[SBS 2011] Exchange leesrechten op mailbox andere gebruiker

[tel2]

Wij hebben een mailbox [e-mail] waarop meerdere andere gebruikers volledige rechten hebben, dit is ingesteld via de Exchange Management Console.

Nu wil ik dat sommige gebruikers alleen leesrechten hebben op bepaalde submappen onder Postvak In van de info mail box.

Ik kan via Outlook (2010) machtigingen per map geven en daarna het postvak aan de gebruikers toevoegen maar omdat er tientallen submappen bestaan is het niet handig dat ik dit voor iedere submap moet instellen.

Onder Postvak In heb ik een map met de naam 'Submap1'. Ik wil dat sommige gebruikers alleen de map 'Submap 1' kunnen zien met leesrechten dus heb ik via Outlook daar de juiste machtigingen op gegeven. Ook heb ik de gebruikers leesrechten gegeven op de map 'Postvak In' omdat ze anders de map 'Submap1' niet op kunnen roepen. Nu is het zo dat bij alle andere submappen (tientallen) de Standaard rechten zijn ingesteld op Full Access. Geen idee hoe dat komt maar dit is zo. De gebruikers die leesrechten krijgen op 'Postvak In' hebben dus op alle submappen van Postvak In full access. (behalve de map 'Submap1' omdat ik die op leesrechten heb ingesteld)

Ik heb ook leesrechten proberen te geven via de management shell maar dit werkt ook niet.
Add-MailboxPermission -Identity [e-mail] -User John -AccessRights ReadPermision

De rechten worden netjes toegevoegd maar de gebruiker kan de mappen van de info mail niet openen.

Mijn vragen:
Hoe kan ik op de juiste manier een aantal gebruikers op een andere mailbox leesrechten geven?
Hoe kan ik de rechten op tientallen submappen in één keer wijzigen?

[akimosan]

Add-MailboxPermission is voor rechten op de mailbox en wie deze rechten kan lezen en uitdelen..
Add-MailboxFolderPermission is voor rechten binnen folders in de mailbox.

http://community.office365.com/en-us/forums/158/t/71410.aspx
Hier staan ook links en tips vermeldt hoe rechten uit te delen.

Maar bedenk dat Outlook folder permissions altijd een tricky dingetje blijft. Standaard erft een submap de parent permissions als deze wordt AANGEMAAKT, maar niet achteraf . Als je dus achteraf permissies wilt wijzigen moet je dus op alle submappen weer rechten gaan geven, het wordt al snel een hoop gedoe..

En net als je een mooie map structuur denkt te hebben, maakt iemand met wijzigings rechten een ander mapje aan met weer andere permissies en kun je weer van voren af aan beginnen.

Dit kun je uiteraard allemaal wel gaan scripten via Powershell maar bedenk dat hoe "mooi" jij het ook wilt maken, op een gegeven moment heb je er een dagtaak aan om permissies bij te gaan houden en wijzigen op een mailbox notabene.

Bij veel bedrijven waar ik voor werk wordt er als volgt gedaan:

Een shared mailbox met één of meerdere security groepen. De security groepen hebben bepaalde rechten, bijv Full Mailbox access en/of Send-as. Beheer van de security groepen ligt louter in handen van IT beheerders en deze doen weinig anders dan mensen lid maken van de groepen of ze eruit verwijderen naar gelang een verzoek voor toegang, OF er wordt een persoon uit de organisatie als "Mailbox owner" aangewezen en deze krijgt rechten gedelegeerd om leden van de security groepen toe te voegen of verwijderen. Het aantal mensen met toegang wordt bewust relatief laag gehouden, je kan immers niet zien wie een bepaalde actie in een mailbox uitvoert.

De "mailbox owners" wordt op straffe des doods digitale verbanning verboden om ook maar op enige wijze te gaan rommelen met client permissies op de mappen.

OF

Er wordt een shared mailbox aangemaakt, 1 persoon wordt aangewezen als mailbox owner en deze krijgt full mailbox access. Dit is voor secretaresses en afdelingshoofden die het graag helemaal zelf in de hand willen houden....

Het is vervolgens aan hem of haar om lees/schrijf rechten uit te delen op mappen in de mailbox middels client permissies en Outlook. IT beheer onthoudt zich van elke bemoeienis met verdere rechten binnen de mailbox en de mailbox owner zoekt het maar lekker zelf uit.
Op een moment dat een mailbox zo'n beetje onbruikbaar is geworden doordat er duizend submappen in staan en de mailbox owner zelf ook niet meer weet wie er rechten heeft op welke map, wordt de mailbox door IT beheer simpelweg geëxporteerd en opnieuw aangemaakt, inhoud weer teruggeplaatst, waarna de mailbox owner weer fris en fruitig opnieuw kan beginnen.

[ Voor 7% gewijzigd door akimosan op 23-05-2013 20:49 ]

[tel2]

akimosan schreef op donderdag 23 mei 2013 @ 20:40:
Add-MailboxPermission is voor rechten op de mailbox en wie deze rechten kan lezen en uitdelen..
Add-MailboxFolderPermission is voor rechten binnen folders in de mailbox.

http://community.office365.com/en-us/forums/158/t/71410.aspx
Hier staan ook links en tips vermeldt hoe rechten uit te delen.

Maar bedenk dat Outlook folder permissions altijd een tricky dingetje blijft. Standaard erft een submap de parent permissions als deze wordt AANGEMAAKT, maar niet achteraf . Als je dus achteraf permissies wilt wijzigen moet je dus op alle submappen weer rechten gaan geven, het wordt al snel een hoop gedoe..

En net als je een mooie map structuur denkt te hebben, maakt iemand met wijzigings rechten een ander mapje aan met weer andere permissies en kun je weer van voren af aan beginnen.

Dit kun je uiteraard allemaal wel gaan scripten via Powershell maar bedenk dat hoe "mooi" jij het ook wilt maken, op een gegeven moment heb je er een dagtaak aan om permissies bij te gaan houden en wijzigen op een mailbox notabene.

Bij veel bedrijven waar ik voor werk wordt er als volgt gedaan:

Een shared mailbox met één of meerdere security groepen. De security groepen hebben bepaalde rechten, bijv Full Mailbox access en/of Send-as. Beheer van de security groepen ligt louter in handen van IT beheerders en deze doen weinig anders dan mensen lid maken van de groepen of ze eruit verwijderen naar gelang een verzoek voor toegang, OF er wordt een persoon uit de organisatie als "Mailbox owner" aangewezen en deze krijgt rechten gedelegeerd om leden van de security groepen toe te voegen of verwijderen. Het aantal mensen met toegang wordt bewust relatief laag gehouden, je kan immers niet zien wie een bepaalde actie in een mailbox uitvoert.

De "mailbox owners" wordt op straffe des doods digitale verbanning verboden om ook maar op enige wijze te gaan rommelen met client permissies op de mappen.

OF

Er wordt een shared mailbox aangemaakt, 1 persoon wordt aangewezen als mailbox owner en deze krijgt full mailbox access. Dit is voor secretaresses en afdelingshoofden die het graag helemaal zelf in de hand willen houden....

Het is vervolgens aan hem of haar om lees/schrijf rechten uit te delen op mappen in de mailbox middels client permissies en Outlook. IT beheer onthoudt zich van elke bemoeienis met verdere rechten binnen de mailbox en de mailbox owner zoekt het maar lekker zelf uit.
Op een moment dat een mailbox zo'n beetje onbruikbaar is geworden doordat er duizend submappen in staan en de mailbox owner zelf ook niet meer weet wie er rechten heeft op welke map, wordt de mailbox door IT beheer simpelweg geëxporteerd en opnieuw aangemaakt, inhoud weer teruggeplaatst, waarna de mailbox owner weer fris en fruitig opnieuw kan beginnen.

Bedankt voor je duidelijk uitgebreide reactie. Ik kon het antwoord nergens vinden, hier ga ik mee aan de slag.