8MATE FOR EXCHANGE. Version 5.0

Transkript

1 8MATE FOR EXCHANGE Version 5.0

2 2 Haftungsausschluss Die in diesem Handbuch gemachten Angaben können sich jederzeit ohne vorherige Ankündigung ändern und gelten als nicht rechtsverbindlich. Die beschriebene Software 8MAN wird von protected-networks.com im Rahmen einer Nutzungsvereinbarung zur Verfügung gestellt und darf nur in Übereinstimmung mit dieser Vereinbarung eingesetzt werden. Dieses Dokument darf ohne die vorherige schriftliche Erlaubnis von protectednetworks.com weder ganz noch teilweise in irgendeiner Form reproduziert, übermittelt oder übersetzt werden, sei es elektronisch, mechanisch, manuell oder optisch. Dieses Dokument ist in einer Einheit zu denen auf der Website von protected-networks.com veröffentlichten rechtlichen Hinweisen AGB, EULA und der Datenschutzerklärung zu sehen. Urheberrecht 8MAN ist eine geschützte Bezeichnung für ein Programm und die entsprechenden Dokumente, dessen Urheberrechte bei protectednetworks.com GmbH liegen. Marken und geschäftliche Bezeichnungen sind auch ohne besondere Kennzeichnung Eigentum des jeweiligen Markeninhabers.

3 3 8MATE for Exchange Systemvoraussetzungen Besonderheiten/Einschränkungen Exchange Scanvorbereitung Exchange 2007 Scanvorbereitung Exchange 2010 Scanvorbereitung Exchange Web Service - Impersonation Exchange Scankonfiguration Exchange Server- und Kollektorauswahl in der 8MAN Konfiguration Exchange Scaneinstellungen in der 8MAN Konfiguration Exchange Scaneinstellungen in den Konfigurationsdateien Exchange in 8MAN Ressourcen-Ansicht Postfach - Anzeige von Zusatzinformationen Report für öffentliche Ordner: Wer hat welchen Zugriff?... 21

4 4 8MATE FOR EXCHANGE Der 8MATE for Exchange unterstützt Exchange ab der Version Für mögliche Fallstricke und Probleme soll dieses Dokument Unterstützung liefern. Da 8MAN Scans mit der PowerShell und dem Exchange Web Service durchführt werden, gibt es folgende Einschränkungen: - Für die Abfrage von Postfachordnern ist mindestens Exchange 2007 SP1 erforderlich. (EWS Support ab dieser Version) - Abwesenheitsnotizen können erst mit Exchange 2010 ausgelesen werden. (Impersonierung nicht möglich) Folgende Funktionen stellt der 8MATE for Exchange derzeit zur Verfügung: - Anzeige der Öffentlichen Ordner mit Zugriffsberechtigungen und Statistikinformationen in der Ressourcen-Ansicht - Anzeige der Postfächer mit Zugriffsberechtigungen, Statistikinformationen und weiteren Detailinformationen in der Ressourcen-Ansicht - Anzeige der Postfachordner mit Zugriffsberechtigungen und Statistikinformationen in der Ressourcen-Ansicht - Für ein ausgewähltes Postfach bzw. einen Ordner werden in der Ressourcen-Ansicht rechts die Berechtigungen und darunter die Berechtigungspfade für jeden berechtigten Benutzer angezeigt - In der Ressourcen-Ansicht werden unter der Baumansicht alle Ordner mit geänderten Berechtigungen angezeigt. - Unterstützung der isearch für Postfächer, Postfachordner und Öffentliche Ordner - Das Szenario Wo hat Benutzer x Zugriff? wird unterstützt - Berechtigungsreport für Öffentliche Ordner 1 SYSTEMVORAUSSETZUNGEN Zwingende Voraussetzung zum Scannen von Exchange ist eine lokal installierte PowerShell 2.0 oder höher. Von dem Rechner, der den Scan ausführt sollte weiterhin eine Verbindung zu einem Exchange Client Access Server möglich sein. Achten Sie bitte auf vorhandene Firewalls die ggf. Autodiscovery oder eine Verbindung zum Exchanger verhindern. Zusätzliche Anforderungen unter Exchange 2007: Lokal installierte Exchange Management Tools

5 5 2 BESONDERHEITEN/EINSCHRÄNKUNGEN - Statistikinformationen zu Öffentlichen Ordnern werden nicht abgerufen, wenn nicht alle Öffentlichen Ordner abgerufen werden sollen (Siehe auch: Kap.4.2) - administrative Berechtigungen auf öffentlichen Ordnern werden nicht ausgelesen - An den Postfächern werden nur die folgenden Active Directory Berechtigungen gelesen: SendAs, ReceiveAs und ms-exch-epi-may-impersonate - über Hinweise auf weitere besondere beachtenswerte Rechte freuen wir uns natürlich - Folgende Informationen werden zusätzlich zu den Berechtigungen zu jedem Postfach abgerufen: o Postfachweiterleitungen, o Send-On-Behalf-Rechte, o aktivierte Abwesenheitsnotizen ohne Nachrichtentext o und Stellvertretungen (bei aktiviertem Scan mit Exchange Web Service, siehe auch: Kap. 4.2) - Da bei einer großen Menge von Postfächern die Übersicht leidet, werden ab einer Menge von 200 Postfächern, die Postfächer in Kategorien á maximal Postfächer aufgeteilt. Diese Aufteilung gibt es nicht im Szenario. Die Aufteilung geschieht auf Basis der sn Eigenschaft im Active Directory. Das Feld kann über eine Einstellung (siehe auch: Kap ) geändert werden

6 6 3 EXCHANGE SCANVORBEREITUNG 3.1 Exchange 2007 Scanvorbereitung Für den Scan von Exchange 2007 benötigt 8MAN das PowerShell SnapIn der Exchange Management Tools. (Microsoft.Exchange.Management.PowerShell.Admin) Das SnapIn wird durch einen Exchange Server oder die Exchange Management Tools zur Verfügung gestellt. Dazu kann entweder ein 8MAN Kollektor auf einem Exchange Server installiert werden (nicht empfohlen), auf einem Rechner mit installierten Exchange Management Tools installiert werden (empfohlen) oder die Management Tools auf dem Computer des 8MAN Servers installiert werden (nicht unbedingt empfehlenswert). Mit den Exchange Management Tools wird das nötige SnapIn installiert und für die PowerShell registriert Berechtigungen für den Scanaccount Die Anmeldung für den Exchangescan muss zumindest Mitglied der Gruppe Exchange View-Only Administrators sein. Da bei dem Scan auch die Auflösung von Distinguished Names durchgeführt wird und die Berechtigungen auf einem Postfach teilweise auch direkt am Postfachbenutzer gesetzt werden, muss der Account auch über Leserechte im Active Directory verfügen. Zum Abruf von Stellvertretungsregeln und Postfachordnern sind weiterhin Impersonierungsrechte notwendig. Lesen Sie bitte hierzu weiter unter: Exchange Web Service - Impersonation Exchange Web Service in Exchange 2007 Postfachordner können in Exchange 2007 über den Exchange Web Service abgerufen werden. Leider arbeitet der Exchange Web Service nicht sehr schnell und der Scan der Postfachordner kann unter Exchange 2007 einige Zeit in Anspruch nehmen. Um dieses Problem ein wenig zu lindern, werden die Postfachinhalte parallel abgerufen. Stellvertretungsregeln werden auch über den Exchange Web Service abgerufen. Für detaillierte Informationen zum Exchange Web Service lesen Sie bitte unter: Exchange Web Service - Impersonation Mögliche Probleme Wenn der Scan nicht ausgeführt werden kann, funktionieren ggf. die Exchange Management Tools nicht. Ist das Ausführen der Exchange Management Shell mit dem Scanaccount möglich, prüfen Sie die 8MAN Log Dateien oder kontaktieren Sie ihren Vertriebspartner bzw. protected-networks.

7 7 3.2 Exchange 2010 Scanvorbereitung Exchange 2010 unterstützt das Verbinden mit dem Exchange Server über eine Remote PowerShell Verbindung. Dafür ist nur eine lokale PowerShell nötig und keine Exchange Management Tools. Ein Exchange Scan kann also von einem beliebigen 8MAN Kollektor ausgeführt werden. Die Verbindung wird allerdings über einen Client Access Server, der in der aktuellen Active Directory Site sein muss, hergestellt Die richtige Site Auf dem Exchange Client Access Server gibt es eine Site mit dem Namen PowerShell. Über diese Site verbindet sich der 8MAN über die PowerShell mit Exchange. Im Standard werden bei remote PowerShell Verbindungen nicht alle PowerShell Features unterstützt, so lassen sich leider keine Skripte ausführen. Skripte werden aber bei dem Exchange Scan benötigt. Dazu ist folgende Einstellung notwendig: Öffnen Sie die IIS Konfiguration auf dem Server auf dem der Scan ausgeführt werden soll. In der web.config der PowerShell Site in der appsettings Sektion gibt es eine Einstellung PSLanguageMode. Bei dieser Einstellung muss auf FullLanguage stehen. Sie können dazu 1. Entweder die Einstellung direkt ändern. Damit ermöglichen Sie allen Berechtigten Zugriff über die remote Exchange Verbindung. 2. Oder Sie kopieren diese Site und ändern die Einstellung auf der Kopie. Bei der Kopie haben Sie die Möglichkeit nur dem 8MAN Scanaccount das Recht zu geben auf diese Site zuzugreifen. (Siehe auch: Wenn sie Änderungen an den Eigenschaften der Website vorgenommen haben, müssen sie den Webserver neustarten.

8 Zusatzeinstellungen in der Scankonfiguration in Exchange 2010 Für den Exchange Scan sind zusätzlich folgende Einstellungen in 8MAN notwendig (Vergleich Kap ): Auf dem Dialog können Sie die zu verwendende Webseite und den Authentifizierungsmechanismus einstellen. Im unteren Teil des Dialogs finden Sie die Adresse, die der Scanner verwenden wird. Im Standardfall verbindet sich der 8MAN mit der Default PowerShell Webseite auf dem Exchange Client Access Server. Die Site PowerShell existiert auf allen Exchange Client Access Servern. Wollen Sie allerdings, dass der 8MAN Scan auf einer anderen Webseite durchgeführt werden soll, ändern Sie die Einstellung in der Scankonfiguration. exadmin ist in diesem Fall eine Webseite mit eingerichtetem FullLanguage Support. Im Standardfall verbindet sich der 8MAN mit dem Default Authentifizierungsmechanismus zu dem Exchange Client Access Server. Bitte wählen Sie einen Authentifizierungsmechanismus, der im IIS für diese Webseite aktiviert ist. Default, Basic und Kerberos sollten die üblichen Mechanismen sein und wurden bei unseren Tests auch erfolgreich verwendet. Das Bild unten beschreibt beispielhaft mögliche Einstellungen. Im Standardfall verbindet sich der 8MAN zum Exchange Client Access Server mit dem voll qualifizierten Servernamen. Wenn dies nicht möglich ist, funktioniert ggf. die Verbindung über den einfachen Servernamen. Aktivieren oder deaktivieren Sie dazu die Checkbox auf dem Dialog. Wir empfehlen außerdem die https Unterstützung auf dem IIS Server zu aktivieren. Wenn die Site keine https Verbindungen zulässt, warnt der Scanner während des Scans.

9 Berechtigungen für den Scan Account Der Scanaccount muss zumindest Mitglied der Gruppe View-Only Organization Management sein. Da bei dem Scan auch die Auflösung von Distinguished Names durchgeführt wird und Berechtigungen teilweise auf dem Active Directory Postfachbenutzer gelesen werden, muss der Scanaccount auch über Leserechte im Active Directory verfügen. Beachten Sie, wenn der Scanaccount nur Mitglied der Organization Management Gruppe ist, ggf. nicht alles lesen kann, weil z.b. Postfachinhalte durch Deny-Rechte geschützt sind. Als Mitglied der Organization Management Gruppe ist es z.b. nicht möglich, die Stellvertretungsregelung abzurufen, weil die Impersonierung fehlschlägt. Zum Abruf von Stellvertretungsregeln sind weiterhin Impersonierungsrechte notwendig. Lesen Sie bitte hierzu weiter unter: Exchange Web Service - Impersonation Exchange 2010 und Throttling Für den Abruf von Stellvertretungen wird auch in Exchange 2010 der Exchange Web Service verwendet. Der Scan orientiert sich an den gegebenen Throttlingeinstellungen des Exchange Servers für den Scanaccount. Sie können den Scan also mit einer optimalen Throttlingeinstellung beschleunigen. (Siehe auch: Interessant ist vorrangig die Einstellung EWSMaxConcurrency. Sie beeinflusst die Anzahl der parallelen Abfragen, mit denen der Scan die Stellvertretungsregeln abruft. (Siehe auch: Postfachkategorien verhindern und Exchange 2010 Throttling Factor) Für detaillierte Informationen zum Exchange Web Service lesen Sie bitte unter: Exchange Web Service - Impersonation Selbstversuch in der PowerShell Falls Sie die Einstellungen einmal in der PowerShell direkt probieren wollen, verwenden Sie bitte folgende Vorgehensweise: 1. Starten Sie eine PowerShell Konsole (möglichst mit der Anmeldung die auch für die Remote Session verwendet werden soll, sonst gibt s unverständliche Access Denied Meldungen) 2. Erzeugen Sie ein Credential Objekt mit $cred = get-credential 3. Erzeugen Sie ein SessionOption Objekt (Ausschalten aller Checks für den Test) mit $so = New-PSSessionOption -SkipCACheck -SkipCNCheck SkipRevocationCheck 4. Erzeugen Sie eine Session (URI und Authentication (Authentifizierungsmechanismus) müssen Sie ggf. ändern, eine https Verbindung wird empfohlen sollte aber nicht zwingend notwendig sein) $session = New-PSSession -configurationname Microsoft.Exchange -connectionuri -Credential $cred -SessionOption $so -Authentication Kerberos 5. Betreten der Session und Sie können cmdlets ausführen (welche ausführbar sind, ist von den Rechten abhängig) Enter-PSSession $session Fehler bei Verbindungen mit der Remote PowerShell

10 10 Leider existieren ein paar Fallstricke, die die remote Verbindung mit dem Exchange Server nicht möglich machen. Neben der bereits unter Die richtige Site erwähnten notwendigen Sprachunterstützung gibt es folgende: 1. Nicht aktivierte Authentifizierungsmechanismen: 8MAN versucht im Standardfall eine Verbindung mit dem Standard/Default Authentifizierungsmechanismus herzustellen. Falls das nicht möglich ist, prüfen Sie bitte folgende Punkte: a. Der Authentifizierungsmechanismus ist auf der IIS Site nicht aktiviert. Nach einer Aktivierung und einem Neustart der WebSeite sollte es keine Probleme geben. b. Wenn Sie diesen nicht aktivieren möchten, können Sie einen anderen Authentifizierungsmechanismus verwenden. Passen Sie dazu die Einstellung in der Scankonfiguration an. (Siehe Zusatzeinstellungen in der Scankonfiguration in Exchange 2010) 2. Der voll qualifizierte Servername ist nicht erreichbar Manchmal ist der Client Access Server nicht über den voll qualifizierten Servernamen erreichbar, ggf. reicht es nur den Servernamen zu verwenden, passen Sie dafür die Einstellung in der Scankonfiguration an. (Siehe Zusatzeinstellungen in der Scankonfiguration in Exchange 2010) Es ist möglich, dass eine Firewall die Verbindung mit dem Exchange Server verhindert. Bitte prüfen Sie auch die Firewall Einstellungen. 3. Kein Zugriff beim Verbinden Wenn Sie einen solchen Fehler im Log des 8MAN bei den Verbindungsversuchen zu einem Client Access Server finden, liegt es daran, dass der Scanaccount keinen Zugriff auf die Webseite hat. Ändern Sie hierzu auf dem IIS die Berechtigung an der anzusprechenden Site (Standard PowerShell ). Auf unserer Testumgebung funktionierten sogar nur direkte Berechtigungen, jedoch keine indirekten Berechtigungen über die Gruppenmitgliedschaft in der Administratoren Gruppe (Standardberechtigung auf diesen Webseiten).

11 11 Im Bild oben sehen Sie beispielhaft die in unserer Testumgebung gesetzten Berechtigungen. 3.3 Exchange Web Service - Impersonation Während über die PowerShell administrative Informationen (die Struktur selbst und Berechtigungen auf den Objekten) von Exchange über Postfächer und Öffentliche Ordner abgerufen werden können, ist es möglich über den Exchange Web Service auf die Inhalte zuzugreifen. Stellvertretungsregeln können bisher lediglich über den Exchange Web Service abgerufen werden. Achtung! Das Abrufen von Postfachinhalten kann mit Datenschutzrichtlinien in Ihrem Unternehmen kollidieren. Bereits aus der Ordnerstruktur eines Postfachs lassen sich ggf. pikante Informationen ableiten. Bevor Sie sich entscheiden Postfachordner abzurufen, sollten Sie prüfen, ob es rechtlich möglich ist, diese abzurufen und einzusehen. Bitte beachten Sie, dass die Impersonierung nur auf aktiven Active Directory Accounts funktioniert. Zugriffe auf den Exchange Web Service geschehen immer im Kontext des Postfachbenutzers, dazu benötigt der Scanaccount das Recht zu impersonieren. Impersonierungsrechte werden in Exchange 2007 und 2010 unterschiedlich verwaltet und konfiguriert. Für die Einrichtung der Impersonierung folgen Sie bitte diesen Links: - Exchange 2007: Zusammenfassung: Die Impersonierung muss im ersten Schritt für jede einzelne Postfachdatenbank aktiviert warden. Im zweiten Schritt muss die Scananmeldung das Impersonierungsrecht für explizit genannte oder alle Postfächer einer Postfachdatenbank erhalten. - Exchange 2010: Zusammenfassung: Unter Exchange 2010 muss dem Scanaccount nur eine Managementrolle zugewiesen werden, in der explizit das Impersonierungsrecht vergeben wird.

12 12 Der Exchange Web Service muss nicht gesondert adressiert werden, der Zugriff erfolgt wie in Outlook über eine Autodiscovery Funktion. Falls diese einmal hakt, könnte es an folgenden Problemen liegen: 1. Eine Firewall verhindert die Benutzung der Autodiscovery Funktion Prüfen Sie hierfür ggf. auf verworfene Pakete in der Firewall 2. Der zuständige CAS Server ist nicht erreichbar Führen Sie hierfür den Autodiscovertest in Outlook durch Mit einem Rechtsklick bei gedrückter Strg-Taste auf das Outlook Icon im Informationsbereich erscheint obiges Kontextmenü. Mit einem Klick auf -AutoKonfiguration testen kann die Autodiscovery Funktion direkt in Outlook getestet werden. 3. Wenn die Beiden obigen Vorschläge keine Hinweise liefern, prüfen Sie bitte das Serverlog und schicken Sie es an ihren Vertriebspartner bzw. an protected-networks.

13 13 4 EXCHANGE SCANKONFIGURATION 4.1 Exchange Server- und Kollektorauswahl in der 8MAN Konfiguration In der Scans-Ansicht klicken Sie auf. Im Exchange-Auswahldialog können Sie die für die Ressourcensuche zu verwendende Anmeldung (standardmäßig werden zum Lesen des AD die Anmeldedaten aus der Basiskonfiguration [Dokument 8MAN Installation und Konfiguration Kap ] übernommen), den zu scannenden Exchange Server und den Kollektor für den Scan auswählen (weitere Informationen zum Kollektor im Dokument 8MAN Installation und Konfiguration Kap ). Wenn Sie alle Einstellungen vorgenommen haben Exchange Scaneinstellungen vornehmen können. Anwenden.Es erscheint eine Konfigurations-Bubble in der Sie 4.2 Exchange Scaneinstellungen in der 8MAN Konfiguration Die übliche Scangeschwindigkeit ist derzeit 10 Elemente pro Sekunde. Wenn Sie nur eine Teilmenge für zu lesende Öffentliche Ordner festlegen, werden keine Statistikdaten abgerufen, weil das Auslesen dieser Daten dann extrem langsam ist.

14 14 Die Schaltflächen haben folgende Bedeutung (es werden nur Schaltflächen aufgeführt die Unterschiede zur AD-Scan- Konfigurations-Bubble [Dokument 8MAN Installation und Konfiguration Kap ] aufweisen): und Scanoptionen Exchange und Exchange Verbindungseinstellungen (Kap ) (Kap ) Postfachdetails -Dialog nur für Exchange (Kap ) Scanoptionen Exchange Im Scanoptionen-für-Exchange-Dialog können Sie Einstellungen für Postfächer und Öffentliche Ordner vornehmen Postfachdetails Im Postfachdetails-Dialog kann aktiviert werden, dass der Exchange Web Service beim Scan für Stellvertretungen benutzt wird (weitere Informationen zum Exchange Web Service Impersonation Kap. 3.3). Zu beachten sind hier insbesondere die möglichen Probleme mit dem Datenschutz. nach Aktivierung des Abrufs von Postfachdetails können Sie auch den Abruf von Postfachordnern aktivieren. Beachten Sie hier benötigte Impersonierungsrechte für den Scanaccount.

15 Exchange Verbindungseinstellungen Im Exchange-Verbindungseinstellungen-Dialog können Sie die Verbindung zu Exchange 2010 konfigurieren (weitere Informationen im Kap. Fehler! Verweisquelle konnte nicht gefunden werden.). 4.3 Exchange Scaneinstellungen in den Konfigurationsdateien Verschiedene Einstellungen können nicht in der Scan Konfiguration in der 8MAN Konfiguraton vorgenommen werden. Um doch Einfluss auf den Scan zu nehmen, gibt es ein paar Einstellungen die in den Konfigurationsdateien eingestellt werden können Postfachkategorien - Attributdefinition Im Standardfall sortiert der 8MAN die Postfächer ab 200 Postfächer in Kategorien anhand der Active Directory Eigenschaft sn. Die zu verwendende Eigenschaft kann über die Konfigurationsdatei auf ein beliebiges Textfeld aus dem Active Directory verändert werden. Dazu muss in der pnjob.config.xml auf dem Kollektor, auf dem der Scan durchgeführt wird, folgende Einstellung im Bereich <config> vorgenommen werden:

16 16 <collector.scanner.exchange.sortingpropertytype="system.string">sn</ collector.scanner.exchange.sortingproperty> Postfachkategorien - Kürzungsregeln Im Standardfall werden Kategorienbezeichnungen mit 10 Zeichen für Anfang und Ende erzeugt, sollte es anders sein, setzen sie folgende Einstellung in der pnserver.config.xml auf dem 8MAN Server im Bereich <config>: <exchange.categorylength type="system.int32">10</exchange.categorylength> Der mögliche Wertebereich ist 1 bis Postfachkategorien verhindern Im Standardfall werden ab einer Menge von 200 Postfächern Postfachkategorien erzeugt. Ein zu kleiner Scrollbalken auf der Ressourcen-Ansicht sorgt nicht gerade für Übersicht. Wenn dies allerdings nicht gewünscht ist, setzen sie folgende Einstellung in der pnserver.config.xml auf dem 8MAN Server im Bereich <config>: <exchange.mak boxcategories type="system.boolean">false </exchange.mak boxcategories> Die beiden möglichen Einstellungen sind true oder false. true für die Erzeugung von Kategorien. false für eine flache Liste von Postfächern in der Ressourcen-Ansicht Exchange 2010 Throttling Factor Im Standardfall verwendet der 8MAN beim Zugriff auf den Exchange Web Service die maximal durch die ThrottlingPolicy möglichen parallelen Anfragen. Falls die ThrottlingPolicy unbegrenzt viele Anfragen zulässt wird die Anzahl der Prozessoren mal 8 verwendet. Wenn dieser Faktor zu hoch oder zu niedrig ist, fügen Sie bitte folgende Einstellung in der pnjob.config.xml auf dem Kollektor, auf dem der Scan durchgeführt wird, im Bereich <config> ein: <collector.scanner.exchange.processormultiplierforunlimitedthrottling type="system.int32">8</ collector.scanner.exchange.processormultiplierforunlimitedthrottling> Ersetzen Sie 8 durch eine sinnvolle Zahl als Faktor. Die gegebene Zahl wird mit der Prozessoranzahl multipliziert, das Ergebnis ist die Anzahl der verwendeten parallelen Abfragen auf den Exchange Web Service.

17 17 5 EXCHANGE IN 8MAN 5.1 Ressourcen-Ansicht In der Ressourcen-Ansicht werden die Öffentlichen Ordner, Postfächer und Postfachordner angezeigt. Mehr als 1000 Postfächer werden in Kategorien sortiert nach Nachnamen eingeordnet (Active Directory Eigenschaft sn ). Das zu verwendende Feld im Active Directory lässt sich in den Konfigurationsdateien verändern. (Siehe auch: Postfachkategorien) Für jedes Postfach wird neben der Anzahl der enthaltenen Elemente auch deren Größe angezeigt. Ein Sende-und Empfangs- Quota-Check gibt Auskunft über erreichte Speicherplatzlimits: Postfachordner werden mit Berechtigungen angezeigt. Diese Informationen werden nur ausgelesen, wenn es in der Konfiguration explizit aktiviert ist und der Scan Account Impersonierungsrechte besitzt. Abweichende Berechtigungen werden im Fenster unter dem Ressourcen-Baum ausgehend vom aktuell gewählten Element angezeigt. Die Berechtigungsunterschiede werden immer zum direkt übergeordneten Element in der Ordnerstruktur berechnet.

18 18 Bei Selektion auf einen Eintrag werden rechts die aktuellen Berechtigungen mit den hinzugekommenen und entfernten Konten angezeigt. Für die Postfächer werden die Active Directory (SendAs, ReceiveAs und das Exchange 2007 Impersonierungsrecht) und Exchange Berechtigungen zusammen auf der rechten Seite dargestellt. Die Zugriffsberechtigungen können wie gewohnt als Baumansicht oder als flache Benutzerliste angezeigt werden. Schalten Sie dazu diese Option um. Berechtigungen - Baumansicht In der Baumansicht wird nach Berechtigungskategorien sortiert. Berechtigungen Gruppen/Benutzeransicht Hier wird nach den berechtigten Benutzer- bzw. Gruppenkonten sortiert. Die einzelnen Berechtigungskategorien sind dann in den Spalten eingetragen. Grant und Deny Berechtigungen werden dabei berücksichtigt.

19 Wo hat Benutzer Zugriff? (Szenario) Das Szenario unterstützt der 8MAN wie bei anderen Technologien auch. Zu beachten ist, dass bei eingeschalteter Jeder Prüfung die Exchange standardmäßig Berechtigung mit ausgewertet wird. 5.2 Postfach - Anzeige von Zusatzinformationen Die Exchange Datenbank, auf der das Postfach oder der Öffentliche Ordner verwaltet wird, wird ebenfalls angezeigt. Für alle Konten mit Berechtigungen werden die Berechtigungspfade einzeln im unteren rechten Bereich angezeigt Weiterleitung Administrative Weiterleitungen werden jetzt am Postfach auf der rechten Seite angezeigt. (Outlook Weiterleitungen, Mailaktivierte User und Kontakte, Richtlinien sowie die Weiterleitung der gesamten Domäne werden nicht ausgelesen).

20 Senden im Auftrag von Send-On-Behalf Rechte werden am Postfach auf der rechten Seite angezeigt Abwesenheit Abwesenheitsnotizen werden ab Exchange 2010 am Postfach auf der rechten Seite angezeigt. Dabei liest 8MAN nicht die Nachrichtentexte Stellvertretungen Stellvertretungen werden am Postfach auf der rechten Seite angezeigt. Diese Informationen werden nur ausgelesen, wenn es in der Konfiguration aktiviert ist und der Scanaccount Impersonierungs-Rechte besitzt. Um die das Lesen der Stellvertretungen zu ermöglichen lesen Sie bitte unter: Exchange Web Service - Impersonation

21 Report für öffentliche Ordner: Wer hat welchen Zugriff? Für die Öffentlichen Ordner können Sie einen Berechtigungs-Report erstellen. Dazu klicken Sie die Report-Schaltfläche in der Berechtigungsansicht oder über das Kontextmenü in der Ressourcen-Ansicht. Der Report selbst kann direkt gestartet werden oder als zeitgesteuerte Reportkonfiguration konfiguriert werden. Nach der Reporterstellung kann der Report über einen externen PDF Viewer angezeigt oder ausgedruckt werden. Versenden Sie den Report per oder speichern Sie ihn lokal ab.

22 In der 8MAN-Reportübersicht können Sie den Report ebenfalls einsehen unter der Reportkategorie Wer hat wo Zugriff?. 22

23 23 8MAN benutzt die WPF Toolkit Bibliothek v , Microsoft Corporation Über uns: Deutschland (Hauptsitz) UK USA protected-networks.com wurde 2009 in Berlin gegründet und entwickelt seitdem 8MAN, eine Software für Benutzer- und Berechtigungsmanagement unter dem Windows Betriebssystem. protected-networks.com GmbH Alt-Moabit Berlin Tel. +49 (030) Fax +49 (030) protected-networks.com 1 Stanhope Gate Camberley, Surrey, GU15 3DW +44 (0) uk@8man.com 8MAN USA, Inc. +1 (855) TRY-8MAN usa@8man.com