Übersicht der benötigten Zugriffsrechte stanocPowerHelper.ps1
- Andreas Sauer
- Patrick Schneider
Vorgehensweise:
Man sucht sich in der Tabelle die für die eigene Umgebung relevanten Module/Prozesse und übernimmt dann die in der Spalte “Benötigte Role/Rechte” Einträge in dem entsprechenden Admin-Center in die Konfiguration.
Für ExchangeOnlineManagement:
Im Exchange Admin Center unter “Admin Roles” → “Roles” (https://admin.exchange.microsoft.com/#/adminRoles ) eine neue “Role Group” erzeugen, die Roles hinterlegen und die neu angelegten Role Group zuweisen:
Bei Basic Auth(Achtung, seit 1. Oktober 2022 deprecated): Dem User, dessen Credentials in der stanocPowerHelper.ps1 hinterlegt sind
Für die Kombination Modern Auth und App gilt, dass der App die “Exchange Administrator” Rolle im Azure AD zugewiesen werden muss - dort ist aktuell keine granularere Lösung verfügbar
Für AzureAD:
Im Azure AD Admin Center unter “App Registrations” ( https://aad.portal.azure.com/#view/Microsoft_AAD_IAM/ActiveDirectoryMenuBlade/~/RegisteredApps ) die stanocPowerHelper-App öffnen und unter “API Permissions” die API-Rechte (“Microsoft Graph API”, “Application”) suchen und hinzufügen
Hinweis zur Farbgebung:
Grün: ExchangeOnlineManagement (Rollen)
Gelb: AzureAD (MS Graph API Rechte)
Blau: lokales Active Directory
Modul | Prozess | genutzte PowerHelper-Befehle | genutzte PowerShell CMDlets | Benötigte Role / Rechte | Kommentare |
|---|---|---|---|---|---|
AC | Fremdes Adressbuch lesen | ReadAllMailBoxproperties ReadAllGroups
ReadUsers (Azure AD / AD)
ReadGroups (Azure AD) | Get-EXOMailbox Get-Mailbox Get-RemoteMailbox Get-CalendarProcessing Get-MailboxCalenderConfiguration Get-Group
Get-AzureADUser Get-ADUser Get-AzureADGroup | View-Only Recipients
User.Read.All
Directory.Read.All |
|
SWAP! | Exchange-Konten prüfen | ReadAllMailBoxproperties ReadAllGroups | Get-EXOMailbox Get-Mailbox Get-RemoteMailbox Get-CalendarProcessing Get-MailboxCalenderConfiguration
| View-Only Recipients |
|
SWAP! | Exchange-Weiterleitungen prüfen | ReadMailForward | Get-Mailbox | View-Only Recipients |
|
SWAP! | Zugriffsrechte auf Exchange-Postfächer prüfen | GetMailboxPermission | Get-EXOMailboxPermission Get-MailboxPermission | View-Only Recipients |
|
SWAP! | Aktion “Konto prüfen” | ReadMailBoxProperties ReadOneGroup | Get-Mailbox Get-EXOMailbox Get-Group | View-Only Recipients |
|
SWAP! | Aktion “Mailadressen/Weiterleitungen setzen” | DisableMailForward ConfigureMailForward | Set-Mailbox | Mail Recipients |
|
SWAP! | Aktion “Postfach erzeugen” | CreateMailbox | New-Mailbox New-RemoteMailbox | Mail Recipient Creation |
|
SWAP! | Aktion “Mailverteiler-Gruppe erzeugen” | CreateGroup | New-DistributionGroup | Security Group Creation and Membership |
|
SWAP! | Aktion “Sicherheitsgruppe erzeugen” | CreateGroup | New-DistributionGroup | Security Group Creation and Membership |
|
SWAP! | Aktion “Microsoft 365 Gruppe erzeugen” | CreateGroup | New-UnifiedGroup | Mail Recipients |
|
SWAP! | Aktion “Ausrüstung erzeugen” | CreateResource | New-Mailbox New-RemoteMailbox Set-CalendarProcessing Set-MailboxCalendarConfiguration | Mail Recipient Creation Mail Recipients |
|
SWAP! | Aktion “Raum erzeugen” | CreateResource | New-Mailbox New-RemoteMailbox Set-CalendarProcessing Set-MailboxCalendarConfiguration | Mail Recipient Creation Mail Recipients |
|
SWAP! | Aktion “Domino-Gruppenmitglieder in Exchange-Gruppenmitglieder übernehmen” | AddGroupMembers | Add-DistributionGroupMember Add-UnifiedGroupLinks | Distribution Groups Mail Recipients |
|
SWAP! | Aktion “Domino-Mailadresse(n) als Exchange-Alias(e) setzen | SetMailAlias (AD)
AddMailAddress | Set-ADUser Get-ADUser Set-Mailbox |
Mail Recipients |
|
SWAP! | Aktion “Domino-Zugriff auf Exchange-Postfach übertragen” | AddMailboxPermission RemoveMailboxPermission | Add-RecipientPermission Add-MailboxPermission Remove-MailboxPermission | Mail Recipients |
|
SWAP! | Exchange - Mailverteilergruppe erzeugen | CreateGroup | New-DistributionGroup | Security Group Creation and Membership |
|
SWAP! | Exchange - Sicherheitsgruppe erzeugen | CreateGroup | New-DistributionGroup | Security Group Creation and Membership |
|
SWAP! | Exchange - Microsoft 365 Gruppe erzeugen | CreateGroup | New-UnifiedGroup | Mail Recipients |
|
SWAP! | Exchange - Domino-Gruppenmitglieder in Exchange-Gruppenmitglieder übernehmen | AddGroupMembers | Add-DistributionGroupMember Add-UnifiedGroupLinks | Distribution Groups Mail Recipients |
|
SWAP! | Exchange - Domino-Zugriffe auf Exchange-Benutzer-Postfach übertragen | AddMailboxPermission RemoveMailboxPermission | Add-RecipientPermission Add-MailboxPermission Remove-MailboxPermission | Mail Recipients |
|
SWAP! | Exchange - Domino-Zugriffe auf Exchange-gemeinsames-Postfach übertragen | AddMailboxPermission RemoveMailboxPermission | Add-RecipientPermission Add-MailboxPermission Remove-MailboxPermission | Mail Recipients |
|
SWAP! | Exchange - Weiterleitung nach Domino - wenn nicht durch Verbindung kontrolliert - setzen | DisableMailForward ConfigureMailForward | Set-Mailbox | Mail Recipients |
|
SWAP! | Azure Active Directory-Konten prüfen | ReadUsers (Azure AD) ReadGroups (Azure AD) | Get-AzureADUser Get-AzureADGroup | User.Read.All Directory.Read.All |
|
SWAP! | Azure Active Directory - inaktiven Benutzer in Ausrüstung umwandeln | ConvertToNonUserMailbox (MSOnline / ExchangeOnline) | Set-Mailbox | Mail Recipients |
|
SWAP! | Azure Active Directory - inaktiven Benutzer in gemeinsames Postfach umwandeln | ConvertToNonUserMailbox (MSOnline / ExchangeOnline) | Set-Mailbox | Mail Recipients |
|
SWAP! | Azure Active Directory - inaktiven Benutzer in Raum umwandeln | ConvertToNonUserMailbox (MSOnline / ExchangeOnline) | Set-Mailbox | Mail Recipients |
|
SWAP! | Active Directory-Konten (lokal) prüfen | ReadUsers (AD) ReadGroups (AD) | Get-ADUser Get-ADGroup |
|
|
SWAP! | Active Directory - Gruppen für Mailverteiler erzeugen | CreateGroup (AD) | New-ADGroup Add-ADGroupMember Get-ADGroup Get-ADObject |
|
|
SWAP! | Active Directory - Gruppen für Sicherheit erzeugen | CreateGroup (AD) | New-ADGroup Add-ADGroupMember Get-ADGroup Get-ADObject |
|
|
SWAP! | Active Directory - Domino-Gruppenmitglieder in Active Directory-Gruppenmitglieder übernehmen | AddGroupMembers (AD) | Set-ADGroup Get-ADGroup Get-ADObject |
|
|
SWAP! | Active Directory - inaktiven Benutzer zum Umwandeln in Ausrüstung erzeugen | CreateUser (AD) | New-ADUser Get-ADUser |
|
|
SWAP! | Active Directory - inaktiven Benutzer zum Umwandeln in gemeinsames Postfach erzeugen | CreateUser (AD) | New-ADUser Get-ADUser |
|
|
SWAP! | Active Directory - inaktiven Benutzer zum Umwandeln in Raum erzeugen | CreateUser (AD) | New-ADUser Get-ADUser |
|
|