Informazioni sui gruppi del ruolo di gestione

Si applica a: Exchange Server 2013

Un gruppo di ruoli di gestione è un gruppo di sicurezza universale (USG) usato nel modello di autorizzazioni RBAC (Role Based Controllo di accesso) in Microsoft Exchange Server 2013. Il gruppo di ruoli di gestione semplifica l'assegnazione dei ruoli di gestione a un gruppo di utenti. A tutti i membri di un gruppo di ruolo viene assegnato lo stesso insieme di ruoli. Ai gruppi di ruolo vengono assegnati ruoli di amministratore ed esperto che definiscono le principali attività amministrative in Exchange 2013, come la gestione dell'organizzazione, la gestione dei destinatari e altre attività. I gruppi di ruolo consentono di assegnare più facilmente una gamma più amplia di autorizzazioni a un gruppo di amministratori o di utenti esperti.

Livelli dei gruppi di ruoli

Di seguito vengono riportati i livelli che costituiscono il modello dei gruppi di ruolo:

• Membro del gruppo di ruoli: un membro del gruppo di ruoli è una cassetta postale, un gruppo di sicurezza universale (USG) o un altro gruppo di ruoli che può essere aggiunto come membro di un gruppo di ruoli. Quando una cassetta postale, un gruppo di protezione universale o un altro gruppo di ruoli viene aggiunto come membro di un gruppo di ruoli, le assegnazioni stabilite tra ruoli di gestione e il gruppo di ruoli vengono applicate al nuovo membro. Al nuovo membro vengono concesse tutte le autorizzazioni fornite dai ruoli di gestione.

• Gruppo di ruoli di gestione: il gruppo di ruoli di gestione è un gruppo di sicurezza usg speciale che contiene cassette postali, gruppi di sicurezza dell'utente e altri gruppi di ruoli membri del gruppo di ruoli. Qui è possibile aggiungere e rimuovere membri e individuare i ruoli di gestione assegnati. La combinazione di tutti i ruoli di un gruppo consente di definire ogni elemento gestibile dai membri aggiunti a un gruppo di ruoli nell'organizzazione di Exchange.

• Assegnazione del ruolo di gestione: un'assegnazione di ruolo di gestione collega un ruolo di gestione e un gruppo di ruoli. L'assegnazione di un ruolo di gestione a un gruppo consente ai membri del gruppo di utilizzare i cmdlet e i parametri definiti nel ruolo di gestione. Le assegnazioni di ruolo possono utilizzare gli ambiti di gestione per controllare dove può essere utilizzata l'assegnazione. Per ulteriori informazioni, vedere Informazioni sulle assegnazioni dei ruoli di gestione.

• Ambito del ruolo di gestione: un ambito del ruolo di gestione è l'ambito dell'influenza o dell'impatto su un'assegnazione di ruolo. Quando un ruolo viene assegnato con un ambito a un gruppo, l'ambito di gestione fa preciso riferimento agli oggetti che l'assegnazione può gestire. L'assegnazione e l'ambito vengono quindi forniti ai membri del gruppo di ruolo, che limita ciò che i membri possono gestire. Un ambito può essere costituito da un elenco di server o database, unità organizzative o filtri degli oggetti server, database o destinatari. Per ulteriori informazioni, vedere Comprensione degli ambiti di gestione dei ruoli.

• Ruolo di gestione: un ruolo di gestione è un contenitore per un raggruppamento di voci del ruolo di gestione. I ruoli vengono utilizzati per definire le specifiche attività che possono essere eseguite dai membri di un gruppo assegnato al ruolo. Per altre informazioni, vedere Informazioni sui ruoli di gestione.

• Voci del ruolo di gestione: le voci del ruolo di gestione sono le singole voci di un ruolo di gestione che forniscono l'accesso a cmdlet, script e altre autorizzazioni speciali che consentono l'accesso per eseguire un'attività specifica. Nella maggior parte dei casi, le voci di ruolo sono costituite da un unico cmdlet o script, dai parametri a cui è possibile accedere dal ruolo di gestione e dal gruppo a cui è stato assegnato il ruolo.

Nella seguente figura vengono illustrati tutti i livelli dei gruppi di ruolo dell'elenco precedente e come ogni livello si riferisca agli altri.

Per ulteriori informazioni su RBAC, vedere Controllo di accesso basato sui ruoli.

Gestione dei gruppi di ruoli

Quando si crea un gruppo di ruolo, viene creato il gruppo di protezione universale contenente i membri del gruppo e vengono create le assegnazioni tra il gruppo e i ruoli di gestione specificati. Eventualmente, è possibile specificare anche l'ambito di gestione da applicare alle assegnazioni di ruolo e aggiungere le cassette postali che si desidera far diventare membri del nuovo gruppo.

Dopo aver creato un gruppo di ruoli, ogni livello diventa un oggetto indipendente. Il gruppo di ruoli continua a essere il punto centrale in cui tutti i livelli vengono uniti, tuttavia ogni livello viene gestito singolarmente. Ad esempio, per modificare l'ambito di gestione applicato al gruppo di ruoli al momento della creazione, è necessario modificare l'ambito in ogni singola assegnazione di ruolo dopo la creazione del gruppo di ruoli. La gestione del modello del gruppo di ruoli viene eseguita usando i cmdlet che gestiscono i singoli livelli del modello del gruppo di ruoli.

Nella seguente tabella vengono elencati il livello dei gruppi di ruolo e gli argomenti relativi alle procedure utilizzabili per la gestione di ogni livello.

Argomenti relativi alla gestione dei gruppi di ruolo

Gruppi di ruoli incorporati

I gruppi di ruolo incorporati sono ruoli forniti con Exchange 2013. Forniscono un insieme di gruppi di ruolo utilizzabili per fornire vari livelli di autorizzazioni amministrative ai gruppi di utenti. È possibile aggiungere o rimuovere utenti da tutti i gruppi di ruolo incorporati. È possibile aggiungere o rimuovere anche assegnazioni di ruolo dalla maggior parte dei gruppi di ruolo. Di seguito vengono riportate le uniche eccezioni:

• Non è possibile rimuovere alcuna assegnazione del ruolo di delega dal gruppo di ruolo Gestione organizzazione.

• Non è possibile rimuovere il ruolo Gestione dei ruoli dal gruppo di ruolo Gestione organizzazione.

Nella seguente tabella vengono elencati tutti i gruppi di ruolo incorporati inclusi con Exchange 2013. Per ulteriori informazioni sui gruppi di ruolo incorporati, vedere Gruppi di ruoli incorporati.

Gruppi di ruoli collegati

I gruppi di ruolo collegati vengono utilizzati nelle organizzazioni che installano Exchange 2013 in una specifica foresta delle risorse e collocano gli utenti in altre foreste esterne attendibili. I gruppi di ruolo collegati, come suggerisce il nome, creano un collegamento tra un gruppo della foresta di Exchange e un gruppo di protezione universale di una foresta esterna. Risulta utile quando gli account utente dei Servizi di dominio Active Directory degli amministratori desiderati per amministrare Exchange non si trovano nella stessa foresta delle risorse di Exchange. I gruppi di ruolo collegati possono essere associati solo a un unico gruppo di protezione universale esterno. Inoltre, non è necessario creare un trust bidirezionale tra la foresta di Exchange e la foresta esterna. La foresta di Exchange deve rendere attendibile la foresta esterna, ma quest'ultima non deve rendere attendibile la foresta di Exchange.

Per ulteriori informazioni sulle autorizzazioni in topologie a più foreste, vedere Informazioni sulle autorizzazioni di più foreste.

Un gruppo di ruolo collegato è costituito da due parti:

• Gruppo di ruoli collegato: il gruppo di ruoli collegato è un oggetto contenitore che associa l'USG esterno alle assegnazioni di ruolo di gestione assegnate al gruppo di ruoli.
• Usg esterno: il gruppo di sicurezza statunitense esterno contiene i membri a cui devono essere concesse le autorizzazioni fornite dal gruppo di ruoli collegato.

Quando si crea un gruppo di ruolo collegato, viene fornito un controller di dominio nella foresta esterna contenente gli utenti desiderati per gestire la foresta di Exchange e il gruppo di protezione universale contenente tali utenti come membri, il nome del gruppo di protezione universale esterno e le credenziali necessarie per accedere alla foresta esterna. Exchange consente di aggiungere l'ID di sicurezza (SID) del gruppo di protezione universale esterno al gruppo di ruolo collegato. Siccome il SID del gruppo di protezione universale costituisce l'unica identificazione del gruppo di protezione universale esterno, se si dispone di più foreste esterne, si consiglia vivamente di specificare la foresta esterna nel nome del gruppo di ruolo.

Un gruppo di ruolo collegato non contiene alcun membro. Tutti i membri di tale gruppo vengono gestiti utilizzando il gruppo di protezione universale esterno. In altri termini, non è possibile utilizzare i cmdlet Update-RoleGroupMember, Add-RoleGroupMember o Remove-RoleGroupMember per aggiungere o rimuovere i membri del gruppo di ruolo. Quando si aggiungono membri al gruppo di protezione universale esterno, vengono concesse loro le autorizzazioni fornite dal gruppo di ruolo collegato.

Non è possibile modificare un gruppo di ruolo standard, contenente i propri membri, in un gruppo di ruolo collegato e viceversa. Se si desidera modificare un gruppo di ruolo standard in un gruppo di ruolo collegato, è necessario creare un nuovo gruppo di ruolo collegato e replicare le assegnazioni del ruolo di gestione presenti sul gruppo standard nel gruppo di ruolo collegato. Questo è il caso anche dei gruppi di ruolo incorporati, in quanto gruppi di ruolo standard. Se si desidera eseguire tutta la gestione della foresta di Exchange da una foresta esterna, è necessario creare nuovi gruppi di ruoli collegati e aggiungere i ruoli di gestione esistenti nei gruppi di ruoli incorporati ai nuovi gruppi di ruoli collegati. Per ulteriori informazioni su tale operazione, vedere Creare gruppi di ruoli collegato il mirroring di gruppi di ruoli incorporati.

Delega dei gruppi di ruoli

Per impostazione predefinita, i membri del gruppo di ruolo Gestione organizzazione possono aggiungere e rimuovere membri dai gruppi. Tuttavia, è possibile abilitare gli utenti non membri del gruppo di ruolo Gestione organizzazione ad aggiungere e rimuovere i membri del gruppo. In tal caso, è possibile utilizzare la delega dei gruppi di ruolo.

La delega dei gruppi di ruolo viene controllata dalla proprietà ManagedBy di ogni gruppo. La proprietà ManagedBy contiene un elenco di utenti che possono aggiungere e rimuovere membri da tale gruppo di ruolo o modificarne la configurazione. Agli utenti non viene assegnata alcuna autorizzazione fornita dal gruppo di ruolo, a meno che non siano anche membri del gruppo.

Se la proprietà ManagedBy è impostata su un gruppo di ruolo, solo gli utenti elencati come gestore dei gruppi di ruolo su tale proprietà possono modificare un gruppo o l'appartenenza di un gruppo per impostazione predefinita. Tuttavia, un parametro facoltativo sui cmdlet, che modificano i gruppi di ruolo o l'appartenenza al gruppo, può ignorare tale restrizione. L'opzione BypassSecurityGroupManagerCheck può essere usata dagli utenti membri del ruolo Gestione organizzazione o a cui viene assegnato, direttamente o indirettamente, il ruolo di gestione dei ruoli. Quando questa opzione viene utilizzata, la proprietà ManagedBy viene ignorata e l'utente può modificare il gruppo di ruolo o l'appartenenza al gruppo.

Se la proprietà ManagedBy non è impostata su un gruppo di ruolo, solo gli utenti membri del ruolo Gestione organizzazione o a cui viene assegnato, direttamente o indirettamente, il ruolo Gestione ruoli possono modificare un gruppo o l'appartenenza al gruppo.

Per ulteriori informazioni su come gestire la delega dei gruppi di ruolo, vedere Gestire gruppi di ruoli.

Appartenenza ai gruppi di ruoli

Quando un utente diventa membro di un gruppo di ruolo, i ruoli di gestione assegnati al gruppo vengono associati all'utente. Se un utente è membro di più gruppi di ruolo, i ruoli di gestione di ogni gruppo vengono aggregati e assegnati all'utente. Gli utenti, i gruppi di protezione universale e altri gruppi possono essere membri di gruppi di ruolo.

Solo gli utenti membri dei gruppi di ruolo Gestione organizzazione o Gestione ruoli, e gli utenti delegati ad aggiungere e rimuovere utenti dai gruppi, possono gestire l'appartenenza ai gruppi.

Per ulteriori informazioni su come gestire l'appartenenza ai gruppi di ruoli, vedere Gestire i membri del gruppo di ruolo.

Flusso di lavoro Creazione gruppi di ruoli

Come accennato in precedenza, un gruppo di ruolo è costituito da numerosi livelli. Per comprendere cosa succede quando un gruppo di ruolo viene creato, vedere il seguente esempio, in cui viene creato un nuovo gruppo.

New-RoleGroup -Name "Seattle Recipient Management" -Roles "Mail Recipients", "Distribution Groups", "Move Mailboxes", "UM Mailboxes" -CustomRecipientWriteScope "Seattle Users", -ManagedBy "Brian", "David", "Katie" -Members "Ray", "Jenn", "Maria", "Chris", "Maija", "Carter", "Jenny", "Sam", "Lukas", "Isabel", "Katie"

Quando viene eseguito il precedente comando, si verifica quanto segue:

1. Nel dominio radice della foresta viene creato un nuovo oggetto gruppo di ruoli, ovvero un gruppo di sicurezza usg speciale, denominato Gestione destinatari di Seattle, nell'unità organizzativa Gruppi di sicurezza di Microsoft Exchange.

2. Le cassette postali di Ray, Jens, Maria, Chris, Maija, Carter, Jenny, Sam, Lukas, Isabel e Katie vengono aggiunte come membri del gruppo di ruoli. Tali utenti ricevono le autorizzazioni fornite da questo gruppo di ruolo.

3. Gli utenti Brian e David vengono aggiunti alla proprietà ManagedBy del gruppo di ruolo. Questi utenti possono aggiungere e rimuovere membri dal gruppo di ruolo, ma non verrà concessa loro alcuna autorizzazione fornita dal gruppo, in quanto non membri. Inoltre, Katie viene aggiunta alla proprietà ManagedBy del gruppo di ruolo. Siccome è stata aggiunta alla proprietà ManagedBy ed è un membro del gruppo di ruolo, può aggiungere o rimuovere membri dal gruppo e le sono concesse le autorizzazioni fornite dal gruppo.

4. Vengono create le seguenti assegnazioni del ruolo di gestione. Le assegnazioni di ruolo consentono di associare al gruppo di ruolo ogni ruolo di gestione specificato nel comando. L'ambito di gestione Seattle Users viene aggiunto a ogni assegnazione di ruolo. Il nome di ogni assegnazione di ruolo indica una combinazione del ruolo di gestione assegnato e del nome del gruppo.

   • Mail Recipients_Seattle Recipient Management
   • Distribution Groups_Seattle Recipient Management
   • Move Mailboxes_Seattle Recipient Management
   • UM Mailboxes_Seattle Recipient Management

Se si confrontano i risultati di questo comando con la figura dei livelli del gruppo di ruolo Gestione di questo argomento, è possibile visualizzare dove ogni passo è correlato ai livelli del gruppo. Per gestire ogni livello del gruppo di ruoli, è possibile quindi fare riferimento agli argomenti relativi alla gestione dei gruppi di ruoli Gestione mostrati in "Gestione dei gruppi di ruoli" di questo argomento.