瞭解與 Exchange 2007 共存的權限

適用版本： Exchange Server 2010 SP2, Exchange Server 2010 SP3

上次修改主題的時間： 2016-11-28

Microsoft Exchange Server 2010 中的權限模型是改良自舊版 Exchange 中所用的模型。Exchange 2010 包含應用角色的存取控制 (RBAC) 權限，其會取代 Microsoft Active Directory 中所用的 Exchange Server 2007 存取控制項目 (ACE) 授權模型。RBAC 是用於大部分 Exchange 2010 管理工作的授權機制。此機制包括下列管理區域：

• Exchange 管理命令介面

• Exchange 控制台

• Exchange 管理主控台 (EMC)

• Exchange Web 服務

• 中間層元件上的 MAPI

如需如何規劃 Exchange 2010 與舊版 Exchange 之間之共存的相關資訊，請參閱瞭解升級到 Exchange 2010。

要尋找與權限相關的管理工作嗎？請參閱管理權限。

Exchange 2010 權限

Exchange 2010 RBAC 權限模型是由被指派其中一個管理角色的管理角色群組所組成。管理角色包含可讓系統管理員在 Exchange 組織中執行工作的權限。系統管理員會新增為角色群組的成員，並且會被授與角色所提供的所有權限。下表提供角色群組的範例、指派給角色群組的一些角色，以及可能是角色群組成員之使用者類型的描述。

Exchange 2010 中之角色群組與角色的範例

此表格顯示 Exchange 2010 提供您授與系統管理員之權限的細微層次控制。您可以從 Exchange 2010 中的 11 個角色群組選擇。如需角色群組及其提供之權限的完整清單，請參閱內建角色群組。

因為 Exchange 2010 提供許多角色群組，而且因為建立具有不同角色組合之角色群組可進行更多自訂，所以不必再操作 Active Directory 物件的存取控制清單 (ACL)，而且這些清單也沒有任何效果。系統不會再使用 ACL 來將權限套用到 Exchange 2010 中的個別系統管理員或群組。所有工作 (例如建立信箱的系統管理員或存取信箱的使用者) 都由 RBAC 管理。RBAC 會授權工作，如果允許的話，Exchange 便會代替使用者執行工作。Exchange 會執行 Exchange 受信任子系統萬用安全性群組 (USG) 中的工作。除了某些例外，Active Directory 中 Exchange 2010 必須存取的物件上所有 ACL 都會授與 Exchange 信任子系統 USG。這是從 Exchange 2007 中處理權限方式的根本變更。

授與 Active Directory 中之使用者的權限，與使用者使用 Exchange 2010 管理工具時 RBAC 授與使用者的權限不同。

如需有關 RBAC 的詳細資訊，請參閱瞭解應用角色的存取控制。

Exchange 2007 權限

Exchange 2007 系統管理模式利用 Active Directory 樹系來定義安全性界限。在特定樹系中不會有安全性權限的隔離。樹系擁有者和企業系統管理員永遠可以存取任何網域中的所有資源。在 Exchange 2007 中，您可能需要只以暫時方式授與企業系統管理員權限和頂層網域系統管理員權限。

Exchange 2007 提供下列預先定義的系統管理員角色：

• Exchange 組織系統管理員角色   此角色會授與控制 Exchange 2007 組織各層面的權限。此外，擁有此角色的系統管理員可將權限授與其他 Exchange 系統管理員。此角色會授與您用來安裝 Exchange 2007 的帳戶。

• Exchange 僅檢視系統管理員角色   此角色會授與檢視 Exchange 組態的權限。不過，擁有此角色的系統管理員無法修改 Exchange 2007 組織中的物件。

• Exchange 收件者系統管理員角色   此角色會授與管理電子郵件收件者的權限。擁有此角色的系統管理員可以修改使用者、群組、連絡人和通訊群組的 Exchange 相關項目。

• Exchange Server 系統管理員角色   此角色會授與管理特定伺服器的權限。不過，此角色不會授與執行對 Exchange 2007 組織具有通用影響之動作的權限。

• Exchange 公用資料夾系統管理員角色   此角色是在 Exchange 2007 Service Pack 1 中新增。此角色會授與管理 Exchange 2007 組織中之公用資料夾的權限。

此權限模型會將 USG 用於除 Exchange 伺服器系統管理員角色之外的所有角色。當您執行 Exchange 2007Setup /PrepareAD 命令時，安裝程式會在根網域中建立 USG，並提供整個樹系範圍給 USG。USG 會被指派 ACL 以管理整個 Active Directory 的 Exchange 物件。

在 Exchange 2007 中，您可為系統管理員指派各種不同角色以分隔系統管理員。權限會直接指派給使用者或使用身為成員的 USG。使用者執行的任何動作，都會在該使用者的 Active Directory 帳戶環境中執行。下表列出 Exchange 2007 系統管理員角色及其 Exchange 相關權限。

Exchange 2007 系統管理員角色

如果需要進行更細微的權限指派，可以修改個別 Exchange 2007 物件的 ACL，例如通訊清單或資料庫。您必須將使用者或使用者身為成員的安全性群組直接新增到 ACL。然後，在特定使用者的環境中執行操作。

如需如何在 Exchange 2007 中管理權限的相關資訊，請參閱在 Exchange Server 2007 中設定權限。

Exchange 2010 與 Exchange 2007 共存權限

由於 Exchange 2010 的權限模型和 Exchange 2007 的權限模型不同，因此 Exchange 2010 權限指派與 Exchange 2007 權限指派分開。即使 Exchange 兩個版本皆安裝於相同樹系中，也是一樣。若未進行其他設定，Exchange 2010 管理員將不具有管理 Exchange 2007 型伺服器的必要權限，且 Exchange 2007 管理員則不具有管理 Exchange 2010 型伺服器的必要權限。您應該考慮下列問題：

• 您要授與 Exchange 2010 系統管理員管理 Exchange 2007 伺服器的存取權嗎？

• 您要授與 Exchange 2007 系統管理員管理 Exchange 2010 伺服器的存取權嗎？

• 您要自訂 Exchange 2010 權限，使其符合對 Exchange 2007 ACL 所做的任何自訂嗎？

將 Exchange 2010 權限授與 Exchange 2007 系統管理員

如果要讓 Exchange 2007 系統管理員管理 Exchange 2010 伺服器，Exchange 2007 系統管理員必須新增為一個或多個 Exchange 2010 角色群組的成員。您可以將使用者或 USG 新增至角色群組。然後，授與角色群組的權限會套用至您新增為成員的使用者或 USG。

重要事項：
如果您使用網域本機或全域 Active Directory 安全性群組，若是想要將其新增為 Exchange 2010 角色群組的成員，必須將其變更為 USG。Exchange 2010 只支援 USG。

下表說明 Exchange 2007 系統管理員角色與 Exchange 2010 角色群組之間的對應。

Exchange 2007 系統管理員角色與 Exchange 2010 角色群組

如果您所有的 Exchange 2007 系統管理員是其中一個 Exchange 2007 管理角色的成員，您可以將每一個管理群組的成員新增至其同等的 Exchange 2010 角色群組。例如，若您想要授與所有 Exchange 2007 組織系統管理員對 Exchange 2010 物件的完整存取權，請將 Exchange 組織系統管理員 USG 新增至 組織管理 角色群組。

如需如何將使用者和 USG 新增至角色群組的詳細資訊，請參閱將成員新增至角色群組。

如果您修改 Exchange 2007 物件的 ACL，以授與 Exchange 2007 系統管理員更細微的權限，並想要指派 Exchange 2010 伺服器的相似權限給這些系統管理員，請遵循下列步驟：

1. 檢閱對 Exchange 2007 物件所做的 ACL 自訂，並找出已被授與每個物件之權限的系統管理員。

2. 分類每個 Exchange 2007 物件。例如，判斷物件是否為資料庫、伺服器或收件者物件。

3. 將物件對應至對應的 Exchange 2010 角色群組。如需內建角色群組的清單，請參閱內建角色群組。

4. 將每種物件的 USG 或使用者新增至對應的 Exchange 2010 角色群組。如需如何將使用者和 USG 新增至角色群組的詳細資訊，請參閱將成員新增至角色群組。

完成這些步驟之後，Exchange 2007 系統管理員將成為對應至適當 Exchange 2010 物件之特定角色群組的成員。Exchange 2007 系統管理員可以使用 Exchange 2010 管理工具來管理 Exchange 2010 伺服器和收件者。

重要事項：
一般而言，Exchange 2007 伺服器和收件者必須使用 Exchange 2007 管理工具來管理，而 Exchange 2010 伺服器和收件者必須使用 Exchange 2010 管理工具來管理。

如果內建角色群組未提供您想要授與某些系統管理員的特定權限集，您可以建立自訂角色群組。當您建立自訂角色群組時，可以選取要新增至群組的角色。您可以定義希望角色群組成員管理的特定功能。例如，若您希望系統管理員只管理通訊群組，可以建立自訂角色群組，然後只選取 Distribution Groups 角色。這樣做之後，該自訂角色群組的成員便只能管理通訊群組。如需如何建立自訂角色群組的詳細資訊，請參閱建立角色群組。

如果您將選擇性權限指派給某些 Exchange 2007 物件 (例如只允許系統管理員管理特定資料庫)，而您想要套用相同的組態至 Exchange 2010 伺服器，請參閱本主題稍後的「使用 Exchange 2007 中的管理範圍重新建立 Exchange 2010 ACL 自訂」。

將 Exchange 2007 權限授與 Exchange 2010 系統管理員

如果您要 Exchange 2010 系統管理員管理 Exchange 2007 伺服器，請將 Exchange 2010 系統管理員新增至 USG 或對應至特定 Exchange 2007 系統管理員角色的安全性群組。或者，如果您有自訂的 ACL 設定，請將系統管理員新增至適當的 ACL。角色群組是 USG，因此可以將角色群組直接新增至 Exchange 2007 系統管理員角色 USG。

完成後，Exchange 2010 系統管理員將成為適當 Exchange 2007 系統管理員角色的成員。Exchange 2010 系統管理員可以使用 Exchange 2007 管理工具來管理 Exchange 2007 伺服器和收件者。

使用 Exchange 2010 中的管理範圍重新建立 Exchange 2007 ACL 自訂

在 Exchange 2007 中，如果要限制誰可以管理特定信箱儲存區、管理特定使用者或控制在哪個信箱儲存區上建立信箱，必須修改要限制之物件的 ACL。Exchange 2010 提供相同的功能，但不必修改任何 ACL。它會使用管理範圍 (也就是 RBAC 的元件) 執行此功能。

管理範圍提供內建範圍和自訂範圍，用於定義系統管理員可以管理的物件。透過套用管理範圍，您可以定義能夠管理哪些收件者、可以在哪些信箱資料庫上建立信箱，以及哪些收件者或伺服器應由一小組系統管理員管理，不能由其他人管理。

您可以建立下列類型的管理範圍：

• 預先定義的相對   Exchange 2010 包含預先定義的相對範圍。您可以控制使用者看到及修改的內容。例如，預先定義的相對範圍可以控制使用者是只看得到自己的相關資訊，還是看得到整個組織的相關資訊。

• 收件者   收件者範圍控制系統管理員可以建立、修改或刪除哪些收件者範圍。這些選項可以根據組織單位 (OU)、收件者篩選器或這兩者為基礎。收件者篩選器指定收件者若要包含在範圍中，必須符合的準則。例如，您可以建立包含特定位置或特定部門中所有使用者的收件者篩選器範圍。您甚至可以結合 OU 與收件者篩選器，只比對在特定 OU 之內的使用者，以及向特定經理報告的使用者。

• 伺服器   伺服器範圍控制系統管理員可以管理哪些伺服器。您可以指定伺服器清單或伺服器篩選器。針對伺服器清單，您可以定義可管理之伺服器的靜態清單。伺服器篩選器的運作方式與收件者篩選器相同，您可以指定必須符合的準則。例如，您可能會建立符合特定 Active Directory 網站中所有伺服器的伺服器範圍。

• 資料庫   資料庫範圍控制系統管理員可以管理哪些資料庫。它們也可以控制可在哪些資料庫建立信箱，或將信箱移至哪些資料庫。它們也像伺服器範圍一樣，可以定義為清單或篩選器。例如，您可以建立一個清單或篩選器，允許系統管理員在特定子公司管理之特定信箱資料庫上建立信箱，或將信箱移至該資料庫。

• 獨佔   收件者、伺服器和資料庫範圍也可建立為獨佔範圍。獨佔範圍的運作方式與 ACL 中的拒絕存取 ACE 相同。如果任何項目符合獨佔範圍，則只有被指派獨佔範圍的系統管理員可以管理該物件。即使有其他非獨佔的範圍符合相同物件，也是一樣。當您只想讓少數極受信任的人能夠管理高階主管的信箱時，此功能特別有用。即使另一個一般收件者範圍較廣大且範圍中包含高階主管的信箱，指派了較廣的一般收件者範圍的系統管理員除非也指派了獨佔範圍，否則將無法管理該高階主管的信箱。

管理範圍可以配合管理角色、管理角色指派和管理角色群組使用，以控制誰可以管理哪些物件，以及可以使用什麼方式來管理物件。如需相關資訊，請參閱下列主題：

• 瞭解管理角色範圍

• 了解獨佔範圍

• 了解管理角色指派

• 了解管理角色群組

• 了解管理角色

若要使用您可能已使用自訂 ACL 定義的管理範圍在 Exchange 2010 中建立相同的權限模型，必須清查您已自訂的 ACL，然後建立與其符合的管理範圍。您可以使用收件者、伺服器和資料庫物件上的可篩選內容，建立包含您要每個管理範圍控制存取之物件的管理範圍。如需可搭配管理範圍篩選器使用之內容的詳細資訊，請參閱瞭解管理角色範圍篩選器。

如需如何建立管理範圍的詳細資訊，請參閱建立一般或獨佔範圍。

 © 2010 Microsoft Corporation. 著作權所有，並保留一切權利。