Exchange の役割ベースのアクセス制御 (RBAC) について

Exchangeとの統合のためにCloud Extender® を正しく実装するには、 Cloud Extender サービスアカウントが組織管理（2016以降）およびサービスアカウントのグローバル管理者権限（Exchangeドメインで利用可能な最高レベルのロール）を保有している必要があります。 O365 における証明書認証では、アプリケーションに対してグローバル管理者ロールが必要です。

組織管理者、組織管理者、およびグローバル管理者の各役割には、 Cloud Extenderが必要としない追加のアクセス権が含まれている場合があります。 Cloud Extender がこれらの追加の権限にアクセスできないように制限することができます。 Microsoft には、この問題に対処するための役割ベースのアクセス制御 (RBAC) 機能が用意されています。

Exchange 2016 以降では、RBAC を使用して、 Active Directory 内に Cloud Extender サービスの要件に限定されたカスタム ロール グループを作成します。 組織管理者権限を使用して Cloud Extender を正しく機能させる代わりに、この役割を Cloud Extender サービス・アカウントに割り当てることができます。 RBACはExchange 2016以降に適用されます。

要件

カスタムのロール グループは、Exchange 2016 以降または Office 365 のいずれかで作成できます。 カスタム役割グループを作成するには、以下のステップに従います。
  1. 役割に必要な権限を特定します。
    Cloud Extender は、以下の PowerShell コマンドを使用して Exchange サーバーと通信します。
    表 1. Cloud Extenderによって使用される PowerShell コマンド
    PowerShell コマンド 説明
    Get-PSSnapin Exchange ActiveSync で使用可能な PowerShell スナップインを判別します。
    Add-PSSnapin 使用可能な Exchange ActiveSync スナップインを追加します。
    Get-CASMailbox メールボックスのリストを収集し、メールボックス属性を表示します。
    Set-CASMailbox ユーザー・メールボックスの設定を変更します。
    Get-ActiveSyncDeviceStatistics デバイスのリストを収集して、デバイス属性を表示します。
    Get-MobileDeviceStatistics Get-ActiveSyncDeviceStatistics の Exchange 2013 または Office 365 Wave 15 バージョン。
    Get-ActiveSyncMailboxPolicy ポリシーのリストを収集し、ポリシー属性を表示します。
    Get-MobileDeviceMailboxPolicy Get-ActiveSyncMailboxPolicy の Exchange 2013 または Office Wave 15 バージョン。
    New-ActivesyncMailboxPolicy メールボックス・ポリシーを作成します。
    New-MobileDeviceMailboxPolicy New-ActiveSyncMailboxPolicy の Exchange 2013 または Office 365 Wave 15 バージョン。
    Remove-ActiveSyncMailboxPolicy メールボックス・ポリシーを削除します。
    Remove-MobileDeviceMailboxPolicy Remove-ActiveSyncMailboxPolicy の Exchange 2013 または Office 365 Wave 15 バージョン。
    Set-ActiveSyncMailboxPolicy ポリシーをユーザーのメールボックスに関連付けます。
    Set-MobileDeviceMailboxPolicy Set-ActiveSyncMailboxPolicy の Exchange 2013 または Office 365 Wave 15 バージョン。
    Clear-ActiveSyncDevice デバイスをワイプするか、ワイプ要求をキャンセルします。
    Clear-MobileDevice Clear-ActiveSyncDevice の Exchange 2013 または Office 365 Wave 15 バージョン。
    Remove-ActiveSyncDevice メールボックスへのデバイスの関連付けを削除します。
    Remove-MobileDevice Remove-MobileDevice の Exchange 2013 または Office 365 Wave 15 バージョン。
    Get-ActiveSyncOrganizationSettings Exchange 2010、2013、Office 365: 自動検疫状態を判別します。
    Set-ActiveSyncOrganizationSettings Exchange 2010、2013、Office 365: 新規自動検疫デフォルト・アクセス・レベルを設定します。
    Get-ExchangeServer Exchange サーバーのリストを取得し、サーバー役割およびバージョンを報告します。
    Get-Recipient メールボックスの数をカウントします。
  2. Cloud Extenderによって使用される PowerShell コマンドにアクセスできる、Exchange サーバー内の事前定義された役割を識別します。

    Exchange で新規役割を作成するには、Exchange サーバー内の 1 つ以上の既存の役割から新規役割を派生させる必要があります。 事前定義された各役割には異なるアクセス権のセットが含まれているため、複数のカスタム役割を作成して、 Cloud Extenderが必要とする PowerShell コマンドの完全なリストを含める必要があります。

  3. 特定した既存の役割を継承するカスタム役割を Exchange Server で作成します。

    各役割は、特定の既存の役割から作成されます。

  4. 新規カスタム役割から不要な PowerShell コマンドを削除します。

    管理者は、 Cloud Extenderが必要としない PowerShell コマンドへのアクセスを制限できます。

  5. すべての新規カスタム役割を結合した役割グループを作成します。

    この最終的な役割グループを Cloud Extender サービス・アカウントに割り当てます。

基本役割

カスタム役割を作成するためのテンプレートとして、以下の 5 つの基本役割のいずれかを使用します。
  • 組織クライアント アクセス
  • メール受信者
  • 表示専用構成
  • 受信者ポリシー
  • ユーザー オプション

これらの 5 つの役割グループを結合すると、 Cloud Extender が機能するために必要なすべての PowerShell コマンドへのアクセス権限が付与されます。 ただし、最良の方法は、 Cloud Extenderによって使用される PowerShell コマンドへのすべてのアクセス権を含む新しいカスタム役割を作成することです。 詳しくは、 Office 365 でのカスタム役割の作成 を参照してください。