Guida alla protezione di Exchange 2010

 

Si applica a: Exchange Server 2010 SP2, Exchange Server 2010 SP3

Ultima modifica dell'argomento: 2016-11-28

Questa Guida è stata scritta per l'amministratore IT responsabile della sicurezza della distribuzione di MicrosoftExchange Server 2010 ed è stata progettata per aiutare l'amministratore IT a comprendere e gestire l'ambiente di protezione globale in cui è installato Exchange.

In passato, per ciascuna versione di Microsoft Exchange, il team di Exchange ha pubblicato singole guide relative alla sicurezza avanzata con informazioni sulla sicurezza e sulle autorizzazioni. Questo approccio era utile per bloccare servizi e directory dopo l'esecuzione del programma di installazione di Exchange 2010. Tuttavia, se si inizia con MicrosoftExchange Server 2007, il programma di installazione di Exchange abilita solo i servizi richiesti dal ruolo del server che viene installato. Microsoft Exchange non viene più installato e in seguito dotato di sicurezza avanzata. Il prodotto è stato progettato per essere sicuro per impostazione predefinita.

Pertanto, a differenza delle versioni precedenti di Microsoft Exchange dove gli amministratori IT dovevano eseguire diverse procedure per bloccare i server che eseguivano Microsoft Exchange, Exchange 2010 non richiede alcun blocco o sicurezza avanzata.

Ambito

Exchange 2010 è stato sviluppato sulla base dei principi di Microsoft Security Development Lifecycle (SDL). Sono stati riesaminati tutti gli aspetti della sicurezza inerenti ciascuna funzionalità e ciascun componente. Le impostazioni predefinite sono state scelte con grande attenzione per garantire la sicurezza della distribuzione. L'obiettivo di questa guida è informare gli amministratori sulle funzionalità inerenti la sicurezza e sulle funzionalità che in qualche modo possono presentare aspetti correlabili alla sicurezza. Questa guida si collega agli argomenti sulla sicurezza contenuti nella documentazione di Exchange 2010. Nell'Appendice 1 sono elencati i seguenti argomenti: Documentazione aggiuntiva relativa alla sicurezza Questa guida non tratta le procedure di sicurezza avanzata del sistema operativo Windows Server.

Sommario

Novità

Exchange 2010 Security Development Lifecycle

Creazione di un ambiente sicuro: procedure consigliate

Mantenimento di un ambiente sicuro: procedure consigliate

Utilizzo delle porte di rete e protezione avanzata tramite firewall

Parametri di limitazione e criteri di limitazione delle richieste client

Controllo dell'accesso basato sui ruoli

Active Directory

Account di Exchange Server

File system

Servizi

Certificati

Considerazioni sul protocollo NTLM

Autenticazione a due fattori

Federazione

Secure/Multipurpose Internet Mail Extensions (S/MIME)

Considerazioni sul ruolo di server

Appendice 1: Documentazione aggiuntiva relativa alla sicurezza

Novità

Exchange 2010 include le seguenti nuovo funzionalità di sicurezza:

• Controllo dell'accesso basato sui ruoli   Exchange 2010 include un nuovo modello di controllo dell'accesso basato sui ruoli che consente una gestione capillare delle autorizzazioni assegnate alle diverse tipologie di amministratori nell'ambito dell'organizzazione, come, ad esempio, amministratori dei destinatari, amministratori di server, responsabili di record individuazione e amministratori dell'organizzazione.

• Criteri di limitazione   Exchange 2010 introduce dei meccanismi di limitazione sui server delle cassette postali, Access client e di trasporto per proteggere l'organizzazione da attacchi di tipo Denial of Service e ridurre l'impatto negativo di tali attacchi.

• Delega federata   Exchange 2010 introduce nuove funzionalità di delega federata che consentono di autorizzare gli utenti a collaborare in piena sicurezza con gli utenti di organizzazioni esterne. Utilizzando la delega federata, gli utenti possono condividere il loro calendario e i loro contatti con gli utenti di organizzazioni federate esterne. Viene resa possibile anche la collaborazione tra insiemi di strutture, senza che sia necessario impostare e gestire delle relazioni di trust Active Directory.

• Information Rights Management   Exchange 2010 include nuove funzionalità di controllo e sicurezza delle informazioni che consentono di proteggere il contenuto sensibile dei messaggi a diversi livelli, pur mantenendo la capacità dell'organizzazione di decrittografare, ricercare e applicare i criteri per i messaggi al contenuto protetto.

• Niente più Security Configuration Wizard   In Exchange 2010, il programma di installazione apporta le modifiche alla configurazione necessarie per installare e abilitare solo i servizi richiesti per un particolare ruolo del server Exchange e per limitare la comunicazione solo alle porte necessarie per i servizi e processi in esecuzione su ciascun ruolo del server. Ciò rende inutili strumenti come Security Configuration Wizard (SCW) per la configurazione di queste impostazioni.

Exchange 2010 Security Development Lifecycle

Nel 2002, Microsoft ha introdotto l'iniziativa Trustworthy Computing. Da quando è stata introdotta questa iniziativa, il processo di sviluppo presso Microsoft e presso il team di Microsoft Exchange è stato incentrato sullo sviluppo di software in grado di garantire maggiore sicurezza. Per ulteriori informazioni, vedere la pagina relativa a Trustworthy Computing (informazioni in lingua inglese).

In Exchange 2010, l'iniziativa Trustworthy Computing è stata implementata in quattro aree principali:

• Secure by design   Exchange 2010 è un concetto che è stato progettato e sviluppato in conformità con il ciclo di vita dello sviluppo della protezione di Trustworthy Computing (informazioni in lingua inglese). Il primo passo nella creazione di un sistema di messaggistica più sicuro era quello di progettare modelli delle minacce e di testare ciascuna funzionalità così come era stata progettata. Ulteriori miglioramenti relativi alla protezione venivano apportati durante il processo e le procedure di codifica. Appositi strumenti che agiscono a livello di build rilevano i sovraccarichi dei buffer e altre potenziali minacce alla sicurezza. Nessun sistema è in grado di garantire una sicurezza totale. Tuttavia, integrando specifici criteri di sicurezza nell'intero processo di progettazione, si è riusciti a rendere Exchange 2010 più sicuro rispetto alle versioni precedenti.

• Secure by default   Uno degli obiettivi di Exchange 2010 era di sviluppare un sistema in cui la maggior parte delle comunicazioni di rete sono crittografate per impostazione predefinita. Fatta eccezione per le comunicazioni Server Message Block (SMB) e per alcune comunicazioni di messaggistica unificata, questo obiettivo è stato raggiunto. Utilizzando certificati autofirmati, il protocollo Kerberos, Secure Sockets Layer (SSL) e altre tecniche di crittografia basate sullo standard di settore, quasi tutti i dati di Exchange 2010 presenti nella rete sono protetti. Inoltre, l'installazione basata sui ruoli rende possibile installare Exchange 2010 in modo che solo i servizi e le autorizzazioni relative a tali servizi vengano installati con un ruolo del server specifico e appropriato. Nelle versioni precedenti di Microsoft Exchange, dovevano essere installati tutti i servizi per tutte le funzionalità. 

• Funzionalità antivirus e di protezione da posta desiderata   Exchange 2010 include un insieme di agenti protezione da posta desiderata che vengono eseguiti a livello di rete perimetrale sul ruolo di server Trasporto Edge e che possono essere installati anche sul ruolo di server Trasporto Hub residente nella rete interna. La funzionalità antivirus è stata ulteriormente migliorata con l'aggiunta di MicrosoftForefront Protection 2010 per Exchange Server come soluzione Microsoft.

• Secure in deployment   Quando Exchange 2010 è stato sviluppato, la versione non definitiva del software è stata distribuita nell'ambiente di produzione IT di Microsoft. In base ai dati ricavati da questa distribuzione, lo strumento Microsoft Exchange Server Best Practices Analyzer è stato aggiornato per eseguire l'analisi di configurazioni di protezione reali e nella Guida di Exchange 2010 sono state incluse informazioni relative alle procedure consigliate per la pre e post distribuzione.

  In passato, la gestione delle autorizzazioni veniva documentata e le informazioni venivano inviate dopo che la documentazione principale del prodotto era stata completata. Tuttavia, la gestione delle autorizzazioni, come ben si sa, non è affatto un processo aggiuntivo. Essa dovrebbe essere integrata nella pianificazione globale e nelle fasi di sviluppo della distribuzione di Exchange 2010. Pertanto, la documentazione sulle autorizzazioni è stata resa più chiara e integrata nella documentazione principale per fornire agli amministratori un contesto informativo completo per la pianificazione e distribuzione del loro modello amministrativo. Exchange 2010 include un nuovo modello di autorizzazioni basate sui ruoli che consentono di concedere specifiche autorizzazioni ad amministratori e utenti per consentire loro di svolgere le loro attività con il livello di autorizzazione minimo necessario.

• Communications   Ora che è avvenuto il rilascio di Exchange 2010, il team di Exchange si impegna a mantenere il software aggiornato e a tenere informati gli utenti. Mantenendo aggiornato il proprio sistema con Microsoft Update, è possibile verificare che nell'organizzazione vengano installati gli ultimi aggiornamenti relativi alla protezione. Exchange 2010 include anche aggiornamenti relativi alla protezione da posta indesiderata. Sottoscrivendo il servizio di Notifiche sulla sicurezza Microsoft è possibile mantenersi aggiornati sugli ultimi problemi di sicurezza in Exchange 2010.

Creazione di un ambiente sicuro: procedure consigliate

Alcune procedure consigliate saranno di aiuto nella creazione e gestione di un ambiente più sicuro. Generalmente, il modo più efficace di ottimizzare la sicurezza di un ambiente di Exchange 2010 è mantenere aggiornati il software e i file delle firme antivirus ed eseguire periodicamente gli strumenti di analisi.

Consigli per l'installazione e la configurazione

Queste procedure consigliate saranno di aiuto nella creazione di un ambiente Exchange 2010 più sicuro:

• Installazione delegata   Il primo server Exchange 2010 che viene installato nell'organizzazione richiede che l'account utilizzato per eseguire l'installazione deve essere membro del gruppo Enterprise Administrators. L'account utilizzato viene aggiunto al gruppo di ruoli Gestione organizzazione creato dal programma di installazione di Exchange 2010. È possibile utilizzare l'installazione delegata per consentire agli amministratori che non sono membri del gruppo di ruoli Gestione organizzazione di eseguire l'installazione sui server successivi. Per ulteriori dettagli, vedere Provisioning di Exchange 2010 e delega dell'installazione.

• Autorizzazioni per il file system   Il programma di installazione di Exchange 2010 assegna le autorizzazioni minime necessarie per il file system nel quale vengono archiviati i dati e i file binari di Exchange. Non occorre apportare alcuna modifica agli elenchi di controllo dell'accesso (ACL=Access Control List) nelle cartelle radice e alla cartella Programmi nel file system.

• Percorsi di installazione   Si consiglia di installare i file binari di Exchange 2010 su un'unità non di sistema (vale a dire, su un volume diverso da quello su cui viene installato il sistema operativo). I database e i registri delle transazioni di Exchange crescono rapidamente e devono trovarsi su volumi non di sistema adeguatamente predisposti in termini di spazio e prestazioni. Molti altri registri creati da diversi componenti di Exchange, come, ad esempio, i registri di trasporto, vengono archiviati nello stesso percorso di installazione dei file binari di Exchange e possono crescere notevolmente, a seconda della configurazione e del tipo di ambiente di messaggistica. In Exchange 2010, la dimensione massima di molti file di registro e lo spazio massimo allocato a una cartella dei file di registro sono configurabili e in genere, per impostazione predefinita, questo limite massimo è 250 Megabyte. Per evitare un potenziale blocco del sistema dovuto a insufficiente spazio su disco, si consiglia di valutare con attenzione i requisiti di registrazione di ciascun ruolo del server e di configurare le opzioni di registrazione e i percorsi di archiviazione dei file di registro in modo tale da soddisfare ampiamente tali requisiti.

• Blocco dei client Outlook legacy   In base alle proprie esigenze, è possibile configurare il blocco dei client Outlook in modo da bloccare le versioni legacy dei client Outlook. Alcune funzionalità di Exchange 2010, come le regole di protezione Outlook e gli archivi personali, non supportano i client Outlook legacy. Per ulteriori informazioni sul blocco dei client Outlook, vedere Configurazione del blocco di client di Outlook per Gestione record di messaggistica.

• Separazione degli indirizzi SMTP dai nomi utente   Per impostazione predefinita, Exchange genera degli indirizzi e alias di posta elettronica in base al nome utente del titolare della cassetta postale. Molte organizzazioni creano un criterio aggiuntivo per gli indirizzi di posta elettronica per separare gli indirizzi di posta elettronica dai nomi degli utenti a garanzia di una maggiore sicurezza. Ad esempio, se il nome utente di Ben Smith è bsmith e il dominio è contoso.com, l'indirizzo di posta elettronica principale generato dal criterio predefinito per gli indirizzi di posta elettronica è bsmith@contoso.com. È possibile creare un criterio aggiuntivo per gli indirizzi di posta elettronica in modo da generare indirizzi di posta elettronica che non utilizzino l'alias o il nome dell'utente. Ad esempio, se si crea un criterio per gli indirizzi di posta elettronica che utilizza il modello %g.%s@domain, vengono generati indirizzi di posta elettronica con il formato Nome.Cognome@dominio. Per l'utente Ben Smith, il criterio genera l'indirizzo Ben.Smith@contoso.com. In alternativa, è possibile separare gli indirizzi di posta elettronica dai nomi degli utenti specificando un alias diverso dal nome utente, nel momento in cui si crea o abilita una cassetta di posta.

  Nota

  Se l'indirizzo SMTP principale di un utente non corrisponde all'UPN dell'account, l'utente non è in grado di utilizzare il suo indirizzo di posta elettronica per accedere a MicrosoftOfficeOutlook Web App e deve fornire un nome utente utilizzando il formato DOMINIO\nomeutente. Quando si utilizza MicrosoftOutlook, l'utente deve fornire il proprio nome utente nel formato DOMINIO\nomeutente, se vengono richieste le credenziali quando Outlook si connette al servizio di individuazione automatica.

Microsoft Update

Microsoft Update è un servizio che offre gli stessi download di MicrosoftWindows Update e inoltre gli ultimi aggiornamenti per altri programmi Microsoft. Questo servizio consente di ottimizzare la sicurezza e le prestazioni del server.

Una funzionalità chiave di Microsoft è Aggiornamenti automatici Windows. Questa funzionalità consente di installare automaticamente gli aggiornamenti con priorità elevata che si rivelano critici per la protezione e l'affidabilità del computer. Senza questi aggiornamenti relativi alla sicurezza, il computer risulta maggiormente vulnerabile ad attacchi portati da pirati informatici e da software dannoso (malware).

Il modo più affidabile per ricevere gli aggiornamenti di Microsoft Update è fare in modo che questi vengano inviati automaticamente al proprio computer utilizzando Aggiornamenti automatici Windows. È possibile attivare gli aggiornamenti informatici quando si effettua la sottoscrizione a Microsoft Update.

Windows eseguirà l'analisi del software Microsoft installato sul computer per rilevare se sono richiesti aggiornamenti con priorità elevata attuali o già resi disponibili, quindi li scarica e li installa automaticamente. Successivamente, ogni volta che ci si connette a Internet, Windows ripete questo processo per qualsiasi nuovo aggiornamento con priorità elevata.

Per abilitare Microsoft Update, vedere la pagina relativa a Microsoft Update (informazioni in lingua inglese). 

La modalità predefinita di Microsoft Update richiede che ciascun computer Exchange connesso a Internet riceva gli aggiornamenti automatici. Se sono in esecuzione server non connessi a Internet, è possibile installare Windows Server Update Services (WSUS) per gestire la distribuzione degli aggiornamenti sui computer presenti nell'organizzazione. In seguito è possibile configurare Microsoft Update sui computer Microsoft Exchange interni per contattare il server WSUS interno al fine di ricevere gli aggiornamenti. Per ulteriori informazioni, vedere la pagina relativa a Microsoft Windows Server Update Services 3.0 (informazioni in lingua inglese). 

WSUS non è l'unica soluzione disponibile per la gestione di Microsoft Update. Per ulteriori informazioni su versioni, procedure, comunicazioni e strumenti inerenti la sicurezza di Microsoft, vedere la Microsoft Security Update Guide (le informazioni potrebbero essere in lingua inglese).

Attività non più necessarie in Exchange 2010

Non è più necessario installare o eseguire i seguenti strumenti:

• Lo strumento di sicurezza URLScan non è più necessario per IIS 7. Nelle precedente versioni di Microsoft Exchange, era normale installare gli strumenti IIS, come URLScan per proteggere un'installazione di IIS. Exchange 2010 richiede Windows Server 2008, che include IIS 7. Molte delle funzionalità di sicurezza originariamente disponibili in UrlScan sono ora disponibili nelle funzionalità di IIS 7 Request Filtering.

• Non è più necessario installare Exchange Best Practices Analyzer. Nelle versioni precedenti di Microsoft Exchange, era normale installare ed eseguire Exchange Best Practices Analyzer prima dell'installazione e quindi successivamente a intervalli regolari. Il programma di installazione di Exchange 2010 include i componenti di Exchange Best Practices Analyzer e li esegue durante l'installazione. Non è più necessario eseguire Exchange Best Practices Analyzer prima dell'installazione.

• Non è più necessario utilizzare Security Configuration Wizard (SCW) o i modelli di Exchange per SCW. Il programma di installazione di Exchange 2010 installa solo i servizi necessari per un determinato ruolo di server Exchange e crea le regole di Windows Firewall con protezione avanzata in modo da aprire solo le porte necessarie per i servizi e processi di quel ruolo di server. Per effettuare questa operazione, non è più necessario eseguire Security Configuration Wizard (SCW). A differenza di Exchange Server 2007, Exchange 2010 non include più i modelli SCW.

Mantenimento di un ambiente sicuro: procedure consigliate

Queste procedure consigliate contribuiscono a mantenere sicuro il proprio ambiente Exchange 2010.

Mantenere il software aggiornato

Come indicato in una sezione precedente, l'esecuzione di Microsoft è importante. Oltre a eseguire Microsoft Update su tutti i server, è anche molto importante mantenere aggiornati tutti i computer client e gestire gli aggiornamenti antivirus su tutti i computer dell'organizzazione.

Oltre al software Microsoft, è necessario applicare i più recenti aggiornamenti a tutto il software in esecuzione nell'organizzazione.

Aggiornamenti protezione da posta indesiderata

Exchange 2010 utilizza anche l'infrastruttura di Microsoft per mantenere aggiornati i filtri per la protezione da posta indesiderata. Per impostazione predefinita, con gli aggiornamenti manuali, l'amministratore deve visitare il sito Web di Microsoft Update per scaricare e installare gli aggiornamenti del filtro contenuto. I dati di aggiornamento del filtro contenuto vengono aggiornati e possono essere scaricati ogni due settimane.

Gli aggiornamenti manuali di Microsoft Update includono dati del servizio reputazione IP Microsoft o dati delle firme di posta indesiderata. I dati del servizio reputazione IP Microsoft e quelli relativi alle firme di posta indesiderata sono disponibili solo con gli aggiornamenti automatici per la protezione da posta indesiderata di Forefront Security per Exchange Server.

Per ulteriori informazioni su come abilitare gli aggiornamenti automatici per la protezione da posta indesiderata di Forefront, vedere Informazioni sugli aggiornamenti protezione da posta indesiderata.

Esecuzione del software antivirus

I virus, i worm e altri contenuti dannosi trasmessi dai sistemi di posta elettronica rappresentano una pericolosa realtà per molti amministratori di Microsoft Exchange. Di conseguenza è necessario sviluppare la distribuzione di un software antivirus per difendere tutti i sistemi di messaggistica. In questa sezione vengono fornite alcune procedure consigliate per lo sviluppo di software antivirus per Exchange 2010.

Per la scelta di un fornitore di software antivirus, è necessario prestare molta attenzione a due importanti modifiche in Exchange 2010:

• A partire da Exchange Server 2007, Microsoft Exchange è basato su un'architettura a 64 bit.

• Exchange 2010 include la funzionalità agente di trasporto.

In ragione di queste due modifiche, i fornitori di programmi antivirus devono essere in grado di offrire software specifico per Exchange 2010. I software antivirus progettati per versioni precedenti di Exchange non funzioneranno correttamente con Exchange 2010.

Per utilizzare un approccio di difesa approfondito, si consiglia di distribuire software antivirus progettato per sistemi di messaggistica a livello di gateway SMTP o a livello di server Exchange che ospitano le cassette postali, oltre a software antivirus sul desktop degli utenti.

Spetta all'amministratore decidere quale tipo di software antivirus utilizzare e dove distribuirlo, ricercando il giusto equilibrio tra il costo e il rischio che si è disposti a correre. Ad esempio, alcune organizzazioni eseguono il software antivirus per la messaggistica a livello di gateway SMTP, la ricerca di virus a livello dei file nel server di Exchange e il software antivirus per i client a livello del desktop degli utenti. Questo approccio offre una protezione specifica dei messaggi a livello di client. Altre organizzazioni possono tollerare costi maggiori e pertanto possono migliorare la protezione eseguendo software antivirus per la messaggistica a livello del gateway SMTP, la ricerca di virus a livello dei file nel server di Exchange e il software antivirus per i client a livello del desktop degli utenti insieme a software antivirus compatibile con Exchange Virus Scanning Application Programming Interface (VSAPI) 2.5 sul server Cassette postali di Exchange.

Esecuzione di software antivirus sui server Trasporto Edge e Trasporto Hub

Il software antivirus basato sul trasporto viene implementato sotto forma di oppure include gli agenti di trasporto. Gli agenti di trasporto agiscono sugli eventi di trasporto in modo analogo ai sink di evento nelle precedenti versioni di Microsoft Exchange. Per ulteriori dettagli, vedere Informazioni sugli agenti di trasporto.

Gli sviluppatori di terze parti possono creare agenti di trasporto personalizzati per trarre il massimo vantaggio dal modulo di analisi MIME sottostante per un'efficace ricerca dei virus a livello di trasporto. Per un elenco di partner che producono antivirus e anti-spam per Exchange, vedere ISV (le informazioni potrebbero essere in lingua inglese).

Inoltre, Forefront Protection for Exchange Server è un pacchetto di software antivirus strettamente integrato con Exchange 2010 e offre una protezione antivirus ulteriore per l'ambiente di Exchange. Per ulteriori informazioni, vedere Microsoft Forefront Protection 2010 per Exchange Server.

La posizione più importante in cui eseguire software antivirus per la messaggistica è la prima linea di difesa dell'organizzazione. Si tratta del gateway SMTP attraverso il quale i messaggi esterni accedono all'ambiente di messaggistica. In Exchange 2010, la prima linea di difesa è costituita dal server Trasporto Edge.

Se si utilizza un server o gateway SMTP non Exchange per ricevere la posta elettronica in arrivo prima di Exchange, è necessario implementare un'adeguata funzionalità antivirus e di posta indesiderata sugli host SMTP non Exchange.

In Exchange 2010, tutti i messaggi vengono instradati attraverso un server Trasporto Hub. Ciò include i messaggi inviati o ricevuti dall'esterno dell'organizzazione Exchange e i messaggi inviati nell'ambito dell'organizzazione Exchange. I messaggi inviati a una cassetta postale che si trova sullo stesso server cassette postali del mittente. Per contrastare gli attacchi da virus dall'interno dell'organizzazione o creare una seconda linea di difesa, è consigliabile eseguire software antivirus basato sul trasporto sul server Trasporto Hub.

Esecuzione del software antivirus sui server delle cassette postali

Oltre a ricercare i virus sui server di trasporto, la soluzione MicrosoftExchange Virus Scanning API (VSAPI) in esecuzione sui server delle cassette postali è in gradi o di costituire un'importante linea di difesa in molte organizzazioni. È necessario prendere in considerazione l'esecuzione di una soluzione antivirus VSAPI, se si verifica una delle seguenti condizioni:

• Nell'organizzazione non è stata eseguita alcuna distribuzione completa e affidabile di un software antivirus.

• L'organizzazione desidera adottare le misure di protezione aggiuntive che la scansione dei database è in grado di fornire.

• L'organizzazione ha sviluppato applicazioni personalizzate che dispongono dell'accesso a livello di programmazione a un database di Exchange.

• La propria community di utenti invia regolarmente messaggi nelle cartelle pubbliche.

Le soluzioni antivirus che utilizzano Exchange VSAPI vengono eseguite direttamente all'interno del processo dell'archivio informazioni di Exchange. Le soluzioni VSAPI sono probabilmente le uniche soluzioni per la protezione contro attacchi che mirano a inserire contenuto infetto all'interno dell'archivio informazioni di Exchange evitando l'analisi standard relativa al trasporto e ai client. Ad esempio, VSAPI è l'unica soluzione che ricerca dati inoltrati a un database da CDO (Collaboration Data Object), WebDAV e Servizi Web Exchange (EWS). Inoltre, quando si verifica un attacco da virus, una soluzione antivirus VSAPI offre spesso il modo più rapido per rimuovere ed eliminare virus da un database della posta infetto.

Antivirus per Exchange Server e per il file system

Se si ha intenzione di distribuire software antivirus a livello di file system per proteggere i propri server Exchange, considerare quanto segue:

• È necessario escludere le directory dei server Exchange, su cui sono archiviati i database delle cartelle pubbliche e delle cassette postali di Exchange, dalle scansioni antivirus sul file system. Per ulteriori informazioni, vedere Ricerca di virus a livello di file in Exchange 2010.

• Le scansioni antivirus sul file system proteggono esclusivamente i file. Per proteggere i messaggi di posta elettronica, occorre anche considerare l'implementazione di un antivirus specifico per Exchange oppure di prodotti per la sicurezza dei messaggi, come MicrosoftForefront o simili o prodotti di terzi. Per i dettagli sulla protezione antivirus e per la posta indesiderata, vedere Informazioni sulle funzionalità per la protezione da posta indesiderata e antivirus. Per i dettagli, vedere Forefront Protection 2010 per Exchange Server: Panoramica (le informazioni potrebbero essere in lingua inglese).

• Per una reale protezione, è necessario mantenere aggiornate le firme antivirus e di posta indesiderata.

• I report generati da software o servizi antivirus o di posta indesiderata vanno esaminati regolarmente per verificare che la protezione sia abilitata e funzioni come previsto, per rilevare rapidamente eventuali anomalie e intraprendere le azioni più opportune.

Utilizzo di Exchange Hosted Services

Il filtro protezione da posta indesiderata e virus è supportato o viene fornito come servizio da Microsoft Exchange Hosted Services. Exchange Hosted Services è un insieme di quattro diversi servizi:

• Hosted Filtering, che consente alle organizzazioni di proteggersi dal malware inviato tramite posta elettronica

• Hosted Archive, che consente alle organizzazioni di soddisfare i requisiti di conservazione e conformità

• Hosted Encryption, che consente alle organizzazioni di crittografare i dati per mantenerne la riservatezza

• Hosted Continuity, che consente alle organizzazioni di proteggere l'accesso ai messaggi di posta elettronica durante e dopo situazioni interruzione del servizio

Questi servizi si integrano i server Exchange locali che sono gestiti internamente. Per ulteriori informazioni, vedere Forefront Online Protection for Exchange (le informazioni potrebbero essere in lingua inglese).

Utilizzo del filtro degli allegati

In Exchange 2010, il filtro degli allegati consente di filtrare gli allegati a livello di server per controllare gli allegati ricevuti dagli utenti. L'applicazione del filtro agli allegati è sempre più importante nell'ambiente odierno, in cui molti allegati contengono virus dannosi o materiale inappropriato che potrebbe danneggiare seriamente il computer dell'utente o dell'intera organizzazione, danneggiando la documentazione importante o rendendo pubbliche informazioni riservate.

È possibile utilizzare i seguenti tipi di filtro allegati per controllare gli allegati in entrata o in uscita dall'organizzazione attraverso il server Trasporto Edge:

Applicazione del filtro in base al nome file o all'estensione del file   È possibile applicare il filtro allegati specificando il nome file esatto o l'estensione del nome file da filtrare. Un esempio di applicazione del filtro a un nome file esatto è BadFilename.exe. Un esempio di applicazione del filtro all'estensione del nome file è *.exe.

Applicazione del filtro in base al tipo di contenuto MIME del file   È possibile applicare il filtro allegati specificando il tipo di contenuto MIME da filtrare. I tipi di contenuto MIME indicano la natura dell'allegato, se si tratta di un'immagine JPEG, di un file eseguibile, di un file MicrosoftOfficeExcel 2010 o di qualche altro tipo di file. I tipi di contenuto sono rappresentati come tipo/sottotipo. Ad esempio, il tipo di contenuto immagine JPEG è rappresentato come immagine/jpeg.

Se un allegato corrisponde a uno di questi criteri di filtro, è possibile configurare una delle seguenti azioni da effettuare sull'allegato:

• Bloccare l'intero messaggio e allegato

• Stralciare l'allegato ma consentire il passaggio al messaggio

• Eliminare in modo silente messaggio e allegato

Per ulteriori dettagli, vedere Informazioni sui filtri degli allegati.

Filtro dei file mediante Forefront Protection for Exchange Server

La funzionalità filtro dei file fornita da Microsoft Forefront Protection 2010 for Exchange Server include funzionalità avanzate che non sono disponibili nell'agente filtro degli allegati predefinito incluso in Exchange 2010.

Ad esempio, i file contenitore, vale a dire i file contenenti altri file, possono essere analizzati per individuare tipi di file non autorizzati. Il filtro di Forefront Protection for Exchange Server può analizzare i seguenti file contenitore e agire sui file incorporati:

• PKZip (.zip)

• GNU Zip (.gzip)

• Archivi di file compressi autoestraenti (.zip)

• File compressi (.zip)

• Archivio Java (.jar)

• TNEF (winmail.dat)

• Archiviazione strutturata (.doc, .xls, .ppt, ecc.)

• MIME (.eml)

• SMIME (.eml)

• UUEncode (.uue)

• Archivio su nastro Unix (.tar)

• Archivio RAR (.rar)

• MACBinary (.bin)

È inoltre possibile filtrare i file in base alle loro dimensioni. Inoltre, è possibile configurare Forefront Protection for Exchange Server per mettere in quarantena i file filtrati o per inviare notifiche tramite posta elettronica in base alle corrispondenze del filtro dei file.

Per ulteriori informazioni, vedere la pagina relativa alla protezione dell'organizzazione Microsoft Exchange con Microsoft Forefront Security per Exchange Server (informazioni in lingua inglese).

Esecuzione di Exchange Best Practices Analyzer

Exchange Best Practices Analyzer è uno degli strumenti più efficaci che possono essere eseguiti regolarmente per verificare che l'ambiente di Exchange sia sicuro. Exchange Best Practices Analyzer esamina automaticamente la distribuzione di Microsoft Exchange e stabilisce se la configurazione è impostata secondo le procedure consigliate di Microsoft. In Exchange 2010, Exchange Best Practices Analyzer viene installato come parte dell'installazione di Exchange e può essere eseguito dalla sezione strumenti di Exchange Management Console (EMC). Con l'accesso di rete appropriato, Exchange Best Practices Analyzer esamina tutti i server dei Servizi di dominio Active Directory (AD DS) e i server Exchange. Exchange Best Practices Analyzer include i controlli inerenti l'ereditarietà delle autorizzazioni. Inoltre, effettua le prove di convalida delle autorizzazioni RBAC. Sono incluse anche le prove effettuate per verificare che tutti gli utenti possano accedere al Pannello di controllo di Exchange, che tutti i ruoli RBAC predefiniti creati dal programma di installazione di Exchange siano configurati correttamente e che nell'ambito dell'organizzazione Exchange sia presente almeno un account amministrativo.

Utilizzo delle porte di rete e protezione avanzata tramite firewall

Windows Server 2008 include Windows Firewall con protezione avanzata, un firewall con verifica dello stato dei pacchetti che è abilitato per impostazione predefinita. Windows Firewall con protezione avanzata fornisce le seguenti funzionalità:

• Filtraggio di tutto il traffico IP versione 4 (IPv4) e IP versione 6 (IPv6) in entrata o in uscita dal computer. Per impostazione predefinita, tutto il traffico in entrata viene bloccato, a meno che non si tratti di traffico di risposta a una precedente richiesta in uscita dal computer (traffico sollecitato) oppure non sia specificatamente consentito da una regola creata appositamente per autorizzarlo. Per impostazione predefinita, tutto il traffico in uscita viene consentito, salvo i casi previsti dalle regole di protezione avanzata dei servizi che impediscono ai servizi standard di comunicare con modalità anomale. È possibile decidere di consentire il traffico in base ai numeri di porta, agli indirizzi IPv4 o IPv6, al percorso e al nome di un'applicazione, al nome di un servizio in esecuzione sul computer o ad altri criteri da definire.

• Protezione del traffico di rete in entrata o in uscita dal computer tramite il protocollo IPsec per verificare l'integrità del traffico di rete, per autenticare l'identità dei computer o utenti mittenti e destinatari e opzionalmente per crittografare il traffico a garanzia della riservatezza dei contenuti.

Exchange 2010 è progettato per essere eseguito con Windows Server Firewall con protezione avanzata abilitato. Il programma di installazione di Exchange crea le necessarie regole del firewall per consentire ai servizi e processi Exchange di comunicare. Il programma di installazione crea le regole esclusivamente per i servizi e processi installati su un determinato ruolo di server. Per ulteriori dettagli sull'utilizzo delle porte di rete e delle regole del firewall create per ciascun ruolo di server Exchange 2010, vedere Riferimento porta di rete di Exchange.

In Windows Server 2008 e Windows Server 2008 R2, Windows Firewall con protezione avanzata consente di specificare il processo o il servizio per cui viene aperta una porta. Questa procedura è più sicura, perché limita l'uso della porta al processo o al servizio specificato nella regola. Il programma di installazione di Exchange 2010 crea le regole del firewall con il nome del processo specificato. In alcuni casi, viene creata anche una regola aggiuntiva non limitata al processo per ragioni di compatibilità. È possibile disabilitare o rimuovere le regole non limitate ai processi e mantenere le corrispondenti regole anch'esse create dal programma di installazione di Exchange 2010, se la distribuzione supporta questa scelta. Le regole non limitate ai processi sono indicate dalla parola (GFW) nel nome della regola. Si consiglia di provare in modo assiduo le regole nel proprio ambiente prima di disabilitare le regole non limitate a un processo.

In questa tabella sono elencate le regole di Windows Firewall create dal programma di installazione di Exchange e sono specificate le porte aperte su ciascun ruolo di server.

Regole di Windows Firewall

Nome della regola	Ruoli di server	Porta
MSExchangeRPCEPMap (GFW) (TCP-In)	Tutti i ruoli	RPC-EPMap
MSExchangeRPC (GFW) (TCP-In)	Accesso client, Trasporto Hub, Cassette postali, Messaggistica unificata	RPC dinamico
MSExchange - IMAP4 (GFW) (TCP-In)	Accesso client	143, 993 (TCP)
MSExchange - POP3 (FGW) (TCP-In)	Accesso client	110, 995 (TCP)
MSExchange - OWA (GFW) (TCP-In)	Accesso client	5075, 5076, 5077 (TCP)
MSExchangeMailboxReplication (GFW) (TCP-In)	Accesso client	808 (TCP)
MSExchangeIS (GFW) (TCP-In)	Cassette postali	6001, 6002, 6003, 6004 (TCP)
MSExchangeTransportWorker (GFW) (TCP-In)	Trasporto Hub	25, 587 (TCP)
SESWorker (GFW) (TCP-In)	Messaggistica unificata	Qualsiasi
UMService (GFW) (TCP-In)	Messaggistica unificata	5060, 5061 (TCP)
UMWorkerProcess (GFW) (TCP-In)	Messaggistica unificata	5065, 5066, 5067, 5068

Parametri di limitazione e criteri di limitazione delle richieste client

Exchange 2010 include i parametri di limitazione sui ruoli di server Trasporto, Accesso client e Cassette postali per controllare i differenti parametri delle connessioni relative a ciascun protocollo. Exchange 2010 include anche i criteri di limitazione delle richieste client per controllare il carico dei server Accesso client. Questi parametri e criteri di limitazione consentono di controllare il carico e proteggere i server Exchange 2010 da attacchi di tipo denial of service mirati a differenti protocolli.

Parametri di limitazione sui server di trasporto

Sui server di trasporto Exchange 2010, i parametri di limitazione dei messaggi vengono implementati sul server e sui connettori di invio e ricezione per controllare la velocità di elaborazione dei messaggi, la velocità di connessione SMTP e i valori di timeout delle sessioni SMTP. Insieme, questi parametri di limitazione impediscono ai server di trasporto di essere saturati da innumerevoli messaggi da accettare e recapitare e li proteggono da client SMTP non autorizzati e da attacchi di tipo denial of service.

È possibile configurare i seguenti criteri di limitazione sui server di trasporto Exchange 2010 utilizzando il cmdlet Set-TransportServer.

Parametri di limitazione dei server di trasporto

Parametro	Descrizione
MaxConcurrentMailboxDeliveries	Il parametro MaxConcurrentMailboxDeliveries consente di specificare il numero massimo di thread di recapito che il server Trasporto Hub è in grado di tenere aperti contemporaneamente per recapitare i messaggi alle cassette postali. Il driver di archivio sul server Trasporto Hub svolge la funzione di recapitare i messaggi da e verso i server di cassette postali. Questo limite si applica al recapito di messaggi a qualunque cassetta postale nell'organizzazione Exchange. Predefinito   20 recapiti
MaxConcurrentMailboxSubmissions	Il parametro MaxConcurrentMailboxSubmissions consente di specificare il numero massimo di thread di recapito che il server Trasporto Hub è in grado di tenere aperti contemporaneamente per accettare i messaggi dalle cassette postali. Il driver di archivio sul server Trasporto Hub svolge la funzione di recapitare i messaggi da e verso i server di cassette postali. Questo limite si applica all'accettazione di nuovi messaggi da qualunque cassetta postale nell'organizzazione Exchange. Predefinito   20 invii
MaxConnectionRatePerMinute	Il parametro MaxConnectionRatePerMinute consente di specificare la velocità massima alla quale è possibile aprire nuove connessioni in ingresso nel server Trasporto Hub o Trasporto Edge. Tali connessioni vengono aperte per ogni connettore di ricezione presente sul server. Predefinito   1.200 connessioni al minuto.
MaxOutboundConnections	Il parametro MaxOutboundConnections consente di specificare il numero massimo di connessioni esterne simultanee che il server Trasporto Hub o Trasporto Edge è in grado di tenere aperte contemporaneamente. Tali connessioni vengono eseguite quando si utilizzano i connettori di invio presenti sul server. Il valore specificato dal parametro MaxOutboundConnections si applica a tutti i connettori di invio presenti sul server di trasporto. Predefinito   1.000 connessioni. Se si immette il valore "Unlimited", non verrà imposto alcun limite al numero di connessioni esterne. Questo valore può essere configurato anche utilizzando EMC.
MaxPerDomainOutboundConnections	Il parametro MaxPerDomainOutboundConnections consente di specificare il numero massimo di connessioni a un unico dominio remoto che un server Trasporto Hub o Trasporto Edge con accesso a Internet è in grado di tenere aperte. Tali connessioni in uscita ai domini remoti vengono eseguite quando si utilizzano i connettori di invio presenti sul server. Predefinito   20 connessioni per dominio. Se si immette il valore "illimitato", non verrà imposto alcun limite al numero di connessioni esterne per dominio. Questo valore può essere configurato anche utilizzando EMC.
PickupDirectoryMaxMessagesPerMinute	Il parametro MaxPerDomainOutboundConnections consente di specificare la velocità di elaborazione dei messaggi della directory di prelievo e della directory di riesecuzione. Ciascuna directory può elaborare separatamente i file dei messaggi alla velocità specificata dal parametro PickupDirectoryMaxMessagesPerMinute. Predefiniti   Per impostazione predefinita, la directory di prelievo può elaborare 100 messaggi al minuto e la directory di riesecuzione può elaborare contemporaneamente 100 messaggi al minuto. Le directory di prelievo e di riesecuzione ricercano nuovi file di messaggi una volta ogni 5 secondi, o 12 volte al minuto. Questo intervallo di polling di 5 secondi non è configurabile. Significa che il numero massimo di messaggi che è possibile elaborare durante ogni intervallo di polling corrisponde al valore assegnato al parametro PickupDirectoryMaxMessagesPerMinute diviso 12 (PickupDirectoryMaxMessagesPerMinute/12). Per impostazione predefinita, è possibile elaborare un massimo di 8 messaggi durante ciascun intervallo di polling di 5 secondi.

Parametri di limitazione e connettori di invio

Sui connettori di invio sono disponibili i seguenti parametri di limitazione. Utilizzare il cmdlet Send-Connector per configurare questi parametri.

Parametri di limitazione dei connettori di invio

Parametro	Descrizione
ConnectionInactivityTimeOut	Il parametro ConnectionInactivityTimeOut consente di specificare il tempo massimo per il quale una connessione SMTP aperta con un server di messaggistica di destinazione può restare inattiva prima che venga chiusa. Predefinito   10 minuti.
SmtpMaxMessagesPerConnection	Il parametro SmtpMaxMessagesPerConnection consente di specificare il numero massimo di messaggi che il server del connettore di invio può inviare per ogni connessione. Predefinito   20 messaggi

Parametri di limitazione e connettori di ricezione

È possibile configurare i seguenti parametri di limitazione sui connettori di ricezione dei server di trasporto Exchange 2010 per controllare i parametri di connessione, come i timeout di inattività, il numero massimo di connessioni e il numero massimo di errori del protocollo SMTP tollerati durante una connessione. Utilizzare il cmdlet Set-ReceiveConnector per configurare questi parametri.

Parametri di limitazione dei connettori di ricezione

Parametro	Descrizione
ConnectionInactivityTimeOut	Il parametro ConnectionInactivityTimeOut consente di specificare il tempo massimo per il quale una connessione SMTP aperta con un server di messaggistica di origine può restare inattiva prima che venga chiusa. Valore predefinito sui server Trasporto Hub   5 minuti. Valore predefinito sui server Trasporto Edge   1 minuto.
ConnectionTimeOut	Il parametro ConnectionTimeOut consente di specificare il tempo massimo per il quale una connessione SMTP con un server di messaggistica di origine può restare aperta anche se è in corso la trasmissione di dati dal server di messaggistica di origine. Valore predefinito sui server Trasporto Hub   10 minuti Valore predefinito sui server Trasporto Edge   5 minuti. Il valore specificato dal parametro ConnectionTimeout deve essere superiore al valore specificato dal parametro ConnectionInactivityTimeout.
MaxInboundConnection	Il parametro MaxInboundConnection consente di specificare il numero massimo di connessioni SMTP in ingresso consentite contemporaneamente dal connettore di ricezione. Predefinito   5.000
MaxInboundConnectionPercentagePerSource	Il parametro MaxInboundConnectionPercentagePerSource consente di specificare il numero massimo di connessioni SMTP consentite contemporaneamente dal connettore di ricezione da un singolo server di messaggistica di origine. Il valore viene espresso come percentuale delle connessioni rimanenti disponibili in un connettore di ricezione. Il numero massimo di connessioni consentite dal connettore di ricezione è definito dal parametro MaxInboundConnection. Predefinito   2 per cento
MaxInboundConnectionPerSource	Il parametro MaxInboundConnectionPerSource consente di specificare il numero massimo di connessioni SMTP consentite contemporaneamente dal connettore di ricezione da un singolo server di messaggistica di origine. Predefinito   100 connessioni
MaxProtocolErrors	Il parametro MaxProtocolErrors consente di specificare il numero massimo di errori del protocollo SMTP consentiti dal connettore di ricezione prima che chiuda la connessione con il server di messaggistica di origine. Predefinito   5 errori

Parametri di limitazione per il servizio POP3

I seguenti parametri sono disponibili per il servizio MicrosoftExchange POP3 sui server Accesso client. Utilizzare il cmdlet Set-POPSettings per configurare questi parametri. Per ulteriori informazioni, vedere Impostazione dei limiti di connessione per POP3.

Parametri di limitazione del servizio POP3

Parametro	Descrizione
MaxCommandSize	Il parametro MaxCommandSize consente di specificare la dimensione massima di un singolo comando. I valori consentiti sono compresi tra 40 e 1.024 byte. Predefinito   40 byte.
MaxConnectonFromSingleIP	Il parametro MaxConnectionFromSingleIP consente di specificare il numero di connessioni da parte di un singolo indirizzo IP accettate dal server specificato. I valori consentiti sono compresi tra 1 e 25.000. Predefinito   2.000 connessioni
MaxConnections	Il parametro MaxConnections consente di specificare il numero totale di connessioni accettate dal server specificato. Tra queste sono incluse le connessioni autenticate e non autenticate. I valori consentiti sono compresi tra 1 e 25.000. Predefinito   2.000 connessioni.
MaxConnectionsPerUser	Il parametro MaxConnectionsPerUser consente di specificare il numero massimo di connessioni da parte di un determinato utente accettate dal server Accesso client. I valori consentiti sono compresi tra 1 e 25.000. Predefinito   16 connessioni.
PreAuthenticationConnectionTimeOut	Il parametro PreAuthenticatedConnectionTimeout consente di specificare la durata dell'attesa prima di chiudere una connessione inattiva non autenticata. I valori consentiti sono compresi tra 10 e 3.600 secondi. Predefinito   60 secondi.

Parametri di limitazione per il servizio IMAP4

I seguenti parametri sono disponibili per il servizio MicrosoftExchange IMAP4 sui server Accesso client. Utilizzare il cmdlet Set-IMAPSettings per configurare questi parametri. Per ulteriori informazioni, vedere Impostazione dei limiti di connessione per IMAP4.

Parametri di limitazione del servizio IMAP4

Parametro	Descrizione
AuthenticationConnectionTimeOut	Il parametro AuthenticatedConnectionTimeout consente di specificare l'intervallo di tempo di attesa prima della chiusura di una connessione autenticata inattiva. I valori consentiti sono compresi tra 30 e 86400 secondi. Predefinito   1.800 secondi.
MaxCommandSize	Il parametro MaxCommandSize consente di specificare la dimensione massima di un singolo comando. La dimensione predefinita è 40 byte. I valori consentiti sono compresi tra 40 e 1.024 byte. Predefinito   40 byte.
MaxConnectionFromSingleIP	Il parametro MaxConnectionFromSingleIP consente di specificare il numero di connessioni da parte di un singolo indirizzo IP accettate dal server specificato. I valori consentiti sono compresi tra 1 e 25.000. Predefinito   2.000 connessioni
MaxConnections	Il parametro MaxConnections consente di specificare il numero totale di connessioni accettate dal server specificato. Tra queste sono incluse le connessioni autenticate e non autenticate. I valori consentiti sono compresi tra 1 e 25.000. Predefinito   2.000 connessioni
MaxConnectionsPerUser	Il parametro MaxConnectionsPerUser consente di specificare il numero massimo di connessioni da parte di un determinato utente accettate dal server Accesso client. I valori consentiti sono compresi tra 1 e 25.000. Predefinito   16 connessioni.
PreAuthenticatedConnectionTimeOut	Il parametro PreAuthenticatedConnectionTimeout consente di specificare la durata dell'attesa prima di chiudere una connessione inattiva non autenticata. I valori consentiti sono compresi tra 10 e 3600 secondi. Predefinito   60 secondi.

Criteri di limitazione delle richieste client

In Exchange 2010, è possibile utilizzare i criteri di limitazione delle richieste client per gestire le prestazioni dei server Accesso client tramite i seguenti parametri: il numero di connessioni simultanee per ciascun protocollo di accesso client, la percentuale di tempo che una sessione client può utilizzare per eseguire operazioni LDAP, operazioni RPC e operazioni di accesso client. Esiste un criterio di limitazione delle richieste client predefinito che in genere è sufficiente per gestire il carico sui server Accesso client. È possibile modificare i parametri dei criteri predefiniti oppure creare dei criteri personalizzati più rispondenti alle esigenze della propria distribuzione.

I criteri di limitazione sono disponibili per i seguenti gruppi di utenti e metodi di accesso:

• Accesso anonimo

• Accesso tra più sedi (CPA)

• Exchange ActiveSync (EAS)

• Servizi Web Exchange (EWS)

• IMAP

• POP

• Outlook Web App (OWA)

• Accesso client RPC (RCA)

Nei criteri di limitazione delle richieste client sono disponibili le seguenti impostazioni per ciascuno dei seguenti gruppi di utenti (Accesso anonimo e CPA) e metodi di accesso (EAS, EWS, IMAP, OWA, POP e RCA).

Impostazioni dei criteri di limitazione delle richieste client

Impostazione della limitazione	Accesso anonimo	CPA	EAS	EWS	IMAP	OWA	POP	RCA
Concorrenza massima	Sì	Sì	Sì	Sì	Sì	Sì	Sì	Sì
Percentuale di tempo in Active Directory	Sì	N. D.	Sì	Sì	Sì	Sì	Sì	Sì
Percentuale di tempo sul server Accesso client	Sì	Sì	Sì	Sì	Sì	Sì	Sì	Sì
Percentuale di tempo in una chiamata procedura remota (RPC) alla cassetta postale	Sì	Sì	Sì	Sì	Sì	Sì	Sì	Sì

Accesso tra più sedi   (CPA)

EAS   Exchange ActiveSync

EWS   Servizi Web Exchange

OWA   Outlook Web App

Oltre a queste impostazioni della limitazione basate sui gruppi di utenti e sui metodi di accesso, sono disponibili le seguenti impostazioni della limitazione sono disponibili in un criterio di limitazione delle richieste client.

Parametri dei criteri di limitazione delle richieste client

Parametro	Descrizione
CPUStartPercent	Il parametro CPUStartPercent consente di specificare la percentuale di CPU per processo a cui gli utenti governati da questo criterio iniziano a essere rinviati. I valori consentiti sono compresi tra 0 e 100. Utilizzare il valore $null per disattivare l'opzione di limitazione basata sulla percentuale di CPU per questo criterio.
EASMaxDeviceDeletesPerMonth	Il parametro EASMaxDeviceDeletesPerMonth consente di specificare un limite al numero di relazioni Exchange ActiveSync che un utente può eliminare ogni mese. Per impostazione predefinita, ogni utente può eliminare fino a 20 relazioni per mese di calendario. Una volta raggiunto il limite, il tentativo di eliminazione della relazione non riesce e viene visualizzato un messaggio di errore per l'utente.
EASMaxDevices	Il parametro EASMaxDevices consente di specificare un limite al numero di relazioni Exchange ActiveSync di cui un utente può disporre contemporaneamente. Per impostazione predefinita, ogni utente può creare 10 relazioni Exchange ActiveSync con il suo account Exchange. Quando gli utenti superano il limite, devono eliminare una delle relazioni esistenti prima di poter creare altre relazioni. L'utente riceve un messaggio di errore di posta elettronica che descrive la limitazione, nel caso in cui questa venga superata. Inoltre, quando un utente supera il limite viene registrato un evento nel registro applicazioni.
EWSFastSearchTimeOutInSeconds	Il parametro EWSFastSearchTimeoutInSeconds consente di specificare la durata delle ricerche eseguite utilizzando i Servizi Web Exchange prima che si interrompano. Se la ricerca richiede più tempo di quello indicato dal valore del criterio, si interrompe e viene restituito un errore. Il valore predefinito di questa proprietà è 60 secondi.
EWSFindCountLimit	Il parametro EWSFindCountLimit consente di specificare la dimensione massima del risultato delle chiamate FindItem o FindFolder presenti contemporaneamente nella memoria del server Accesso client per questo utente nel processo corrente. Se viene effettuato un tentativo per trovare più elementi o cartelle di quelle previste dal limite del criterio, viene restituito un errore. Tuttavia, il limite non è rigorosamente applicato se la chiamata viene effettuata all'interno del contesto di una visualizzazione indicizzata della pagina. In questo scenario in particolare, i risultati della ricerca vengono troncati per includere il numero di elementi e di cartelle che rientrano nel limite dei criteri. È quindi possibile continuare a effettuare il paging dei risultati impostati tramite ulteriori chiamate FindItem o FindFolder.
EWSMaxSubscriptions	Il parametro EWSMaxSubscriptions consente di specificare il numero massimo di sottoscrizioni push e pull attive a cui un utente può fare capo su uno specifico server Accesso client nello stesso momento. Se un utente tenta di creare più sottoscrizioni rispetto al massimo configurato, la sottoscrizione ha esito negativo e viene registrato un evento nel Visualizzatore eventi.
ExchangeMaxCmdlets	Il parametro ExchangeMaxCmdlets consente di specificare il numero di cmdlet che è possibile eseguire all'interno di un periodo di tempo specifico prima che l'esecuzione venga rallentata. Il valore specificato da questo parametro deve essere minore del valore specificato dal PowerShellMaxCmdlets parameter. Il periodo di tempo utilizzato per questo limite è specificato dal parametro PowerShellMaxCmdletsTimePeriod. Si consiglia di impostare dei valori per entrambi i parametri contemporaneamente.
ForwardeeLimit	Il parametro ForwardeeLimit consente di specificare i limiti per il numero di destinatari che possono essere configurati nelle regole di posta in arrivo quando si utilizza l'azione di inoltro o di reindirizzamento. Questo parametro non limita il numero di messaggi che possono essere inoltrati o reindirizzati ai destinatari configurati.
MessageRateLimit	Il parametro MessageRateLimit consente di specificare il numero di messaggi per minuto che è possibile inviare al trasporto. Per i messaggi inviati attraverso il ruolo del server Cassette postali (Outlook Web App, Exchange ActiveSync o Servizi Web Exchange), questo comporta il rinvio dei messaggi fino al raggiungimento della quota disponibile per l'utente. In modo particolare, i messaggi vengono visualizzati nella cartella Posta in uscita o nella cartella Bozze per lungo tempo quando gli utenti inviano i messaggi con un intervallo maggiore rispetto al parametro MessageRateLimit. I client POP o IMAP che inviano i messaggi direttamente al trasporto utilizzando il protocollo SMTP, riceveranno un errore temporaneo se effettuano l'invio a una velocità che supera il parametro MessageRateLimit. Exchange cercherà di connettersi e di eseguire l'invio dei messaggi in un secondo momento.
PowerShellMaxCmdletQueueDepth	Il parametro PowerShellMaxCmdletQueueDepth consente di specificare il numero di operazioni che un utente può eseguire. Questo valore influenza direttamente l'andamento dei parametri PowerShellMaxCmdlets e PowerShellMaxConcurrency. Ad esempio, il parametro PowerShellMaxConcurrency utilizza almeno due operazioni definite dal parametro PowerShellMaxCmdletQueueDepth ma altre operazioni vengono consumate dall'esecuzione del cmdlet. Il numero di operazioni dipende dai cmdlet eseguiti. Il valore del parametro PowerShellMaxCmdletQueueDepth deve essere di almeno tre volte maggiore di quello del PowerShellMaxConcurrency parameter. Questo parametro non influenza le operazioni del Pannello di controllo di Exchange o le operazioni per i Servizi Web Exchange.
PowerShellMaxCmdlets	Il parametro PowerShellMaxCmdlets consente di specificare il numero dei cmdlet che è possibile eseguire all'interno di un periodo di tempo specificato prima che l'esecuzione venga arrestata. Il valore specificato da questo parametro deve essere superiore a quello specificato dal parametro ExchangeMaxCmdlets. Il periodo di tempo utilizzato per questo limite è specificato dal parametro PowerShellMaxCmdletsTimePeriod. Entrambi i valori devono essere impostati contemporaneamente.
PowerShellMaxCmdletsTimePeriod	Il parametro PowerShellMaxCmdletsTimePeriod consente di specificare il periodo di tempo, in secondi, impiegato dal criterio di limitazione per determinare se il numero di cmdlet da eseguire supera il limite specificato dai parametri PowerShellMaxCmdlets e ExchangeMaxCmdlets.
PowerShellMaxConcurrency	In base al contesto, il parametro PowerShellMaxConcurrency consente di specificare diverse informazioni: All'interno di Remote PowerShell, il parametro PowerShellMaxConcurrency consente di specificare il numero massimo di sessioni Remote PowerShell che un utente Remote PowerShell può tenere aperte contemporaneamente. Nel contesto per i Servizi Web Exchange, il parametro PowerShellMaxConcurrency consente di specificare il numero di esecuzioni simultanee dei cmdlet che un utente può eseguire contemporaneamente. Questo parametro non corrisponde necessariamente al numero di browser aperti dall'utente
RecipientRateLimit	Il parametro RecipientRateLimit consente di specificare i limiti sul numero di destinatari che un utente può inserire negli indirizzi in un periodo di 24 ore.

Per ulteriori informazioni sui criteri di limitazione di Exchange 2010, vedere Informazioni sui criteri di limitazione delle richieste client.

Controllo dell'accesso basato sui ruoli

Il controllo dell'accesso basato sui ruoli (RBAC) è il nuovo modello di autorizzazioni di Exchange 2010 che consente di controllare, sia a livello globale che capillare, ciò che amministratori e utenti sono autorizzati a fare. Con il modello RBAC, non è più necessario modificare gli elenchi di controllo dell'accesso (elenchi ACL) per gli oggetti Active Directory, come unità organizzative e contenitori, per consentire la delega capillare delle autorizzazioni a gruppi, come gli operatori dell'Help Desk, o funzioni, come la gestione dei destinatari. Active Directory

Per ulteriori dettagli, vedere Informazioni sul controllo di accesso basato sui ruoli. Per un elenco completo dei ruoli di gestione RBAC in Exchange 2010, vedere Ruoli di gestione incorporati. Per un elenco dei gruppi di ruoli predefiniti, vedere Gruppi di ruolo incorporati.

I gruppi di ruoli creati dal programma di installazione di Exchange 2010 o dall'amministratore vengono creati in Active Directory come gruppi di sicurezza universale all'interno dell'unita organizzativa dei gruppi di sicurezza di MicrosoftExchange. È possibile aggiungere membri a un gruppo di ruoli utilizzando il cmdlet New-RoleGroupMember oppure utilizzando il Pannello di controllo di Exchange. Quando viene aggiunto un membro a un gruppo di ruoli, l'utente o gruppo viene aggiunto al corrispondente gruppo di sicurezza di Active Directory. È possibile utilizzare il criterio Gruppi con restrizioni per limitare il numero di membri nei gruppi di ruoli RBAC critici, come il gruppo Gestione individuazione. Quando viene implementato il criterio Gruppi con restrizioni, il numero di membri del gruppo viene monitorato dai controller di dominio di Active Directory e tutti gli utenti non inclusi nel criterio vengono automaticamente rimossi.

Active Directory

Exchange Server memorizza i dati di configurazione nella partizione Configurazione e i dati del destinatario nella partizione Dominio dei Servizi di dominio Active Directory (AD DS). Per i dettagli sulle autorizzazioni necessarie per configurare un'organizzazione Exchange 2010, vedere Riferimenti per le autorizzazioni di distribuzione di Exchange 2010. La comunicazione con i controller di dominio di Active Directory viene protetta tramite utilizzo dell'autenticazione e la crittografia Kerberos.

Exchange 2010 fornisce un nuovo livello di autorizzazione nell'ambito di Exchange, noto come controllo dell'accesso basati sui ruoli (RBAC), invece di affidarsi all'applicazione di voci di controllo dell'accesso (ACE) a ogni singolo account che richiede autorizzazioni appropriate. Nelle versioni precedenti di Microsoft Exchange, il programma di installazione di Exchange si affidava alle voci ACE in Active Directory per fare in modo che gli amministratori di Exchange fossero in grado di gestire gli oggetti nella partizione del dominio. Ora agli amministratori di Exchange vengono autorizzati a eseguire determinate operazioni in un determinato ambito tramite il livello di autorizzazione RBAC. Il server Exchange esegue le azioni autorizzate per conto dell'amministratore o degli utenti avvalendosi delle autorizzazioni concesse in Active Directory tramite i gruppi di sicurezza Autorizzazioni di Windows di Exchange e Sottosistema attendibile Exchange. Per ulteriori informazioni sul livello di autorizzazione RBAC, vedere Informazioni sul controllo di accesso basato sui ruoli.

In Exchange 2010, /PrepareDomain non applica alcuna voce ACE per il gruppo di sicurezza universale Autorizzazioni di Windows di Exchange al contenitore AdminSDHolder in Active Directory. Se /PrepareDomain rileva voci ACE applicate al gruppo di sicurezza universale ExchangeWindows, queste voci ACE vengono rimosse. Ciò ha le seguenti implicazioni:

• I membri del gruppo di sicurezza universale Autorizzazioni di Windows di Exchange non possono modificare il numero di membri dei gruppi di sicurezza protetti, come Enterprise Admins e Domain Admins. Ciò ha le seguenti implicazioni.

• I membri del gruppo di sicurezza universale Autorizzazioni di Windows di Exchange non possono forzare il ripristino della password di un account protetto da AdminSDHolder.

• I membri del gruppo di sicurezza universale Autorizzazioni di Windows di Exchange non possono alterare le autorizzazioni di alcun gruppo o account protetto da AdminSDHolder.

Si consiglia di non abilitare alle cassette postali gli account protetti da AdminSDHolder e di mantenere account separati per gli amministratori di Active Directory: un account per l'amministrazione di Active Directory e un account per il normale utilizzo giornaliero, inclusa la posta elettronica. Per informazioni dettagliate, vedere i seguenti argomenti:

• Descrizione e aggiornamento dell'oggetto AdminSDHolder di Active Directory (le informazioni potrebbero essere in lingua inglese)

• Exchange 2010 e risoluzione del problema dell'elevamento dei diritti di AdminSDHolder (le informazioni potrebbero essere in lingua inglese)

Account di Exchange Server

Il programma di installazione di Exchange 2010 crea una nuova unità organizzativa nel dominio radice chiamata MicrosoftExchange Security Groups. La tabella che segue riporta i nuovi gruppi di sicurezza universale.

Gruppi di sicurezza di Microsoft Exchange

Gruppo di sicurezza	Descrizione
Exchange All Hosted Organizations	Questo gruppo contiene tutti i gruppi di cassette postali delle organizzazioni ospitate Exchange. Viene utilizzato per applicare gli oggetti di impostazione password a tutte le cassette postali ospitate. Questo gruppo non deve essere eliminato.
Exchange Servers	Questo gruppo contiene tutti i server Exchange. Questo gruppo non deve essere eliminato. Si sconsiglia altresì vivamente di apportare qualunque modifica al numero di membri di questo gruppo.
Sottosistema attendibile Exchange	Questo gruppo contiene i server Exchange che eseguono i cmdlet Exchange per conto degli utenti tramite il servizio Gestione. I membri di questo gruppo saranno autorizzati a leggere e modificare tutte le configurazioni di Exchange nonché gli account utente e i gruppi di utenti. Questo gruppo non deve essere eliminato.
Exchange Autorizzazioni di Windows	Questo gruppo contiene i server Exchange che eseguono i cmdlet Exchange per conto degli utenti tramite il servizio Gestione. I membri di questo gruppo saranno autorizzati a leggere e modificare tutti gli account e i gruppi di Windows. Questo gruppo non deve essere eliminato. Si sconsiglia vivamente di apportare qualunque modifica al numero di membri di questo gruppo e si suggerisce di monitorarne continuamente il numero di membri.
ExchangeLegacyInterop	Questo gruppo consente l'interoperabilità con i server Exchange 2003 nell'ambito della stessa foresta. Questo gruppo non deve essere eliminato.

Oltre a questi gruppi, il programma di installazione crea anche i seguenti gruppi di sicurezza che corrispondono ai gruppi di ruoli RBAC con lo stesso nome.

Gruppi di sicurezza che corrispondono ai gruppi di ruoli RBAC

Gruppo di sicurezza	Gruppo ruolo RBAC
Installazione delegata	Configurazione delegata
Gestione individuazione	Gestione individuazione
Assistenza	Assistenza
Gestione di Hygiene	Gestione di Hygiene
Gestione organizzazione	Gestione dell'organizzazione
Gestione cartelle pubbliche	Gestione di cartelle pubbliche
Gestione destinatari	Gestione dei destinatari
Gestione record	Gestione record
Gestione server	Gestione server
Gestione messaggistica unificata	Gestione della messaggistica unificata
Gestione organizzazione sola visualizzazione	Gestione dell'organizzazione in sola visualizzazione

Inoltre, quando si crea un nuovo gruppo di ruoli, Exchange 2010 crea un gruppo di sicurezza come lo stesso nome del gruppo di ruoli. Per informazioni dettagliate, vedere i seguenti argomenti:

• Gruppi di ruolo incorporati

• Creazione di un gruppo di ruoli

Gli utenti vengono aggiunti o rimossi da questi gruppi di sicurezza quando vengono aggiunti o rimossi utenti dai gruppi di ruoli utilizzando il cmdlet Add-RoleGroupMember o Remove-RoleGroupMember oppure utilizzando l'Editor utenti Controllo di accesso basato sui ruoli (RBAC) nel Pannello di controllo di Exchange.

File system

Il programma di installazione di Exchange 2010 crea le directory con le autorizzazioni minime necessarie perché Exchange 2010 possa funzionare. Si sconsiglia di applicare criteri di sicurezza avanzata alle autorizzazioni degli elenchi di controllo dell'accesso (elenchi ACL) per le directory create dal programma di installazione.

Servizi

Per impostazione predefinita, il programma di installazione di Exchange 2010 non disabilita alcun servizio Windows. La tabella che segue elenca i servizi abilitati per impostazione predefinita su ciascun ruolo di server. Per impostazione predefinita, sono abilitati solo i servizi necessari per il funzionamento di un particolare ruolo di server Exchange 2010.

Servizi installati dal programma di installazione di Exchange

Nome del servizio	Nome breve del servizio	Contesto di sicurezza	Descrizione e dipendenze	Tipo di avvio predefinito	Ruoli di server	Obbligatorio (O) o facoltativo (F)
Microsoft Exchange Topologia di Active Directory	MSExchangeADTopology	Sistema locale	Fornisce informazioni sulla topologia di Active Directory ai servizi di Exchange. Se il servizio viene arrestato, molti dei servizi di Exchange non potranno essere avviati. Questo servizio non presenta alcuna dipendenza.	Automatico	Cassette postali, Trasporto Hub, Accesso client, Messaggistica unificata	R
ADAM di Microsoft Exchange	ADAM_MSExchange	Servizio di rete	Memorizza i dati di configurazione e i dati del destinatario sul server Trasporto Edge. Questo servizio rappresenta l'istanza denominata di Active Directory Lightweight Directory Service (AD LDS) creata automaticamente dal programma di installazione durante l'installazione del server Trasporto Edge. Questo servizio dipende dal servizio COM + Event System.	Automatico	Trasporto Edge	R
Rubrica di Microsoft Exchange	MSExchangeAB	Sistema locale	Gestisce le connessioni della Rubrica client. Questo servizio dipende dal servizio Topologia di Microsoft Exchange Active Directory.	Automatico	Accesso client	R
Aggiornamento protezione da posta indesiderata di Microsoft Exchange	MSExchangeAntispamUpdate	Sistema locale	Fornisce il servizio di aggiornamento della protezione dalla posta indesiderata MicrosoftForefront Protection 2010 for Exchange Server. Sui server Trasporto Hub, questo servizio dipende dal servizio Topologia di Active Directory di Microsoft Exchange. Nei server Trasporto Edge, questo servizio dipende dal servizio ADAM di Microsoft Exchange.	Automatico	Trasporto Hub, Trasporto Edge	F
Servizio credenziali di Microsoft Exchange	MSExchangeEdgeCredential	Sistema locale	Controlla le modifiche apportate alle credenziali in AD LDS e le installa nel server Trasporto Edge. Questo servizio dipende dal servizio ADAM di Microsoft Exchange.	Automatico	Trasporto Edge	R
Microsoft Exchange EdgeSync	MSExchangeEdgeSync	Sistema locale	Stabilisce una connessione all'istanza del servizio AD LDS nei server Trasporto Edge sottoscritti utilizzando il canale di sicurezza LDAP per sincronizzare i dati tra un server Trasporto Hub e un server Trasporto Edge. Questo servizio dipende dal servizio Topologia di Microsoft Exchange Active Directory. Se il servizio Sottoscrizione di Edge non è configurato, questo servizio può essere disabilitato.	Automatico	Trasporto Hub	F
Distribuzione file di Microsoft Exchange	MSExchangeFDS	Sistema locale	Distribuisce la Rubrica offline (OAB) e i prompt di messaggistica unificata personalizzati. Questo servizio dipende dai servizi Topologia e Workstation di Microsoft Exchange Active Directory.	Automatico	Accesso client, Messaggistica unificata	R
Autenticazione basata su form di Microsoft Exchange	MSExchangeFBA	Sistema locale	Fornisce l'autenticazione basata su form a Outlook Web App e al Pannello di controllo di Exchange. Se questo servizio viene arrestato, Outlook Web App e il Pannello di controllo di Exchange non autenticheranno gli utenti. Questo servizio non presenta alcuna dipendenza.	Automatico	Accesso client	R
IMAP4 di Microsoft Exchange	MSExchangeIMAP4	Servizio di rete	Fornisce il servizio IMAP4 ai client. Se il servizio viene arrestato, i client non saranno in grado di connettersi al computer mediante il protocollo IMAP4. Questo servizio dipende dal servizio Topologia di Microsoft Exchange Active Directory.	Manuale	Accesso client	F
Archivio informazioni di Microsoft Exchange	MSExchangeIS	Sistema locale	Gestisce l'archivio informazioni di Exchange. Sono compresi i database delle cassette postali e delle cartelle pubbliche. Se il servizio viene arrestato, sul computer non saranno più disponibili i database delle cassette postali e delle cartelle pubbliche. Se il servizio viene disabilitato, qualsiasi altro servizio esplicitamente dipendente non potrà essere avviato. Questo servizio dipende dai servizi RPC, Server, Registro eventi di Windows e Workstation.	Automatico	Cassette postali	R
Servizio Invio posta di Microsoft Exchange	MSExchangeMailSubmission	Sistema locale	Consente di inviare messaggi dal server delle cassette postali ai server Trasporto Hub Exchange 2010. Questo servizio dipende dal servizio Topologia di Microsoft Exchange Active Directory.	Automatico	Cassette postali	R
Assistenti cassette postali di Microsoft Exchange	MSExchangeMailboxAssistants	Sistema locale	Consente l'elaborazione in background delle cassette postali nell'archivio di Exchange. Questo servizio dipende dal servizio Topologia di Microsoft Exchange Active Directory.	Automatico	Cassette postali	R
Servizio di replica delle cassette postali di Microsoft Exchange	MSExchangeMailboxReplication	Sistema locale	Elabora gli spostamenti della cassetta postale e le richieste di spostamento. Questo servizio dipende dal servizio Condivisione porta Net.Tcp e dal servizio Topologia di Active Directory di Microsoft Exchange.	Automatico	Accesso client	F
Monitoraggio di Microsoft Exchange	MSExchangeMonitoring	Sistema locale	Consente alle applicazioni di richiamare i cmdlet di diagnostica di Exchange. Questo servizio non presenta alcuna dipendenza.	Manuale	Tutte	F
POP3 di Microsoft Exchange	MSExchangePOP3	Servizio di rete	Fornisce il servizio POP3 ai client. Se il servizio viene arrestato, i client non saranno in grado di connettersi al computer mediante il protocollo POP3. Questo servizio dipende dal servizio Topologia di Microsoft Exchange Active Directory.	Manuale	Accesso client	F
Host servizio protetto di Microsoft Exchange	MSExchangeProtectedServiceHost	Sistema locale	Fornisce un host per diversi servizi di Exchange che devono essere protetti da altri servizi. Questo servizio dipende dal servizio Topologia di Microsoft Exchange Active Directory.	Automatico	Trasporto Hub, Accesso client	R
Servizio Replica di Microsoft Exchange	MSExchangeRepl	Sistema locale	Fornisce la funzionalità di replica per i database delle cassette postali sui server Cassette postali in un gruppo di disponibilità del database (DAG). Questo servizio dipende dal servizio Topologia di Microsoft Exchange Active Directory.	Automatico	Cassette postali	F
Accesso client RPC di Microsoft Exchange	MSExchangeRPC	Servizio di rete	Gestisce le connessioni RPC dei client Exchange. Questo servizio dipende dal servizio Topologia di Microsoft Exchange Active Directory.	Automatico	Cassette postali, Accesso client	F (Cassette postali), O (Accesso client)
Indicizzatore ricerca di Microsoft Exchange	MSExchangeSearch	Sistema locale	Consente di eseguire l'indicizzazione del contenuto della cassetta postale, che ottimizza le prestazioni di ricerca del contenuto. Questo servizio dipende dai servizi Topologia di Active Directory di Microsoft Exchange e Microsoft Search (Exchange Server).	Automatico	Cassette postali	F
Estensione di Microsoft Exchange Server per Windows Server Backup	WSBExchange	Sistema locale	Abilita gli utenti di Windows Server Backup all'esecuzione del backup e recupero dei dati applicativi di Microsoft Exchange. Questo servizio non presenta alcuna dipendenza.	Manuale	Cassette postali	F
Microsoft Exchange Service Host	MSExchangeServiceHost	Sistema locale	Fornisce un host per diversi servizi di Exchange. Sui ruoli di server interni, questo servizio dipende dal servizio Topologia di Active Directory di Microsoft Exchange. Nei server Trasporto Edge, questo servizio dipende dal servizio ADAM di Microsoft Exchange.	Automatico	Tutte	R
Motore di sintesi vocale di Microsoft Exchange	MSSpeechService	Servizio di rete	Fornisce servizi di elaborazione vocale per la messaggistica unificata. Questo servizio dipende dal servizio Strumentazione gestione Windows (WMI).	Automatico	Messaggistica unificata	R
Supervisore sistema di Microsoft Exchange	MSExchangeSA	Sistema locale	Inoltra le ricerche nella directory a un server catalogo globale per i client Outlook legacy, genera indirizzi di posta elettronica e Rubriche offline, aggiorna le informazioni sulla disponibilità per i client legacy e mantiene le autorizzazioni e le appartenenze al gruppo per il server. Se il servizio viene disabilitato, qualsiasi altro servizio esplicitamente dipendente non potrà essere avviato. Questo servizio dipende dai servizi RPC, Server, Registro eventi di Windows e Workstation.	Automatico	Cassette postali	R
Servizio di limitazione di Microsoft Exchange	MSExchangeThrottling	Servizio di rete	Limita la frequenza delle operazioni dell'utente. Questo servizio dipende dal servizio Topologia di Microsoft Exchange Active Directory.	Automatico	Cassette postali	R
Trasporto di Microsoft Exchange	MSExchangeTransport	Servizio di rete	Fornisce il server SMTP e lo stack di trasporto. Sui server Trasporto Hub, questo servizio dipende dal servizio Topologia di Active Directory di Microsoft Exchange. Nei server Trasporto Edge, questo servizio dipende dal servizio ADAM di Microsoft Exchange.	Automatico	Trasporto Hub, Trasporto Edge	R
Ricerca dei registri di trasporto di Microsoft Exchange	MSExchangeTransportLogSearch	Sistema locale	Fornisce una capacità di ricerca remota per i file di registro del trasporto di Microsoft Exchange. Sui server Trasporto Hub, questo servizio dipende dal servizio Topologia di Active Directory di Microsoft Exchange. Nei server Trasporto Edge, questo servizio dipende dal servizio ADAM di Microsoft Exchange.	Automatico	Trasporto Hub, Cassette postali, Trasporto Edge	F
Messaggistica unificata di Microsoft Exchange	MSExchangeUM	Sistema locale	Abilita le funzionalità di messaggistica unificata di Microsoft Exchange. Ciò consente di archiviare i messaggi vocali e fax in Exchange e offre agli utenti l'accesso telefonico alla posta elettronica, al sistema di caselle vocali, al calendario, ai contatti o a un operatore automatico. Se questo servizio viene arrestato, la messaggistica unificata non è disponibile. Questo servizio dipende dal servizio Topologia di Active Directory di Microsoft Exchange e dal servizio Motore di sintesi vocale di Microsoft Exchange.	Automatico	Messaggistica unificata	R
Microsoft Search (Exchange Server)	msftesql-Exchange	Sistema locale	Rappresenta una versione personalizzata per Microsoft Exchange del servizio Ricerca di Microsoft. Questo servizio dipende dal servizio RPC.	Manuale	Trasporto Hub, Cassette postali	F

Certificati

Il programma di installazione di Exchange 2010 crea certificati autofirmati per proteggere la comunicazione su diversi protocolli, come HTTP, SMTP, POP3 e IMAP4. I certificati autofirmati creati dal programma di installazione sono validi per cinque anni. Ciò garantisce che i certificati autofirmati non debbano essere rinnovati per buona parte di una distribuzione di Exchange 2010 e che i servizi di messaggistica non subiscano alcuna conseguenza dalla scadenza dei certificati autofirmati.

Per i meccanismi e protocolli di accesso client esterni, come Outlook Web App, POP3, IMAP4, Outlook via Internet e Individuazione automatica, si consiglia di:

• utilizzare certificati firmati da un'autorità di certificazione commerciale ritenuta attendibile dai client che accedono a quei servizi.

• Utilizzare la procedura guidata Nuovo certificato di Exchange oppure il cmdlet New-ExchangeCertificate per creare le richieste di firma dei certificati per le autorità di certificazione commerciali. Le richieste di certificati create tramite questi strumenti garantiscono la rispondenza a tutti requisiti dei certificati di Exchange.

• Tenere in considerazione i requisiti dei certificati di ciascun protocollo o servizio per il quale si desidera autorizzare un accesso client esterno.

  • Sui server Accesso client, i certificati vengono utilizzati per proteggere il traffico HTTP (Outlook via Internet, Outlook Web App, Individuazione automatica, Exchange ActiveSync e Servizi Web Exchange) tramite SSL (Secure Sockets Layer) e il traffico POP3 e IMAP4 tramite SSL o TLS (Transport Layer Security). Per ulteriori informazioni, vedere Gestione di SSL per un server Accesso client.

  • Sui server di trasporto, i certificati vengono utilizzati per proteggere il traffico SMTP tramite TLS. Per ulteriori informazioni, vedere Informazioni sui certificati TLS.

  • Sui server di messaggistica unificata, i certificati vengono utilizzati per proteggere il traffico VoIP (Voice over Internet Protocol). Per ulteriori informazioni, vedere Informazioni sulle protezione VoIP per la Messaggistica unificata.

  • Per la federazione, i certificati vengono utilizzati per crittografare i token SAML scambiati con Microsoft Federation Gateway (MFG) e con le organizzazioni partner federate. Per ulteriori informazioni, vedere Informazioni sulla federazione.

• Monitorare le date di scadenza dei certificati e rinnovarli in tempo utile presso le autorità di certificazione per evitare interruzioni dei servizi.

• Quando si archivia un certificato esportato con la relativa chiave privata, proteggere il file esportato utilizzando gli appropriati controlli di accesso sulla cartella/file di archiviazione. A seconda dei requisiti di sicurezza dell'organizzazione, considerare la possibilità di abilitare il controllo dell'accesso ai file nelle cartelle in cui sono archiviati i certificati con le relative chiavi private.

Considerazioni sul protocollo NTLM

Il protocollo NTLM è notevolmente meno sicuro rispetto al protocollo Kerberos. In Exchange 2010, i protocolli POP3 e IMAP4 non supportano l'autenticazione NTLM quando è specificato SecureLogin come LoginType. Per i dettagli, vedere Configurazione dell'autenticazione per POP3 e IMAP4. I servizi Exchange 2010 che utilizzano l'autenticazione integrata di Windows possono utilizzare sia il protocollo NTLM che il protocollo Kerberos. Il protocollo Kerberos viene utilizzato per la comunicazione dal server Accesso client a un server delle cassette postali Exchange 2010 e per la comunicazione tra i server Accesso client di Outlook Web App, Exchange ActiveSync e Servizi Web Exchange. Per i dettagli sui servizi che utilizzano l'autenticazione NTLM, vedere Riferimento porta di rete di Exchange.

Autenticazione a due fattori

I meccanismi di autenticazione a due fattori utilizzano un altro fattore di autenticazione oltre alle credenziali di accesso dell'utente (nome utente e password), come token a generazione casuale o un certificato digitale su smartcard dotata di PIN. Molti organizzazioni includono l'autenticazione a due fattori nelle loro distribuzioni per garantire un accesso sicuro alle loro reti.

Exchange 2010 non include un supporto nativo per l'autenticazione a due fattori. Exchange 2010 utilizza Internet Information Server (IIS) 7 per l'accesso ai client tramite HTTP (Individuazione automatica, Outlook Web App, Outlook via Internet, Exchange ActiveSync e Servizi Web Exchange). Molto prodotti con autenticazione a due fattori che sono in grado di integrarsi con IIS sono disponibili presso partner e terzi e funzionano con i servizi di accesso ai client Exchange, come Outlook Web App. Prima di distribuire prodotti con autenticazione a due fattori per i servizi di Exchange, si consiglia di provarli adeguatamente per verificare che essi rispondano ai requisiti di sicurezza dell'organizzazione e siano in grado di offrire le funzionalità necessarie.

Federazione

Exchange 2010 introduce nuove funzionalità di federazione per abilitare una collaborazione sicura tra le organizzazioni di Exchange federate. Le organizzazioni di Exchange 2010 possono creare una relazione di trust federativa con Microsoft Federation Gateway e quindi stabilire relazioni organizzative con altre organizzazioni federate per condividere le informazioni sulla disponibilità e i calendari. Utilizzando i criteri di condivisione, le organizzazioni possono anche consentire ai propri utenti di condividere le loro informazioni sulla disponibilità, il proprio calendario e i propri contatti con altri utenti di organizzazioni federate esterne. Per ulteriori dettagli sulle relazioni di trust federative e sulla condivisione federata, vedere Informazioni sulla federazione e Informazioni sulla delega federata.

Dopo aver stabilito una relazione di trust federativa con MFG, la condivisione tra due organizzazioni federate non avviene immediatamente, ma occorre prima creare una relazione organizzativa. Per impostazione predefinita, tuttavia, la condivisione tra i propri utenti e gli utenti di organizzazioni federate esterne viene abilitata tramite il criterio di condivisione predefinito assegnato agli utenti. Questo criterio consente la condivisione del calendario con le informazioni sulla disponibilità solo con gli utenti di tutte le organizzazioni federate esterne. Ciò significa che qualora non si desideri consentire agli utenti di condividere il loro calendario e le loro informazioni sulla disponibilità con gli utenti di tutti i domini federati esterni, è necessario disabilitare il criterio di condivisione predefinito oppure modificare i nome dei domini specificati nel criterio indicando solo quei domini per i quali si desidera consentire la condivisione. È necessario apportare questa modifica prima di creare una relazione di trust federativa con MFG. Per ulteriori informazioni, vedere Disabilitazione dei criteri di condivisione e Configurazione delle proprietà dei criteri di condivisione.

È possibile disabilitare tutte le funzionalità di federazione per una determinata organizzazione, inclusa la delega federata, rimuovendo la relazione di trust federativa di quell'organizzazione in MFG. Per ulteriori dettagli, vedere Rimozione di una relazione di trust federativa.

Secure/Multipurpose Internet Mail Extensions (S/MIME)

Secure/Multipurpose Internet Mail Extensions (S/MIME) è uno standard per la crittografia a chiave pubblica e la firma di dati MIME che fornisce autenticazione, integrità dei messaggi, non ripudio e riservatezza dei dati per la messaggistica. Gli utenti possono firmare o crittografare i messaggi o entrambe le cose utilizzando i certificati S/MIME. Per ulteriori informazioni su S/MIME, vedere Informazioni su S/MIME (le informazioni potrebbero essere in lingua inglese).

Lo standard S/MIME è una tecnologia del lato client priva di qualunque requisito di interoperabilità per i server di posta elettronica. Dal punto di vista del trasferimento dei messaggi, i messaggi crittografati o firmati con S/MIME vengono trasferiti esattamente come i messaggi in chiaro (non crittografati). I messaggi vengono decrittografati o visualizzati sul client previa opportuna verifica dei certificati e della validità dei messaggi. Per Outlook Web App, il supporto di S/MIME viene fornito utilizzando un controllo ActiveX. Sebbene Outlook Web App supporti i browser più comuni, come Microsoft Internet Explorer, Mozilla FireFox e Safari, i controlli ActiveX sono una funzionalità di Internet Explorer. Gli utenti di Outlook Web App che utilizzano altri browser non sono in grado di accedere alle funzionalità S/MIME e potrebbero essere costretti a utilizzare un altro client di posta elettronica che supporta S/MIME. Per ulteriori informazioni sul supporto di S/MIME in Outlook Web App, vedere Outlook Web App e S/MIME.

Per ulteriori informazioni sul supporto di S/MIME in Outlook, vedere Panoramica di certificati e messaggi di posta elettronica crittografati in Outlook (le informazioni potrebbero essere in lingua inglese).

Lo standard S/MIME offre indubbi vantaggi per la sicurezza di un'organizzazione, tuttavia, nel valutare questa tecnologia, occorre tenere conto di quanto segue:

• I messaggi crittografati con S/MIME rimangono crittografati anche per l'organizzazione. Il software di sicurezza della messaggistica, come software antivirus e di protezione da posta indesiderata, non è in grado di analizzare il contenuto del messaggio, incluso il corpo del messaggio e gli eventuali allegati.

• Poiché il contenuto del messaggio e gli allegati sono crittografati, i criteri di messaggistica dell'organizzazione, incluse le regole di trasporto, non possono essere applicati ai messaggi crittografati con S/MIME.

• Modificare un messaggio firmato con S/MIME per renderlo conforme ai criteri di messaggistica dell'organizzazione, ad esempio per aggiungere una dichiarazione di non responsabilità o una firma personalizzata, significa rendere quel messaggio non più valido.

• Il contenuto di messaggi crittografati non può essere analizzato per rilevare eventuali violazioni e l'organizzazione non è in grado di proteggere le informazioni sensibili. Ciò include tutte le informazioni personali incluse nei messaggi inviati dall'organizzazione.

• I messaggi crittografati con S/MIME non possono essere indicizzati da Exchange Search e quindi non possono essere sottoposti ad attività di ricerca per individuazione.

• Ai fini della conformità con normative locali o con i requisiti di individuazione in caso di controversia legale, all'organizzazione potrebbe essere richiesto di esibire le copie in chiaro (non crittografate) di tutti i messaggi crittografati.

Exchange 2010 offre funzionalità IRM (Information Rights Management) che consentono all'organizzazione di applicare una protezione continua al contenuto di messaggi sensibili, in modo tale che solo i destinatari specificati siano in grado di accedere ai messaggi protetti tramite IRM. L'organizzazione può anche implementare controlli sul modo in cui tale contenuto viene utilizzato dopo che i messaggi sono stati recapitati ai destinatari. Ad esempio, è possibile impedire che i messaggi vengano stampati, che ad essi venga inviata una risposta o che vengano inoltrati all'interno o all'esterno dell'organizzazione. Inoltre, l'organizzazione può ancora decrittografare il contenuto protetto tramite IRM per sottoporlo ad analisi da parte di software antivirus e di protezione da posta indesiderata e di altri agenti di trasporto, per applicare i criteri di messaggistica tramite le regole di trasporto e abilitarne l'archiviazione e l'individuazione. Le funzionalità IRM sono disponibili anche in tutti i browser supportati da Outlook Web App e sui dispositivi Windows Mobile. Per ulteriori informazioni sulla funzionalità IRM, vedere Informazioni su Information Rights Management.

Considerazioni sul ruolo di server

Questa sezione elenca le considerazioni relative alla sicurezza del ruolo di server Exchange 2010.

Considerazioni sul server delle cassette postali

In Exchange 2010, le modifiche all'architettura riguardano l'archivio e la connettività di Exchange dai client MAPI, come Outlook. I client MAPI si connettono al server Accesso client, isolando il server delle cassette postali dal traffico dei client. I server delle cassette postali comunicano solo con i server Accesso client che utilizzano RPCSec e con i server dei Servizi di dominio Active Directory (AD DS) dell'organizzazione. I server delle cassette postali non richiedono la connessione a Internet.

Archiviazione

L'archiviazione è uno dei componenti critici dei server delle cassette postali. È necessario pianificare con attenzione il sottosistema di archiviazione del server delle cassette postali per garantire prestazioni soddisfacenti e spazio di archiviazione adeguato per la distribuzione. Per ulteriori dettagli sulla pianificazione dell'archiviazione per il server delle cassette postali, vedere Progettazione dell'archiviazione del server Cassette postali.

Dopo la distribuzione del server delle cassette postali, è opportuno monitorare quanto segue:

• Disponibilità del sottosistema di archiviazione.

• Disponibilità di spazio sufficiente sui volumi che contengono il database delle cassette postali e i registri delle transazioni. Un database delle cassette postali o delle cartelle pubbliche viene disinstallato, se il volume che contiene il database o i registri delle transazioni esaurisce lo spazio disponibile.

È possibile utilizzare Microsoft Federation Gateway Systems Center Operations Manager per monitorare la disponibilità dell'archivio e di sufficiente spazio su disco. Per ulteriori informazioni, vedere Systems Center Operations Manager 2007.

Nel pianificare e monitorare l'archivio, se si decide di utilizzare le seguenti funzionalità, occorre tenere conto dei loro requisiti di archiviazione:

• Inserimento nel journal   Quando si utilizza l'inserimento nel journal per l'archiviazione a lungo termine dei messaggi, a seconda che si utilizzi l'inserimento standard (database per cassetta postale) o avanzato (regole del journal), i messaggi inviati a e provenienti da tutti i destinatari inclusi nel database di una cassetta postale o i destinatari specificati in una regola del journal vengono recapitati in un report di journal alla cassetta postale del journaling o al destinatario specificato. Il risultato può essere un gran numero di report del journal recapitati a una cassetta postale del journaling. Pertanto, quando si pianifica l'archiviazione per i server delle cassette postali, occorre considerare le dimensioni delle cassette postali del journaling. È possibile controllare le dimensioni delle cassette postali del journaling configurando quote di spazio sufficienti per ciascuna cassetta postale del journaling. Per ulteriori informazioni sull'inserimento nel journal e le quote di spazio per le cassette postali, vedere i seguenti argomenti:

  • Informazioni sull'inserimento nel journal

  • Configurazione delle quote di archiviazione per una cassetta postale

• Conservazione per controversia legale   Quando una cassetta postale viene messa in stato di conservazione per controversia legale, tutta la posta eliminata dall'utente tramite la funzionalità Recupera posta eliminata in Outlook e Outlook Web App e tutti i messaggi eliminati da procedure automatizzate, come la Gestione record di messaggistica (MRM), verranno conservati fino alla rimozione dello stato di conservazione per controversia legale per quella cassetta postale. In Exchange 2010, la quota di avviso e la quota per la cartella Elementi ripristinabili è rispettivamente 20 GB e 30 GB. Per ulteriori dettagli, vedere i seguenti argomenti:

  • Informazioni sulla conservazione in caso di dispute

  • Informazioni su elementi ripristinabili

Disponibilità elevata

L'elevata disponibilità dei server delle cassette postali è fondamentale per garantire la disponibilità del servizio di messaggistica. Exchange 2010 include i Database Availability Groups (DAG) per l'elevata disponibilità dei server delle cassette postali. I DAG sono in grado di garantire la disponibilità quando nella distribuzione di Exchange si verifica un errore del sottosistema di archiviazione, del server o della rete oppure si verifica un'interruzione del servizio nell'intero datacenter. Per ulteriori dettagli sulla pianificazione e implementazione di distribuzioni di Exchange 2010 ad elevata disponibilità, vedere Disponibilità elevata e resilienza del sito.

Per impostazione predefinita, in Exchange 2010 il traffico di replica (log shipping) tra i membri di un DAG che si trovano in siti Active Directory diversi viene crittografato. È possibile crittografare il traffico di replica tra i server di uno stesso sito Active Directory abilitando la proprietà NetworkEncryption del DAG. Utilizzare il cmdlet Set-DatabaseAvailabilityGroup per modificare questa proprietà per un DAG.

La replica avviene su una singola porta TCP, per impostazione predefinita la porta TCP 64327. È possibile modificare la porta utilizzata per la replica. Per ulteriori informazioni, vedere Configurazione delle proprietà del gruppo di disponibilità del database.

Parametri per l'elevata disponibilità

Parametro	Descrizione
NetworkEncryption	Il parametro NetworkEncryption consente di specificare se la crittografia di rete è abilitata. Tra i valori validi sono inclusi: Disabled   disabilitata su tutte le reti Enabled   abilitata su tutte le reti InterSubnetOnly   abilitata solo per la comunicazione tra le subnet SeedOnly   abilitata solo per il seeding Predefinito   InterSubnetOnly
ReplicationPort	Il parametro ReplicationPort consente di specificare una porta TCP (Transmission Control Protocol) per l'attività di replica (log shipping e seeding). Predefinito   Se questo parametro non è specificato, la porta predefinita per la replica è TCP 64327.

Autorizzazioni e accesso alle cassette postali

Per impostazione predefinita, Exchange 2010 non consente agli amministratori di accedere alle cassette postali. Se l'organizzazione utilizza applicazioni o servizi che richiedono l'accesso a una cassetta postale, occorre assegnare le autorizzazioni appropriate agli account utilizzati da queste applicazioni o questi servizi. Si consiglia di non configurare queste applicazioni o questi servizi per l'utilizzo delle credenziali di amministratore.

Sebbene tutte le cassette postali possano potenzialmente contenere informazioni sensibili importanti per un'organizzazione, le seguenti cassette postali meritano particolare attenzione dal punto di vista della sicurezza e le autorizzazioni per l'accesso a queste cassette postali vanno controllate e monitorate in conformità con i requisiti di sicurezza dell'organizzazione.

• Cassette postali di individuazione   Le cassette postali di individuazione sono utilizzate dalla funzionalità Ricerca in più cassette postali di Exchange 2010. Ciò consente ai responsabili dell'individuazione, i quali fanno parte del gruppo di ruoli Gestione individuazione, di effettuare ricerche in tutti i messaggi di tutte le cassette postali dell'organizzazione Exchange 2010. I messaggi restituiti da una ricerca di individuazione vengono copiati nella cassetta postale Discovery specificata. Il programma di installazione di Exchange 2010 crea una cassetta postale di ricerca Discovery predefinita. Per ulteriori dettagli, vedere Informazioni sulla ricerca su più cassette postali.

• Cassette postali del journaling   Quando viene configurato l'inserimento nel journal per un database delle cassette postali oppure vengono create le regole del journal per l'inserimento nel journal dei messaggi inviati ai o provenienti dai destinatari specificati, i report del journal vengono recapitati alla cassetta postale del journaling specificata. Per ulteriori dettagli, vedere i seguenti argomenti:

  • Informazioni sull'inserimento nel journal

  • Creazione e configurazione di una cassetta postale per l'inserimento nel journal

Oltre a proteggere queste cassette postali, si consideri che un amministratore può utilizzare le regole di trasporto per esaminare il contenuto dei messaggi e recapitare una copia del messaggio a un altro destinatario, anche come destinatario Ccn. Le autorizzazioni necessarie per gestire le regole di trasporto sono elencate nella sezione Regole di trasporto dell'argomento Criteri di messaggistica e autorizzazioni di conformità. Si consiglia di controllare e monitorare adeguatamente la creazione e la modifica delle regole di trasporto e anche di verificare regolarmente le azioni associate a tutte le regole di trasporto.

Considerazioni sui server Accesso client

In Exchange 2010, i seguenti client si connettono ai server Accesso client per accedere alle cassette postali:

• Client Outlook che utilizzano MAPI

• Client Outlook che utilizzano Outlook via Internet

• Browser che utilizzano Outlook Web App,

• Dispositivi mobili che utilizzano Exchange ActiveSync

• Client POP3 e IMAP4

• Applicazioni che utilizzano i Servizi Web Exchange (EWS)

Per impostazione predefinita, questi metodi di accesso client sono protetti da percorsi di dati crittografati. Sempre per impostazione predefinita, anche i client Outlook che si connettono a un server Accesso client con MAPI utilizzano la crittografia RPC. L'accesso di Outlook Web App, Outlook via Internet e Exchange ActiveSync è protetto tramite SSL (Secure Sockets Layer).

Per l'accesso di client esterni, occorre procurarsi e installare i certificati firmati da un'autorità di certificazione considerata attendibile dal client. Per ulteriori dettagli, vedere Gestione di SSL per un server Accesso client.

Per impostazione predefinita, i servizi POP3 e IMAP4 sono disabilitati sui server Accesso client Exchange 2010. Se si desidera abilitarli, si consiglia di utilizzare TLS (Transport Layer Security) o SSL (Secure Sockets Layer) per proteggere la comunicazione con questi protocolli. Per ulteriori dettagli, vedere i seguenti argomenti:

• Informazioni su POP3 e IMAP4

• Configurazione di TLS e SSL per l'accesso POP3 e IMAP4

Si consiglia di utilizzare firewall adeguati quando si pubblicano i server Accesso client per l'accesso esterno. MicrosoftForefront Threat Management Gateway (TMG) 2010 include delle procedure guidate di pubblicazione che semplificano e proteggono la pubblicazione dei server Accesso client Exchange 2010 per l'accesso esterno. Per ulteriori dettagli, vedere Forefront Threat Management Gateway (TMG) 2010.

Sui server Accesso client, viene utilizzato Internet Information Server (IIS) per fornire l'accesso tramite protocollo HTTP a servizi, quali Outlook Web App, Exchange ActiveSync, Outlook via Internet, Individuazione automatica, Pannello di controllo Exchange, Servizi Web Exchange e Rubrica offline. Anche Remote PowerShell utilizza IIS e tutte le richieste RPS, incluse le richieste inoltrate da Exchange Management Console (EMC), vengono registrate nei registri IIS. I registri IIS possono crescere molto e richiedere una notevole quantità di spazio su disco. IIS, un componente di Windows Server, non include alcun meccanismo per la pulizia dei registri obsoleti in base alle dimensioni delle directory nelle quali i registri risiedono. Si consiglia di spostare i registri IIS su un volume non di sistema, in modo da evitare che il loro aumento di dimensione non rischi di esaurire lo spazio sul volume di sistema con conseguente interruzione del servizio. È opportuno monitorare la crescita dei file di registro e implementare meccanismi di archiviazione o eliminazione manuale dei registri, secondo necessità. Per ulteriori informazioni, vedere Configurazione della registrazione in IIS 7 (le informazioni potrebbero essere in lingua inglese).

Considerazioni sui server di trasporto

Exchange 2010 offre due ruoli di server di trasporto che sono stati progettati per scopi differenti.

• Trasporto Edge   Il ruolo di server Trasporto Edge è un server di trasporto non aggiunto al dominio, di norma installato nelle reti perimetrali, che effettua il trasferimento dei messaggi tra l'organizzazione Exchange e gli host SMTP esterni. Sebbene progettato per le reti perimetrali, i server Trasporto Edge possono essere installati anche sulla rete interna ed essere aggiunti a un dominio Active Directory come server membro.

• Trasporto Hub   Il ruolo di server Trasporto Hub effettua il trasferimento dei messaggi all'interno dell'organizzazione, inclusi i messaggi scambiati dai server Exchange, i messaggi provenienti da client SMTP, come gli utenti di POP3 e IMAP4, e da server applicazioni e dispositivi.

Per impostazione predefinita, in Exchange 2010, la comunicazione SMTP è protetta tramite TLS.

Comunicazione SMTP tra i server Trasporto Hub   I server Trasporto Hub di un'organizzazione Exchange utilizzano TLS per proteggere la comunicazione SMTP all'interno dell'organizzazione. Si consiglia di mantenere TLS abilitato sui server Trasporto Hub. In Exchange 2010, le organizzazioni che utilizzano dispositivi o apparecchiature non Exchange per eseguire la crittografia TLS possono scaricare TLS dai server Trasporto Hub a questi dispositivi o apparecchiature. Per ulteriori dettagli, vedere Disabilitazione TLS tra i siti Active Directory per supportare l'ottimizzazione WAN.

Comunicazione SMTP tra i server Trasporto Hub e Trasporto Edge   Tutto il traffico intercorrente tra i server Trasporto Hub e i server Trasporto Edge viene autenticato e crittografato. Il meccanismo sottostante per l'autenticazione e la crittografia è Mutual TLS (MTLS). Invece di utilizzare la convalida X.509 per convalidare i certificati, Exchange 2010 utilizza il trust diretto per autenticare i certificati. Trust diretto significa che la presenza del certificato in Active Directory o Active Directory Lightweight Directory Services (AD LDS) costituisce la convalida del certificato stesso. Active Directory è considerato un meccanismo di archiviazione attendibile. Quando viene utilizzato il trust diretto, non è rilevante se il certificato è autofirmato oppure firmato da un'autorità di certificazione. Quando si sottoscrive un server Trasporto Edge in un sito di Active Directory, la Sottoscrizione Edge pubblica il certificato del server Trasporto Edge in Active Directory. I server Trasporto Hub considerano valido il certificato pubblicato. Il servizio Microsoft EdgeSync aggiorna AD LDS sui server Trasporto Edge che hanno certificati dei server Trasporto Hub considerati validi dai server Trasporto Edge.

Comunicazione SMTP tra i server Trasporto Edge e gli host esterni   In Exchange 2010, la comunicazione SMTP tra i server Trasporto Edge e gli host esterni anonimi è protetta tramite TLS opportunistico. Non è necessario un certificato emesso da un'autorità di certificazione attendibile e non è necessaria alcuna operazione di configurazione. I connettori di ricezione offrono la negoziazione TLS per le connessioni SMTP in entrata. Anche i connettori di invio tentano la negoziazione TLS per tutte le connessioni SMTP in uscita. Il TLS opportunistico non effettua la convalida dei certificati, consentendo pertanto l'utilizzo dei certificati autofirmati. Per ulteriori informazioni, vedere Funzionalità TLS e relativa terminologia in Exchange 2010.

Comunicazione SMTP tra i server Trasporto Hub o Edge e gli SmarHost   In Exchange 2010, è possibile configurare un connettore di invio per instradare la posta di domini remoti, inclusa la posta Internet, a un gateway SMTP di norma residente nella rete perimetrale. Sebbene sia possibile creare un connettore di invio per instradare la posta elettronica a uno SmarHost senza alcuna autenticazione, si consiglia di utilizzare un'autenticazione appropriata per questi connettori. Se si utilizza l'autenticazione base, si consiglia di utilizzare Autenticazione di base tramite TLS. Se viene selezionata un'opzione protetta esternamente, si presume che l'autenticazione venga effettuata utilizzando un meccanismo non Exchange, come, ad esempio, IPsec. Quando il connettore viene configurato con l'indirizzo di uno SmartHost, è possibile utilizzare sia l'indirizzo IP sia il nome di dominio completo (FQDN) dello SmartHost. Si consiglia di utilizzare l'indirizzo IP dello SmarHost, in quanto offre protezione contro il poisoning del DNS, anche se l'utilizzo del nome di dominio completo (FQDN) può risultare più comodo.

Utilizzo della sicurezza dominio per la comunicazione SMTP con i domini partner    In Exchange 2010, è possibile utilizzare la sicurezza dominio per proteggere i percorsi di comunicazione dei messaggi con i domini partner. La sicurezza dominio utilizza Mutual TLS per fornire crittografia e autenticazione a livello di sessione. Per l'autenticazione tramite Mutual TLS, gli host di origine e destinazione verificano la connessione effettuando la convalida dei certificati X.509. I server di trasporto che comunicano con i domini partner configurati per la sicurezza dominio richiedono un certificato firmato da un'autorità di certificazione interna o un'autorità di certificazione terza attendibile. Se si utilizza un'autorità di certificazione interna, l'elenco di revoche di certificati (CRL) deve essere pubblicato e raggiungibile dall'host partner. Per informazioni dettagliate, vedere i seguenti argomenti:

• Informazioni sulla protezione del dominio

• White Paper: Sicurezza dominio in Exchange 2007

Exchange 2010 utilizza la porta SMTP (porta TCP 25) per la comunicazione SMTP. Il programma di installazione di Exchange crea le necessarie regole del firewall in Windows Firewall con protezione avanzata per consentire la comunicazione sulle porte predefinite. Se si specifica una porta diversa per un connettore, Exchange non modifica le regole del firewall né crea automaticamente una nuova regola per consentire la comunicazione sulla porta non predefinita. È necessario modificare manualmente la configurazione del firewall per consentire la comunicazione sulle porte non predefinite. Quando si configura un connettore di ricezione per una porta non predefinita, anche i client SMTP che inviano i messaggi al connettore devono essere configurati per utilizzare quella porta non predefinita.

In Exchange 2010, è possibile installare il ruolo di server Trasporto Hub su un server delle cassette postali Exchange 2010. Ciò è possibile anche su un server delle cassette postali che è membro di un gruppo di disponibilità del database (DAG). Tuttavia, si consiglia di non installare il ruolo di server Trasporto Hub su un server delle cassette postali, in particolare nelle topologie che non prevedono la distribuzione dei server Trasporto Edge, in quanto questo non consente di isolare i server delle cassette postali da Internet. Si consiglia, pertanto, di installare il ruolo di server Trasporto Hub sui server Accesso client. Quando si installano i ruoli di server sullo stesso server, è necessario seguire le linee guida generali per il dimensionamento di ciascun ruolo di server.

Quando si specifica uno SmarHost per un connettore di invio su un server Trasporto Hub o un server Trasporto Edge, si consiglia di utilizzare l'indirizzo IP invece del nome di dominio completo (FQDN) dello SmarHost, in quanto ciò consente di proteggere il DNS dal poisoning e dallo spoofing. Inoltre, ciò riduce al minimo gli effetti di eventuali interruzioni del DNS sull'infrastruttura di trasporto. I server DNS utilizzati nelle reti perimetrali devono essere utilizzati esclusivamente per la risoluzione in uscita. I server DNS perimetrali potrebbero contenere dei record per i server Trasporto Hub. È anche possibile utilizzare i file host sui server Trasporto Edge per evitare di creare i record per i server Trasporto Hub sui server DNS installati nelle reti perimetrali.

Oltre ai passaggi trattati in questa sezione, è opportuno considerare l'adozione di adeguate restrizioni alle dimensioni dei messaggi e adeguate impostazioni per la limitazione larghezza di banda di rete per i messaggi sui server di trasporto. Per ulteriori dettagli, vedere i seguenti argomenti:

• Informazioni sulla limiti della dimensione dei messaggi

• Informazioni sulla limitazione larghezza di banda di rete dei messaggi

Considerazioni sulla messaggistica unificata

Quando si pianifica la distribuzione del ruolo di server di messaggistica unificata, è necessario considerare i diversi canali di comunicazione utilizzati dalla messaggistica unificata per comunicare con i gateway IP o gli IP PBX.

Per impostazione predefinita, quando si crea un dial plan di messaggistica unificata, le comunicazioni avvengono in modalità non protetta. Inoltre, i server di messaggistica unificata associati al dial plan di messaggistica unificata invieranno e riceveranno dati da gateway IP, IP PBX e altri computer Exchange 2010 senza utilizzare alcuna crittografia. Nella modalità non protetta, le informazioni relative al canale di supporto RTP (Real-Time Transport Protocol) e alla segnalazione SIP non vengono crittografate.

È possibile configurare un server Messaggistica unificata per l'utilizzo di Mutual TLS al fine di crittografare il traffico SIP e RTP inviato e ricevuto da altri dispositivi e server. Se si aggiunge un server Messaggistica unificata a un dial plan di messaggistica unificata e si configura il dial plan per l'utilizzo della modalità SIP con protezione, viene crittografato solo il traffico di segnalazione SIP, mentre i canali di supporto RTP utilizzano sempre il protocollo non crittografato TCP. TCP non è crittografato. Tuttavia, se si aggiunge un server Messaggistica unificata a un dial plan di messaggistica unificata e si configura il dial plan per l'utilizzo della modalità protetta, vengono crittografati sia il traffico di segnalazione SIP sia i canali di supporto RTP. Un canale dei supporti di segnalazione protetto che utilizza il protocollo SRTP (Secure Real-Time Transport Protocol) utilizza anche Mutual TLS per crittografare i dati VoIP.

Se il gateway IP o l'IP PBX utilizzato supporta IPsec, è possibile utilizzare anche IPsec per proteggere la comunicazione tra il server di messaggistica unificata e il gateway IP o l'IP PBX.

Per ulteriori dettagli, vedere Informazioni sulle protezione VoIP per la Messaggistica unificata.

La messaggistica unificata invia anche messaggi di altro tipo, come le notifiche di chiamata senza risposta e i messaggi vocali, ai server Trasporto Hub. Per impostazione predefinita, questa comunicazione avviene tramite SMTP con crittografia TLS.

È possibile configurare i criteri per le cassette postali della messaggistica unificata per consentire l'accesso senza PIN. Ciò consente a un chiamante di accedere alla posta vocale senza dover immettere un PIN, semplicemente in base all'ID chiamante specificato nella chiamata. Il rischio di spoofing in relazione all'ID chiamante è pressoché irrilevante. Si consiglia di non abilitare l'accesso senza PIN alla posta vocale. Inoltre, si consiglia di esaminare le impostazioni predefinite del PIN e configurarle in conformità con i requisiti di sicurezza della propria organizzazione. È possibile configurare le seguenti impostazioni dei criteri di messaggistica unificata utilizzando il cmdlet Set-UMMailboxPolicy.

Parametri per il controllo dei PIN utente per l'accesso alla posta vocale

Parametro	Descrizione
AllowCommonPatterns	Il parametro AllowCommonPatterns consente di specificare se consentire PIN semplici. Ad esempio, una parte di un numero di telefono oppure dei numeri in sequenza o ripetuti. Se impostato su $false, i numeri in sequenza e ripetuti e il suffisso del numero interno della cassetta postale verranno rifiutati. Se impostato su $true, verrà rifiutato solo il suffisso del numero interno della cassetta postale.
AllowPinlessVoiceMailAccess	Il parametro AllowPinlessVoiceMailAccess specifica se gli utenti associati al criterio cassetta postale di messaggistica unificata devono utilizzare un PIN per accedere alla propria posta vocale. Un PIN sarà comunque necessario per accedere alla posta elettronica e al calendario. Predefinito   disabilitato ($false).
LogonFailusresBeforePINReset	Il parametro LogonFailuresBeforePINReset consente di specificare il numero di tentativi consecutivi di accesso non riusciti prima che il PIN della cassetta postale venga automaticamente reimpostato. Per disabilitare questa funzionalità, impostare questo parametro su Unlimited. Se questo parametro non è impostato su Unlimited, deve essere impostato su un valore inferiore a quello del parametro MaxLogonAttempts. L'intervallo va da 0 a 999. Predefinito   5 errori.
MaxLogonAttempts	Il parametro MaxLogonAttempts consente di specificare il numero di tentativi di accesso consecutivi non riusciti prima che le cassette postali di messaggistica unificata vengano bloccate. L'intervallo va da 0 a 999. Predefinito   15 tentativi.
MinPINLength	Il parametro MinPINLength consente di specificare il numero minimo di cifre obbligatorie per un PIN per utenti abilitati alla messaggistica unificata. L'intervallo va da 0 a 24. Predefinito   6 cifre
PINHistoryCount	Il parametro PINHistoryCount consente di specificare il numero di PIN precedenti che saranno ricordati e non saranno consentiti durante la reimpostazione del PIN. Questo numero include la prima impostazione del PIN. L'intervallo va da 0 a 20. Predefinito   5 PIN
PINLifetime	Il parametro PINLifetime consente di specificare dopo quanti giorni sarà richiesta una nuova password. L'intervallo è compreso tra 1 e 999. Se si specifica Unlimited, i PIN degli utenti non scadranno. Predefinito   60 giorni

In Exchange 2010, è possibile contrassegnare i messaggi vocali come protetti. I messaggi vocali vengono protetti tramite IRM (Information Rights Management). È possibile configurare le impostazioni per la protezione di messaggi vocali utilizzando il seguente parametro nei criteri per le cassette postali della messaggistica unificata. Per ulteriori dettagli, vedere i seguenti argomenti:

• Informazioni sul Sistema di caselle vocali protette

• Informazioni su Information Rights Management

Parametri per la posta vocale protetta

Parametro	Descrizione
ProtectAuthenticatedVoicemail	Il parametro ProtectAuthenticatedVoiceMailspecifica se i server di messaggistica unificata che rispondono a chiamate di Outlook Voice Access per gli utenti abilitati alla messaggistica unificata associati al criterio cassetta postale di messaggistica unificata creano messaggi di posta vocale protetti. Se il valore è impostato su Private, verranno protetti solo i messaggi contrassegnati come privati. Se il valore è impostato su All, verranno protetti tutti i messaggi vocali. Predefinito   None (ai messaggi vocali non viene applicata alcuna protezione)
ProtectUnauthenticatedVoiceMail	Il parametro ProtectUnauthenticatedVoiceMail specifica se i server di messaggistica unificata che rispondono alle chiamate per gli utenti abilitati alla messaggistica unificata associati al criterio cassetta postale di messaggistica unificata creano messaggi di posta vocale protetti. Questo vale anche quando un messaggio viene inviato da un operatore automatico di messaggistica unificata a un utente abilitato alla messaggistica unificata associato al criterio cassetta postale di messaggistica unificata. Se il valore è impostato su Private, verranno protetti solo i messaggi contrassegnati come privati. Se il valore è impostato su All, verranno protetti tutti i messaggi vocali. Predefinito   None (ai messaggi vocali non viene applicata alcuna protezione)
RequireProtectedPlayOnPhone	Il parametro RequireProtectedPlayOnPhone specifica se gli utenti associati al criterio cassetta postale di messaggistica unificata possono solo utilizzare Ascolta al telefono per i messaggi vocali protetti o se gli utenti possono utilizzare software multimediale per riprodurre il messaggio protetto. Predefinito   $false. Gli utenti possono utilizzare entrambi i metodi per ascoltare i messaggi vocali protetti.

Appendice 1: Documentazione aggiuntiva relativa alla sicurezza

In questa sezione sono contenuti i collegamenti alla documentazione aggiuntiva relativa alla protezione di Exchange.

Funzionalità per la protezione da posta indesiderata e antivirus

• Informazioni sulle funzionalità per la protezione da posta indesiderata e antivirus

• Gestione delle funzionalità protezione da posta indesiderata e antivirus

• Cmdlet per la protezione da posta indesiderata

Certificati

• Informazioni sui certificati TLS

• Gestione di SSL per un server Accesso client

• Configurazione di SSL per Exchange ActiveSync

• Configurazione di SSL per Outlook via Internet

• Configurazione di TLS e SSL per l'accesso POP3 e IMAP4

• Configurazione delle directory virtuali di Outlook Web App per l'utilizzo di SSL

• Creazione di un nuovo certificato di Exchange

• Importazione di un certificato di Exchange

• Visualizzazione delle proprietà del certificato di Exchange

• Assegnazione dei servizi ad un certificato

Autenticazione e sicurezza dei client

• Configurazione dell'autenticazione per Exchange ActiveSync

• Configurazione dell'autenticazione per POP3 e IMAP4

• Configurazione dell'autenticazione basata su moduli per Outlook Web App

• Configurazione dei metodi di autenticazione standard per Outlook Web App

Outlook Web App

• Gestione della sicurezza di Outlook Web App

• Configurazione delle directory virtuali di Outlook Web App per l'utilizzo di SSL

• Configurazione dell'autenticazione basata su moduli per Outlook Web App

• Configurazione dei metodi di autenticazione standard per Outlook Web App

• Configurazione di Outlook Web App in modo che funzioni con Active Directory Federation Services

• Outlook Web App e S/MIME

Outlook via Internet

• Gestione della sicurezza di Outlook via Internet

POP3 e IMAP

• Gestione della sicurezza POP3 e IMAP4

• Configurazione dell'autenticazione per POP3

• Configurazione dell'autenticazione per IMAP4

• Configurazione di TLS e SSL per l'accesso POP3 e IMAP4

Autorizzazioni

• Riferimenti per le autorizzazioni di distribuzione di Exchange 2010

• Informazioni sul controllo di accesso basato sui ruoli

• Informazioni sulla divisione delle autorizzazioni

• Informazioni sulla coesistenza delle autorizzazioni con Exchange 2003

• Informazioni sulla coesistenza delle autorizzazioni con Exchange 2007

• Informazioni sulle autorizzazioni su più foreste

• Autorizzazioni funzionalità

• Gestione dell'amministratore e degli utenti esperti

• Gestione degli utenti finali

• Ruoli di gestione e voci di ruolo

• Ambiti del ruolo di gestione

• Assegnazioni del ruolo di gestione

• Gestione delle autorizzazioni suddivise

• Autorizzazioni per gestire i server Cassette postali

• Protezione dei server Messaggistica unificata

Protezione del flusso di posta

• Informazioni sulla protezione del dominio

• Utilizzo di PKI sul server Trasporto Edge per la protezione del dominio

• Utilizzo di protezione dominio: Configurazione di Mutual TLS

• Test PKI e configurazione proxy

Conformità e criteri di messaggistica

• Informazioni su Information Rights Management

• Informazioni sull'inserimento nel journal

• Protezione dei rapporti del journal

• Informazioni su Gestione record di messaggistica

• Informazioni sui tag di conservazione e sui criteri di conservazione

• Informazioni sulla ricerca su più cassette postali

• Informazioni sulla registrazione di controllo delle cassette postali

• Gestione della registrazione di controllo delle cassette postali

Federazione

• Informazioni sulla federazione

• Autorità di certificazione radice disponibile nell'elenco locale per le relazioni di trust federative

 ©2010 Microsoft Corporation. Tutti i diritti riservati.