好久沒有更新了，今天來講個Exchange2013中引入的特性RBAC（Role Based Access Control，即基于角色的訪問控制）。
微軟官方給出的Exchange 2013的RBAC架構(gòu)模型如下：
對此呢，小編并不敢茍同。小編認(rèn)為一個角色分配的三要素應(yīng)該是：
成員（而非角色組）：表示誰能執(zhí)行這些操作；
范圍：可以對哪些OU或?qū)ο髨?zhí)行操作；
角色：操作的內(nèi)容有哪些（包括命令及參數(shù)集）。
角色組的概念并非圖中所描述的決定誰有操作權(quán)限，而是角色的集合。例如我們可以看到收件人管理角色組下面有一堆角色，這就定義了這個角色組是由哪些角色組成的。
那角色是什么，角色是指令與參數(shù)的合集，這個在圖形界面下看不到，只有通過命令行查看，比如我們想看看Message Tracking角色能做點(diǎn)什么，輸入Get-managementRoleEntry ‘Message Tracking\*’
然后就獲得了這個角色所能調(diào)用的命令與參數(shù)。上周論壇里有個用戶詢問我，他用set-mailbox命令沒有辦法設(shè)置郵箱的Office屬性，即無法更新用戶的部門信息。我查看了這個用戶的所在角色組，是Server Management，這個角色組下的角色都是針對服務(wù)器的一些指令集，盡管有set-mailbox指令，但可用參數(shù)非常少。只有Mail Recipient這個角色有這條命令的全部參數(shù)。這個角色默認(rèn)隸屬于Recipient Management和Organization Management兩個角色組。
默認(rèn)的角色組并沒有涵蓋所有的默認(rèn)角色，比如說reset password，還有mailbox import export等角色不屬于任何默認(rèn)角色組，也就是默認(rèn)沒有人可以導(dǎo)入導(dǎo)出PST，或在Exchange里給用戶重置密碼。小編理解，這些都是信息安全高風(fēng)險操作，只有授權(quán)才能完成。當(dāng)然管理員可以給自己授權(quán)，但是一切都會被審計員所看到。
成員和范圍這邊不細(xì)說了，圖形界面就可以看到，無非是決定操作者和操作對象。操作對象可以是全局的，也可以限定在某個OU下面。
操作者就是命令的運(yùn)行者，小編粗粗統(tǒng)計了下，Exchange 2013 SP1下，Organization Management的操作者有700多條命令可以用，Server management和recipient management的管理員則只有400多條命令。
