了解管理角色

適用於：Exchange Server 2013

管理角色是用於 Microsoft Exchange Server 2013 的角色存取控制 (Role Based Access Control，RBAC) 權限模式的一部分。 角色可當作指令程式邏輯群組的一部分整合，提供您存取權限來檢視或修改 Exchange 2013 元件 (如信箱、傳輸規則和收件者) 的組態。 管理角色可進一步整合到稱為管理角色群組和管理角色指派原則的較大群組中，以便管理功能範圍和接收者組態。 角色群組和角色指派原則會分別將權限指派給系統管理員和一般使用者。 如需管理角色群組和管理角色指派原則的詳細資訊，請參閱了解角色型存取控制。

管理角色範圍和管理角色指派是操作管理角色的重要元件。 如需這些元件的詳細資訊，請參閱下列主題：

• 了解管理角色範圍
• 了解管理角色指派

要尋找與管理角色相關的管理工作嗎？ 請參閱權限。

內建管理角色

Exchange 2013 提供許多可用於管理組織的內建管理角色。 每個角色都包含可讓使用者用來管理特定 Exchange 元件的指令程式和參數。 下列是一些內建管理角色的範例：

• 郵件收件者：可讓系統管理員管理信箱、連絡人和郵件使用者。
• 傳輸規則：可讓系統管理員或專家使用者獲派角色來管理傳輸規則功能。
• 通訊群組：可讓系統管理員或專家使用者獲派角色來管理通訊群組和通訊群組成員。
• MyPersonalInformation：可讓使用者修改自己的住家電話號碼和網站位址。

如需 Exchange 2013 隨附管理角色的完整清單，請參閱內建管理角色。

您可以取得 Exchange 2013 所提供的內建角色，並以任何方式將其合併以建立適用於您企業的權限模式。 例如，如果您要角色群組的成員管理收件者和公用資料夾，可將「郵件收件者」和「公用資料夾」角色都指派給角色群組。 通常是將角色指派給角色群組或角色指派原則。 如果您要控制細微層次的權限，還可以直接將管理角色指派給使用者。 我們建議您使用角色群組和角色指派原則 (而非直接使用者角色指派) 以簡化您的權限模式。

無法變更內建的管理角色。 但您可根據內建管理角色來建立管理角色，然後將這些新角色指派給角色群組或角色指派原則。 然後您可變更新的管理角色以符合您的需求。 這應為只有在必要時才進行的少數進階工作。

如需根據內建 Exchange 角色建立自訂角色的詳細資訊，請參閱本主題稍後的自訂管理角色。

您必須指派管理角色，它們才會生效。 通常是將管理角色指派給角色群組與角色指派原則。 在某些情況下，也可直接將角色指派給使用者，雖然這是只有在必要時才進行的少數進階工作。

如需指派管理角色的詳細資訊，請參閱下列主題：

• 管理角色群組
• 管理角色指派原則
• 將角色新增至使用者或 USG

如需管理角色指派的詳細資訊，請參閱了解管理角色指派。

未限定範圍的頂層管理角色

未限定範圍的頂層管理角色是一種特殊類型的管理角色，可讓您將自訂指令碼和非 Exchange指令程式的存取權授與使用 RBAC 的使用者。 一般管理角色只提供 Exchange指令程式的存取權。 如果必須提供在 Exchange 伺服器上執行非 Exchange指令程式的存取權，或如果需要發行可由使用者執行的指令碼，就必須將它們新增至未限定範圍的角色。 它們之所以稱爲頂層角色，是因爲如果建立的未限定範圍角色並非衍生自上層角色，它就沒有上層項目，而且是 Exchange 2013 所提供的對等內建管理角色。 若要指出您想要建立未限定範圍的最上層角色專案，您必須搭配New-ManagementRole Cmdlet 使用UnscopedTopLevel參數。

未限定範圍角色之所以如此命名，是因為並不像一般的管理角色那樣，無法將其納入特定目標的範圍。 未限定範圍的角色一律適用於全組織。 這表示被指派未限定範圍角色者可以修改 Exchange 2013 組織中的任何物件。 基於這個理由，您必須特別注意確保徹底測試透過未限定範圍角色提供的指令碼與指令程式，以便知道它們會修改什麼內容，如此才能謹慎指派未限定範圍的角色。

可將未限定範圍角色指派給諸如角色群組、管理角色、使用者和萬用資訊安全群組 (USG) 等角色受託人。 不可將它們指派給管理角色指派原則。

雖然無法將 Exchange 指令程式新增為未限定範圍角色上的管理角色項目，但可將它們包含在新增為角色項目的指令碼中。 這可讓您建立執行 Exchange 工作的自訂指令碼，然後可指派給使用者。 一項實用的案例是當使用者必須執行通常在所屬管理層級以外的高權限工作時，以及建構新管理角色或角色群組有問題時。 您可建立執行此特定函數的指令碼，將其新增到未限定範圍角色，然後將未限定範圍角色指派給使用者。 使用者就僅能執行由指令碼提供的特定函數。

您還必須將新增至未限定範圍角色的角色項目指定為未限定範圍的頂層角色項目。 For more information about unscoped top-level role entries, see Unscoped Top-Level Role Entries later in this topic.

根據預設，組織管理 角色群組沒有建立或管理未限定範圍角色群組的權限。 這是要避免錯誤建立或修改未限定範圍的角色群組。 組織管理 角色群組可將「未限定範圍角色管理」的管理角色委派給自己和其他角色受託人。 如需如何建立未限定範圍頂層管理角色的詳細資訊，請參閱建立未限定範圍的角色。

自訂管理角色

當內建管理角色不符合您使用者的需求時，可根據內建 Exchange 角色建立自訂管理角色。 當您建立自訂管理角色時，新下層角色會繼承上層角色的所有管理角色項目。 然後您可選擇在自訂管理角色中要保留哪些管理角色項目，並移除所有不要的項目。

自訂角色成為用於建立新角色的下層角色。 您只能使用存在於上層角色中之新下層角色中的管理角色項目。 如需詳細資訊，請參閱本主題稍後的小節：

• 管理角色階層
• 管理角色專案

必須執行多個步驟才能建立自訂管理角色，而且這是只有在必要時才進行的少數進階工作。 在您建立自訂管理角色之前，請先確保其中一個現有的內建管理角色並未提供您所需的權限。 如需內建管理角色的詳細資訊，或者如果您要建立自訂管理角色，請參閱以下主題：

• 內建管理角色
• 進階權限

如需如何建立管理角色的詳細資訊，請參閱建立角色。

管理角色階層

管理角色有區分上層與子項的階層。 根據預設，階層頂端是 Exchange 2013 中所提供的內建管理角色。 當您建立角色時，會建立上層角色的副本。 新角色是所複製角色的下層。 然後您可自訂新角色以符合所指派之系統管理員或使用者的需要。

可使用自訂角色建立角色。 當您從現有的自訂角色建立角色時，現有自訂角色會保持為其上層角色的下層，但同時成為新角色的上層。 每次複製角色時，新下層角色只能包含存在於直屬上層角色中的角色項目。

每一個管理角色都有無法變更的特定角色類型。 角色類型會定義角色的基本使用環境。 當建立下層角色時，會從上層角色複製角色類型。

上圖說明數種管理角色的階層關係。 「郵件收件者」和「服務台」角色是內建角色。 衍生自這些角色的所有下層角色會繼承每個內建角色的角色類型。 例如，直接或間接衍生自郵件收件者角色的所有子角色都會繼承 MailRecipients 角色類型。

「Seattle 收件者系統管理員」自訂角色是「郵件收件者」內建角色的子項，但同時也是「Seattle 銷售收件者系統管理員」自訂角色與「Seattle 合法收件者系統管理員」自訂角色的上層。 「Seattle 收件者系統管理員」自訂角色僅包含在「郵件收件者」角色中可用之指令程式的子集。 「Seattle 收件者系統管理員」自訂角色的下層角色只能包含也存在於該角色中的指令程式。 例如，如果指令程式存在於「郵件收件者」角色中，但不存在於「Seattle 收件者系統管理員」自訂角色中，就無法將指令程式新增至「Seattle 銷售收件者系統管理員」自訂角色。

所有自訂角色都會遵循與上述角色相同的模式。 如需如何在管理角色上控制 Cmdlet 存取權的詳細資訊，請參閱本主題接下來的管理角色專案。

管理角色項目

每個管理角色，不論是否為自訂 Exchange 角色或未限定範圍角色，都必須至少有一個管理角色項目。 項目是由您要提供的單一指令程式和其參數、指令碼或特殊權限所組成。 如果指令程式或指令碼並非管理角色上的項目，則不可透過該角色存取該指令程式或指令碼。 同樣地，如果參數不存在於項目中，則不可透過該角色存取該指令程式或指令碼上的參數。

Exchange 2013 可讓您管理根據內建 Exchange 管理頂層角色以及未限定範圍角色的角色項目。 根據內建 Exchange 頂層角色的角色只能包含 Exchange 2013指令程式的角色項目。 若要新增可讓使用者使用的自訂指令碼或非 Exchange 指令程式，您必須將它們新增為未限定範圍頂層角色的未限定範圍角色項目。 如需未限定範圍角色專案的詳細資訊，請參閱本主題稍後的取消範圍Top-Level角色專案。

所有角色項目，不論是否為 Exchange 指令程式或未限定範圍者，都要遵循與以下小節所述相同的原則。

如需管理角色項目的詳細資訊，請參閱管理角色和角色項目。

上層和下層管理角色的關聯性

如前文所提，管理角色項目，包含指令程式和其參數，都必須存在於直屬上層角色中，才能新增項目到下層角色。 例如，如果上層角色沒有 New-Mailbox 的項目，則無法指派該指令程式到下層角色。 此外，如果Set-Mailbox位於父角色上，但已從專案中移除Database參數，則無法將Set-Mailbox Cmdlet 上的Database 參數新增至子角色的專案。

因為如果項目不在上層角色中，您就無法新增管理角色項目到下層角色，且因為角色是根據特定的角色類型，所以當要建立自訂角色時，必須仔細選擇要複製的上層角色。

管理角色項目名稱

管理角色項目名稱是與它們相關之管理角色、指令程式或指令碼名稱的組合。 角色名稱和 Cmdlet 或腳本會以反斜線字元 (\) 分隔。 例如，郵件收件者角色上 Set-Mailbox Cmdlet 的角色專案名稱是 Mail Recipients\Set-Mailbox 。 如果角色項目名稱包含空格，請使用引號 (") 括住名稱。

萬用字元 (*) 可用於角色專案名稱，以傳回符合您所提供輸入的所有角色專案。 可在反斜線字元的任一側使用萬用字元。 下表包含幾個在角色項目名稱中變化使用萬用字元的方式。

未限定範圍的頂層角色項目

未限定範圍的頂層角色項目要搭配未限定範圍的頂層管理角色使用，以根據自訂指令碼或非 Exchange 指令程式建立角色。 每個未限定範圍的角色項目都與單一自訂指令碼或非 Exchange 指令程式相關聯。 若要指出您想要在未限定範圍的角色上建立未限定範圍的角色專案，您必須在Add-ManagementRoleEntry Cmdlet 上指定UnscopedTopLevel參數。

當您新增未限定範圍角色項目時，必須指定可以與指令碼或非 Exchange 指令程式搭配使用的所有參數。 當您新增角色項目時，Exchange 會嘗試驗證您所提供的參數。 僅有建立時新增至角色項目的參數適用於指派到未限定範圍角色的使用者。 如果您新增參數到指令碼或非 Exchange 指令程式，或如果重新命名參數，則必須手動更新角色項目。 Exchange 不會檢查是否已變更未限定範圍角色項目上的現有參數。 如果變更指令碼中角色項目上的參數，且您嘗試使用該參數，則命令會失敗。

您新增至未限定範圍角色項目的指令碼必須位於系統管理員和使用者以 Exchange 2013 管理管理命令介面所連接之每部伺服器上的 Exchange 指令碼目錄。 如果您嘗試新增的未限定範圍角色項目，是根據不存在於用來新增角色項目之伺服器上 Exchange 2013 指令碼目錄中的指令碼，則會發生錯誤。 Exchange 2013 腳本目錄的預設安裝位置是 C：\Program Files\Microsoft\Exchange Server\V15\RemoteScripts 或 %ExchangeInstallPath%RemoteScripts 。

您新增至未限定範圍角色項目的非 Exchange 指令程式，必須安裝於系統管理員和使用者以管理命令介面所連接且想使用指令程式的每部 Exchange 2013 伺服器上。 如果您嘗試新增的未限定範圍角色項目，是根據並非安裝於用來新增角色項目之 Exchange 伺服器上的非 Exchange 2013 指令程式，則會發生錯誤。 當您新增非 Exchange 指令程式時，必須指定包含非 Windows指令程式的 Exchange PowerShell 嵌入式管理單元名稱。

如需如何新增未限定範圍管理角色項目的詳細資訊，請參閱將角色項目新增至角色。

管理角色類型

管理角色類型是所有的管理角色的基礎。 類型會定義指定角色類型之所有管理角色上定義的隱含範圍，並且可充當相關角色的邏輯群組。 所有衍生自上層內建管理角色的管理角色有相同的角色類型。 請參閱本主題稍早的管理角色階層圖，以了解此關係。 管理角色類型也代表可新增至與角色類型相關之角色的指令程式及其參數的最大集合。

管理角色類型分成下列類別：

• 系統管理或專家：與系統管理或專家角色類型相關聯的角色在 Exchange 組織中具有更廣泛的影響範圍。 此角色類型的角色可從事諸如伺服器或收件者管理、組織組態、規範管理、稽核以及更多的這類工作。

• 以使用者為焦點：與以使用者為焦點的角色類型相關聯的角色具有與個別使用者緊密系結的影響範圍。 此角色類型的角色可從事諸如使用者設定檔組態、自我管理、使用者所擁有通訊群組的管理以及更多這類的工作。

  與使用者為主角色類型相關的角色名稱，以及使用者為主的角色類型名稱，都是以 My 開頭。

• 特殊：與特殊角色類型相關聯的角色可啟用非系統管理或以使用者為焦點的角色類型的工作。 此角色類型的角色可從事諸如應用程式模擬和以及使用非 Exchange 指令程式或指令碼這樣的工作。

下表列出 Exchange 2013 中所有的系統管理員管理角色類型，以及角色類型所允許的組態是否套用至整個 Exchange 組織或僅套用到個別伺服器。 如需與這裡每種角色類型相關之管理角色的詳細資訊，包含每個角色的描述、誰可獲益於受指派的角色以及其他資訊，請參閱內建管理角色。

下表列出 Exchange 2013 中所有使用者為主的管理角色類型，以及其關聯的內建管理角色。

相關資訊

New-ManagementRole

New-ManagementRoleAssignment

Set-ManagementRoleAssignment

New-ManagementScope

Set-ManagementScope

New-ManagementRoleAssignment

Set-ManagementRoleAssignment