Permissões

Aplica-se a: Exchange Server 2013

Microsoft Exchange Server 2013 inclui um grande conjunto de permissões predefinidas, com base no modelo de permissões RBAC (Role Based Controle de Acesso), que você pode usar imediatamente para conceder permissões facilmente aos seus administradores e usuários. Você pode usar os recursos de permissões no Exchange 2013 para que você possa colocar sua nova organização em funcionamento rapidamente.

Permissões baseadas em função

No Exchange 2013, as permissões concedidas a administradores e usuários são baseadas em funções de gerenciamento. Uma função define o conjunto de tarefas que um administrador ou usuário pode realizar. Por exemplo, uma função de gerenciamento chamada Mail Recipients define as tarefas que alguém pode executar em um conjunto de caixas de correio, contatos e grupos de distribuição. Quando uma função é atribuída a um administrador ou usuário, essa pessoa recebe as permissões fornecidas pela função.

Existem dois tipos de funções, funções administrativas e de usuário final:

• Funções administrativas: essas funções contêm permissões que podem ser atribuídas a administradores ou usuários especializados usando grupos de funções que gerenciam uma parte da organização do Exchange, como destinatários, servidores ou bancos de dados.
• Funções de usuário final: essas funções, atribuídas usando políticas de atribuição de função, permitem que os usuários gerenciem aspectos de sua própria caixa de correio e grupos de distribuição que possuem. As funções de usuário final começam com o prefixo My.

As funções atribuem permissões aos administradores e usuários para executar tarefas por meio da disponibilização de cmdlets. Como o Centro de Administração do Exchange (EAC) e o Shell de Gerenciamento do Exchange usam cmdlets para gerenciar o Exchange, conceder acesso a um cmdlet dá ao administrador ou ao usuário permissão para executar a tarefa em cada uma das interfaces de gerenciamento do Exchange.

O Exchange 2013 inclui aproximadamente 86 funções que você pode usar para conceder permissões. Para obter uma lista de funções incluídas no Exchange 2013, confira funções de gerenciamento internas.

grupos de função e políticas de atribuição de função

As funções concedem permissões para executar tarefas no Exchange 2013, mas você precisa de uma maneira fácil de atribuí-las a administradores e usuários. O Exchange 2013 fornece o seguinte para ajudá-lo a fazer isso:

• Grupos de funções: os grupos de funções permitem que você conceda permissões a administradores e usuários especializados.
• Políticas de atribuição de função: as políticas de atribuição de função permitem que você conceda permissões aos usuários finais para alterar as configurações em sua própria caixa de correio ou grupos de distribuição que eles possuem.

Para obter mais informações sobre grupos de funções e diretivas de atribuição de função, consulte as próximas seções.

Grupos de função

Cada administrador que gerencia o Exchange 2013 deve receber pelo menos uma ou mais funções. Os administradores podem ter mais de uma função porque podem executar funções de trabalho que abrangem várias áreas no Exchange. Por exemplo, um administrador pode gerenciar destinatários e servidores do Exchange. Nesse caso, esse administrador pode receber as Mail Recipients funções e Exchange Servers .

Para facilitar a atribuição de várias funções a um administrador, o Exchange 2013 inclui grupos de funções. Os grupos de funções são USGs (grupos de segurança universal) especiais usados pelo Exchange 2013 que podem conter usuários do Active Directory, USGs e outros grupos de funções. Quando uma função é atribuída a um grupo de função, as permissões concedidas pela função são concedidas a todos os membros do grupo de função. Isso permite atribuir muitas funções a muitos membros de grupos de função de uma só vez. Os grupos de função normalmente abrangem áreas mais amplas de gerenciamento, como o gerenciamento de destinatários. São usados apenas para funções administrativas e não para funções de usuário final.

A figura a seguir mostra a relação entre usuários, grupos de função e funções.

O Exchange 2013 inclui vários grupos de funções internos, cada um fornecendo permissões para gerenciar áreas específicas no Exchange 2013. Alguns grupos de funções podem se sobrepor a outros. As tabelas a seguir relacionam cada grupo de funções com a descrição do seu uso. Se você quiser ver as funções atribuídas a cada grupo de funções, clique no nome do grupo de funções na coluna "Grupo de Funções" e abra a seção "Funções de gerenciamento atribuídas a esse grupo de funções".

Se você trabalha em uma organização pequena que tem somente alguns administradores, será preciso adicionar esses administradores apenas ao grupo de função do Gerenciamento da Organização, e provavelmente você não precisará nunca usar os outros grupos de função. Se você trabalhar em uma organização maior, poderá ter administradores que executam tarefas específicas administrando o Exchange, como o gerenciamento de destinatários ou servidores. Nesses casos, você pode adicionar um administrador ao grupo de funções gerenciamento de destinatários e outro administrador ao grupo de funções de Gerenciamento de Servidor. Esses administradores podem então gerenciar suas áreas específicas do Exchange 2013, mas não terão permissões para gerenciar áreas pelas quais não são responsáveis.

Se os grupos de funções internos no Exchange 2013 não corresponderem à função de trabalho de seus administradores, você poderá criar grupos de funções e adicionar funções a eles. Para obter mais informações, confira Trabalhar com Grupos de Funções mais adiante neste tópico.

Diretivas de atribuição de função

O Exchange 2013 fornece políticas de atribuição de função para que você possa controlar quais configurações seus usuários podem configurar em suas próprias caixas de correio e em grupos de distribuição que possuem. Essas configurações incluem seus nomes para exibição, informações de contato, configurações de caixa postal e associação a grupos de distribuição.

Sua organização do Exchange 2013 pode ter várias políticas de atribuição de função que fornecem diferentes níveis de permissões para os diferentes tipos de usuários em suas organizações. Alguns usuários podem ter permissão para mudar seus endereços ou criar grupos de distribuição, enquanto outros não, dependendo da diretiva de atribuição de função associada às suas caixas de correio. As diretivas de atribuição de função são adicionadas diretamente às caixas de correio, e cada caixa de correio pode ser associada somente a uma diretiva de atribuição de função por vez.

Entre as diretivas de atribuição de função em sua organização, uma é identificada como padrão. A diretiva de atribuição de função padrão é associada a novas caixas de correio que não tenham uma diretiva de atribuição de função específica explicitamente atribuída ao serem criadas. A diretiva de atribuição de função padrão deve conter as permissões que serão aplicadas à maioria de suas caixas de correio.

As permissões são adicionadas às diretivas de atribuição de função por meio de funções de usuário final. As funções de usuário final começam com My e concedem permissões para que os usuários gerenciem apenas suas caixas de correio ou grupos de distribuição que possuem. Elas não podem ser usadas para gerenciar qualquer outra caixa de correio. Somente funções de usuário final podem ser atribuídas às diretivas de atribuição de função.

Quando uma função de usuário final é atribuída a uma diretiva de atribuição de função, todas as caixas de correio associadas a essa diretiva recebem as permissões concedidas pela função. Isso permite adicionar ou remover permissões de conjuntos de usuários sem ter de configurar as caixas de correio individuais. A figura a seguir mostra:

• Funções de usuário final são atribuídas a diretivas de atribuição de função. Diretivas de atribuição de função podem compartilhar as mesmas funções de usuário final.

• Diretivas de atribuição de função são associadas a caixas de correio. Cada caixa de correio só pode ser associada a uma diretiva de atribuição de função.

• Quando uma caixa de correio é associada a uma política de atribuição de função, as funções de usuário final são aplicadas a essa caixa de correio. As permissões concedidas pelas funções são concedidas ao usuário da caixa de correio.

A política de atribuição de função da Política de Atribuição de Função Padrão está incluída no Exchange 2013. Como o nome indica, essa é a diretiva de atribuição de função padrão. Se você quiser alterar as permissões fornecidas por essa política de atribuição de função ou se quiser criar políticas de atribuição de função, consulte Trabalhar com Políticas de Atribuição de Função mais adiante neste tópico.

Trabalhar com grupos de funções

Para gerenciar suas permissões usando grupos de funções no Exchange 2013, recomendamos que você use o centro de administração do Exchange. Usando o EAC para gerenciar grupos de funções, você pode adicionar e remover funções e membros, criar grupos de funções e copiar grupos de função com poucos cliques do mouse. O EAC fornece caixas de diálogo simples, como a novo grupo de função, mostrada na figura a seguir, para realizar essas tarefas.

O Exchange 2013 inclui vários grupos de funções que separam permissões em áreas administrativas específicas. Se esses grupos de funções existentes fornecerem as permissões que seus administradores precisam para gerenciar sua organização do Exchange 2013, você precisará adicionar apenas seus administradores como membros dos grupos de funções apropriados. Depois que você adicionar administradores a um grupo de funções, eles poderão administrar os recursos relacionados a esse grupo. Para adicionar ou remover membros de um grupo de função, abra o grupo de função no EAC e adicione ou remova os membros da lista de associação. Para obter uma lista de grupos de funções internos, consulte Grupos de funções internos.

Se nenhum dos grupos de funções incluídos no Exchange 2013 tiver as permissões necessárias, você poderá usar o EAC para criar um grupo de funções e adicionar as funções que têm as permissões necessárias. Para o seu novo grupo de função, você irá:

1. Escolher um nome para o grupo de função.
2. Selecionar as funções que deseja adicionar ao grupo de função.
3. Adicionar membros ao grupo de funções.
4. Salvar o grupo de função.

Depois de ter criado o grupo de funções, você o gerencia como qualquer outro grupo de funções.

Se houver um grupo de funções existente que tenha algumas, mas não todas as permissões necessárias, você poderá copiá-la e fazer alterações para criar um grupo de funções. É possível copiar um grupo de funções existente e fazer alterações nele sem afetar o grupo de funções original. Como parte da cópia do grupo de função, é possível atribuir um novo nome e descrição, adicionar e remover funções desse novo grupo de função e adicionar novos membros. Para criar ou copiar um grupo de funções, é usada a mesma caixa de diálogo mostrada na figura anterior.

Os grupos de função existentes também podem ser modificados. Você pode adicionar e remover funções dos grupos de funções existentes e adicionar e remover membros desses grupos ao mesmo tempo usando uma caixa de diálogo do EAC, semelhante à da figura anterior. Ao adicionar e remover funções de grupos de função, você ativa e desativa recursos administrativos para os membros desses grupos de função. Para obter uma lista de funções que você pode adicionar a um grupo de funções, consulte funções de gerenciamento internas.

Trabalhar com políticas de atribuição de função

Para gerenciar as permissões que você concede aos usuários finais para gerenciar sua própria caixa de correio no Exchange 2013, recomendamos que você use o EAC. Usando o EAC para gerenciar as permissões de usuários finais, você pode adicionar e remover funções e criar políticas de atribuição de função com poucos cliques do mouse. O EAC fornece caixas de diálogo simples, como a política de atribuição de funções, mostrada na figura a seguir, para realizar essas tarefas.

O Exchange 2013 inclui uma política de atribuição de função chamada Política de Atribuição de Função Padrão. Essa diretiva de atribuição de função permite aos usuários cujas caixas de correio estejam associadas à diretiva fazer o seguinte:

• Associar-se ou sair de grupos de distribuição que permitam aos membros gerenciar suas próprias associações.
• Exibir e modificar configurações básicas de suas caixas de correio, como regras da Caixa de Entrada, comportamento da correção ortográfica, configurações de lixo eletrônico, e dispositivos do Microsoft ActiveSync.
• Modificar suas informações de contato, como endereço comercial e número de telefone, número de telefone celular e número de pager.
• Criar, modificar ou exibir configurações de mensagens de texto.
• Exibir ou modificar as configurações de caixa postal.
• Exibir e modificar seus aplicativos do marketplace.
• Criar caixas de correio de equipe e conectá-las às listas do Microsoft SharePoint.

Se quiser adicionar ou remover permissões da Política de Atribuição de Função Padrão ou de qualquer outra política de atribuição de função, você pode usar o EAC. A caixa de diálogo usada é semelhante à da figura anterior. Ao abrir a política de atribuição de função no EAC, marque a caixa de seleção ao lado das funções que você deseja atribuir e desmarque a caixa de seleção das funções que você deseja remover. A alteração feita na diretiva de atribuição de função é aplicada a todas as caixas de correio associadas a ela.

Caso queira atribuir diferentes permissões de usuário final aos vários tipos de usuários em sua organização, você pode criar diretivas de atribuição de função. Ao criar uma política de atribuição de função, será exibida uma caixa de diálogo semelhante à da figura anterior. Você pode especificar um novo nome para a política de atribuição de função e então selecionar as funções que deseja atribuir à política de atribuição de função. Depois de criar uma política de atribuição de função, você poderá associá-la a caixas de correio usando o EAC.

Se quiser alterar a diretiva de atribuição de função padrão, você terá que usar o Shell. Quando a política de atribuição de função padrão é alterada, todas as caixas de correio criadas serão associadas à nova política de atribuição de função se nenhuma política for explicitamente especificada. A diretiva de atribuição de função associada às caixas de correio existentes não muda quando é selecionada uma nova diretiva de atribuição de função padrão.

Documentação de permissões

A tabela a seguir contém links para tópicos que ajudarão você a aprender e gerenciar permissões no Exchange 2013.