Role-Based Access Control (RBAC) Les permissions d’administration RBAC: Méthodologie ou Technologie pour gérer les permissions d’accès et les fonctions administratives dans Microsoft Exchange. RBAC fonctionne en réalité en assignant le droit d’exécuter des « Cmdlets » en fonction du rôle de l’utilisateur. RBAC utilise les “management roles” pour définir ce qu’un utilisateur peut faire. Assignation de rôles aux différents niveaux d’administrateurs ou utilisateurs spécialistes Gestion de Exchange: Création mailbox, gestion politiques, .. Assignation de rôles aux utilisateurs (non admin) Permissions aux usagers pour gérer les paramètres de leur boite aux lettres, leur information de contact (mettre à jour leur numéro de téléphone, …) ECP (Exchange Control Panel) pour gérer RBAC

3 Méthodes d’assignation de permission de gestion Direct Role Assignment Management Role Entry (Entrée de Rôle de Gestion) ou Role Entry Cmdlet individuel pour accomplir une action Get-mailbox est un « Role Entry » Management Role (Rôle de Gestion) ou Role Représente un groupe de cmdlets qui peuvent être exécutés par des utilisateurs à qui ce rôle est assigné. Mailbox Import Export, est un « Rôle » qui contient trois cmdlets ou role entries (get-mailbox, Import-Mailbox, Export-Mailbox) Management Role Group (Groupe de Rôle de Gestion) Ce sont des groupes de sécurité (11 par défaut) créés par Microsoft pour faciliter l’assignation des taches à des administrateurs ou à des utilisateurs Recipient Management est un des 11 « Role Group » Role Assignment Policy (Politique d’Assignation de Rôle) Est similaire au « Role Groupe » car c’est aussi un ensemble de rôles de gestion. La différence principale est que « Role Assignement Policy » est utilisé pour distribuer des rôles aux usagers tan disque « Role Group » est utilisé pour assigner des rôles aux administrateurs de Exchange. Les méthodes 2 et 3 sont les méthodes suggérées par Microsoft. La première méthode devrait être utilisée seulement si on veut une permission plus limitée.

Managment Role Groups (Groupes de rôle de gestion) Groupes de sécurité créés lors de la phase /Prepare AD de Setup Nécessaires pour l’opération adéquate de Exchange. Stockés dans OU « Microsoft Exchange Security Groups » Des rôles ( des droits ou permissions administratives) sont associés à chacun des groupes. À Chacun de ces groupes sont donc associés un ou plusieurs « management roles » Ne doivent pas être supprimés, déplacés, ou renommés. Approximativement 16 groupes de sécurité au total mais seulement 11 concernent les utilisateurs Tous des UGs

Les groupes de sécurité pour l’assignation des permissions On peut utiliser les groupes de sécurité de Exchange dans ADUC pour gérer les rôles administratifs En ajoutant un utilisateur ou un groupe à un Management Role Group, vous lui assignez les rôles permis à ce groupe.

Les principaux « Role Groups » Organization Management (Gestion de l’organisation) Membres possèdent contrôle total sur le conteneur Microsoft Exchange dans AD. Les administrateurs membres du groupe de rôles Gestion de l’organisation disposent d’un accès administratif sur toute l’organisation Microsoft Exchange 2010 et peuvent exécuter presque n’importe quelle tâche relative à un objet Exchange 2010. Ce groupe est membre du groupe Administrators (local admins) de tous les serveurs Exchange dans l’organisation. Recipient Management (Gestion des destinataires) Membres possèdent contrôle total sur les propriétés Exchange d’un objet usager de AD Peuvent changer les informations des usager (adresses, téléphone, …) à partir de Exchange mais non pas à partir de Active Directory… Création et suppression de mailbox, Modification de propriétés « non-Exchange » non permise. Delegated Setup Ce groupe donne à ses membres le droit de déployer un serveur Exchange 2010, mais pas de le gérer.

Les principaux « Role Groups » (suite) Discovery Management Un membre de ce groupe peut effectuer des recherches dans les boites aux lettres de l’organisation. Il peut aussi imposer ou utiliser la fonction «litigation hold» ou «legal hold» sur les boites aux lettres. Voir Capture d’écran à la fin de la présentation!!! View-Only Management Membres peuvent visualiser la configuration de Exchange Si vous avez un BES (Blackberry Enterprise Server), l’admin du BES serait membre de ce groupe. Help Desk Membres peuvent visualiser la configuration des récipiendaires. Peuvent gérer leur propre mailbox ….

ECP: Rôles Administrateur

RBAC pour usagers non admin Rôles assignés aux comptes des usagers en appliquant une politique de rôle « role policy assignment ». Déterminent ce que les usagers peuvent faire sur leur boite personnelle de courrier. Un seul « role policy assignement » peut être appliqué à un usager. Role Policy Assignement s’applique à partir des propriétés de la boite à lettre. Default Assignement Policy est créé lors du déploiement de Exchange.

Role Assignment Policy

Rôles des usagers

Role Group vs Role Assignment Policy Role Groups: rôles pour admins ou utilisateurs spécialistes Role Assignment Policy: rôles pour usagers réguliers

ECP via Toolbox (RBAC Editor)

Litigation Hold