资源林拓扑中部署 Exchange 2010。

返回顶部

角色组委派

默认情况下，组织管理 角色组的成员可以向角色组添加和从中删除成员。但是，可能要允许不属于 组织管理 角色组成员的用户添加和删除角色组成员。如果是这样，则您可以使用角色组委派。

角色组委派由每个角色组上的 ManagedBy 属性控制。ManagedBy 属性包含可以向角色组添加和从中删除成员的用户的列表，或可以更改角色组配置的用户的列表。用户不会分配由角色组给予的任何权限，除非它们也是角色组的成员。

如果在角色组上设置了 ManagedBy 属性，则默认情况下，只有在该属性上作为角色组管理者列出的那些用户可以修改角色组或角色组的成员身份。但是，cmdlet 上用于修改角色组或角色组成员身份的可选参数可以覆盖该限制。BypassSecurityGroupManagerCheck 开关可以由属于 组织管理 角色的成员的用户或者直接或间接分配了“角色管理”管理角色的用户使用。使用此开关时，会忽略 ManagedBy 属性，并且用户可以修改角色组或角色组成员身份。

如果没有在角色组上设置 ManagedBy 属性，则只有属于 组织管理 角色成员的用户或直接/间接分配了“角色管理”管理角色的用户可以修改角色组或角色组成员身份。

注意：
分配给某个角色组的角色可能会使用委派角色分配来进行分配。使用委派角色分配，分配了委派角色的角色组成员可以将该角色分配给另一个角色组、分配策略、用户或 USG。角色组的成员只能分配该角色，并且无法委派角色组，除非它们也被添加到了 ManagedBy 属性。有关委派角色分配的详细信息，请参阅了解管理角色分配。

有关如何管理角色组委派的详细信息，请参阅添加或删除角色组委派。

返回顶部

角色组成员身份

如果用户是某个角色组的成员，则分配给此角色组的管理角色也会分配给该用户。如果用户是多个角色组的成员，则会聚合每个角色组的管理角色并将其分配给该用户。用户、USG 和其他角色组都可以是角色组的成员。

只有属于 组织管理 或“角色管理”角色组成员的用户，以及授予了向角色组添加或从中删除用户权限的用户可以管理角色组成员身份。

有关如何管理角色组成员身份的详细信息，请参阅下列主题：

• 向角色组添加成员

• 从角色组删除成员

• 查看角色组的成员

角色组创建工作流

如前所述，角色组由若干层组成。为了帮助您了解创建角色组时的操作，请参阅以下示例，此示例将创建新角色组。

New-RoleGroup -Name "Seattle Recipient Management" -Roles "Mail Recipients", "Distribution Groups", "Move Mailboxes", "UM Mailboxes" -CustomRecipientWriteScope "Seattle Users", -ManagedBy "Brian", "David", "Katie" -Members "Ray", "Jens", "Maria", "Chris", "Maira", "Carter", "Jesse", "Lukas", "Isabel", "Rick", "Katie"

运行上述命令时，会发生下列情况：

1. 创建一个名为 Seattle Recipient Management 的新角色组对象，该对象是一种特殊的 USG。

2. Ray、Jens、Maria、Chris、Maira、Carter、Jesse、Lukas、Isabel、Rick 和 Katie 的邮箱添加为角色组的成员。这些用户接收由此角色组提供的权限。

3. 用户 Brian 和 David 被添加到角色组的 ManagedBy 属性中。这些用户可以添加和删除角色组成员，但不会授予任何由此角色组提供的权限，因为它们不是成员。Katie 也被添加到此角色组的 ManagedBy 属性中。因为她已被添加到 ManagedBy 属性，并且她是此角色组的成员，所以她可以添加和删除角色组成员，而且还可以接收由此角色组提供的权限。

4. 创建了下列管理角色分配。角色分配会将命令中指定的每个管理角色分配给角色组。将管理作用域 Seattle Users 添加到每个角色分配。每个角色分配的名称是分配的管理角色和角色组名称的组合。

   1. Mail Recipients_Seattle Recipient Management

   2. Distribution Groups_Seattle Recipient Management

   3. Move Mailboxes_Seattle Recipient Management

   4. UM Mailboxes_Seattle Recipient Management

如果将此命令的结果与本主题前面介绍的管理角色组层图进行比较，则可以看到对应于角色组层的每个步骤。然后，可以参考本主题前面的“角色组管理”部分中的管理角色组管理主题，管理每个角色组层。

返回顶部

 © 2010 Microsoft Corporation。保留所有权利。