Role Based Access Control (RBAC) Les permissions d administration

Transcription

1 Role Based Access Control (RBAC) Les permissions d administration RBAC: Méthodologie ou Technologie pour gérer les permissions d accès et les fonctions administratives dans Microsoft Exchange. RBAC fonctionne en réalité en assignant le droit d exécuter des Cmdlets en fonction du rôle de l utilisateur. RBAC utilise les management roles pour définir ce qu un utilisateur peut faire. Assignation de rôles aux différents niveaux d administrateurs ou utilisateurs spécialistes Gestion de Exchange: Création mailbox, gestion politiques,.. Assignation de rôles aux utilisateurs (non admin) Permissions aux usagers pour gérer les paramètres de leur boite aux lettres, leur information de contact (mettre à jour leur numéro de téléphone, ) ECP (Exchange Control Panel) pour gérer RBAC

2 Termes associés à la gestion des rôles (admin et non admin) Management Role (Rôle de Gestion) ou Role Représente un groupe de cmdlets qui peuvent être exécutés par des utilisateurs à qui ce rôle est assigné. Mailbox Import Export, est un «Rôle» qui contient trois cmdlets ou role entries (get mailbox, Import Mailbox, Export Mailbox) Management Role Entry (Entrée de Rôle de Gestion) ou Role Entry Chaque cmdlet inclus dans un rôle Get mailbox est un «RoleEntry» Management Role Group (Groupe de Rôle de Gestion) C est un groupe de sécurité dans AD qui définit à qui des rôles de gestion sont assignés. Recipient Management est un «Role Group» Role Assignment Policy (Politique d Assignation de Rôle) Est similaire au «RoleGroupe» car c est aussi un ensemble de rôles de gestion. La différence principale est que «Role Assignement Policy» est utilisé pour distribuer des rôles aux usagers tan disque «Role Group» est utilisé pour assigner des rôles aux administrateurs de Exchange.

3 Managment Role Groups (Groupes de rôle de gestion) Groupes de sécurité créés lors de la phase /Prepare AD de Setup Nécessaires pour l opération adéquate de Exchange. Stockés dans OU «Microsoft Exchange Security Groups» Des rôles ( des droits ou permissions administratives) sont associés à chacun des groupes. À Chacun de ces groupes sont associés un ou plusieurs «management roles» Ne doivent pas être supprimés, déplacés, ou renommés. Approximativement 16 groupes de sécurité Tous des UGs

4 Les groupes de sécurité pour l assignation des permissions On peut utiliser les groupes de sécurité de Exchange dans ADUC pour gérer les rôles administratifs En ajoutant un utilisateur ou un groupe à un Management Role Groupe, vous lui assignez les rôles permis à ce groupe.

5 Les principaux «RoleGroups» Organization Management (Gestion de l organisation) Membres possèdent contrôle total sur le conteneur Microsoft Exchange dans AD. Les administrateurs membres du groupe de rôles Gestion de l organisation disposent d un accès administratif sur toute l organisation Microsoft Exchange 2010 et peuvent exécuter presque n importe quelle tâche relative à un objet Exchange Ce groupe est membre du groupe Administrators (local admins) de tous les serveurs Exchange dans l organisation. Recipient Management (Gestion des destinataires) Membres possèdent contrôle total sur les propriétés Exchange d un objet usager de AD Peuvent changer les informations des usager (adresses, téléphone, ) à partir de Exchange mais non pas à partir de Active Directory Création et suppression de mailbox, Modification de propriétés «non Exchange» non permise. View Only Management Membres peuvent visualiser la configuration de Exchange Si vous avez un BES (Blackberry Enterprise Server), l admin du BES serait membre de ce groupe. Help Desk Membres peuvent visualiser la configuration des récipiendaires. Peuvent gérer leur propre mailbox.

6 ECP: Rôles Administrateur

7 Role Group vs Role Assignment Policy Role Groups: rôles pour admins ou utilisateurs spécialistes Role Assignment Policy: rôles pour usagers réguliers

8 RBAC pour usagers non admin Rôles assignés aux comptes des usagers en appliquant une politique de rôle «role policy assignment». Déterminent ce que les usagers peuvent faire sur leur boite personnelle de courrier. Un seul «role policy assignement» peut être appliqué à un usager. Role Policy Assignement s applique à partir des propriétés de la boite à lettre. Default Assignement Policy est créé lors de l implémentation de Exchange.

9 Role Assignment Policy

10 Rôles des usagers

11 ECP via Toolbox (RBAC Editor)