【Office365参考書】配布グループとセキュリティグループの操作をおこなう管理者の役割

f:id:it-bibouroku:20200305151118j:plain

以前、ユーザーの役割について紹介いたしましたが、今回は、管理者の役割についてご紹介していきたいと思います。

全体管理者の場合、Exchange 管理者センターやセキュリティコンプライアンスセンターなど各管理センターにアクセスすることができます。

管理者の役割とは、一般のユーザーに対して Exchange 管理センターにアクセスして操作させたり、セキュリティコンプライアンスセンターにアクセスして操作させることができる機能です。

管理者の役割については、Exchange 管理センターとセキュリティコンプライアンスセンターに対して付与することが可能であり、他の管理センターにはアクセスすることができません。

方法としては、既存の役割を役割グループに対して付与し、その役割グループのメンバーにユーザーを含めることで可能となります。

なお、Exchange 管理センターの場合のみ、コマンドレットで役割をカスタマイズすることができ、より詳細に権限を付与することができます。

今回は、ユーザーに対して、配布グループとメールが有効なセキュリティグループの作成や削除や編集が可能な役割を付与する方法をご紹介していきたいと思います。

■ 1. Exchange 管理センターにて新たな役割グループを作成、ユーザーに付与します。

Exchange 管理センターへ全体管理者の ID でサインインします。
画面左側の [アクセス許可] をクリックします。
管理者の役割にて [+] ボタン (追加ボタン) をクリックします。
[名前] にて管理者の役割につける名前を任意に入力します。
[書き込みスコープ] にて手順 1. で作成した書き込みスコープを選択します。
[役割] のセクションにて [+] ボタン (追加ボタン) をクリックします。
役割の選択画面にて [Distribution Groups] と [Security Group Creation and Membership] を選択し、[追加] ボタンをクリックし、引き続き [OK] ボタンをクリックします。
[役割] のセクションに対象の役割が追加されたことを確認します。
[メンバー] のセクションにて [+] ボタン (追加ボタン) をクリックします。
[メンバーの選択] の一覧から権限を付与する対象ユーザーを選択し、[追加] ボタンをクリックし、引き続き [OK] ボタンをクリックします。11. [メンバー] のセクションに対象ユーザーが追加されたことを確認します。
[保存] をクリックします。

[Distribution Groups] が配布グループに関する役割、[Security Group Creation and Membership] がセキュリティグループに関する役割です。

■ 2. 管理者の役割を付与した一般ユーザーでの Exchange 管理センターの表示方法

ブラウザのアドレスバーに [https://outlook.office365.com/ecp] と入力しページへ移動します。
Exchange 管理センターが表示されますので、[受信者] > [グループ] にて作成や編集が可能です。

※ [管理者の役割] は 24 時間くらい時間がかかる場合があります。

さらに役割をカスタマイズして、配布グループの作成と削除の権限だけを付与してみたいと思います。

■ 1. 以下の PowerShell コマンドにて、新規のユーザー役割を作成します。

※コピー元の役割は Distribution Groups で指定します。

<構文>

New-ManagementRole -Parent <コピー元の役割> -Name <新しい役割名>

<実行例>

New-ManagementRole -Parent "Distribution Groups" -Name NewRemoveGroup

■ 2. Distribution Groups から不要なコマンドレットを削除します。

<構文>

Get-ManagementRoleEntry "役割名\*" |where {($_.name -notlike "New-DistributionGroup") -and ($_.name -notlike "Remove-DistributionGroup") -and ($_.name -notlike "Get-*")} | foreach {sleep -m 500; $cmd = ""; $cmd ="役割名\" + $_.Name ; Remove-managementroleentry -Identity $cmd -Confirm:$false }

<実行例>

Get-ManagementRoleEntry "NewRemoveGroup\*" |where {($_.name -notlike "New-DistributionGroup") -and ($_.name -notlike "Remove-DistributionGroup") -and ($_.name -notlike "Get-*")} | foreach {sleep -m 500; $cmd = ""; $cmd ="NewRemoveGroup\" + $_.Name ; Remove-managementroleentry -Identity $cmd -Confirm:$false }

{($_.name -notlike "New-DistributionGroup") -and ($_.name -notlike "Remove-DistributionGroup") -and ($_.name -notlike "Get-*")} の部分で、New-DistributionGroup (配布グループの作成) と Remove-DistributionGroup (配布グループの削除) と "Get-*" (閲覧のコマンドレット) を notlike で削除から対象外にしてます。
つまり、それ以外のコマンドレットは削除するという動作になります。