Чтобы предоставить администраторам Exchange 2003 право администрирования серверов Exchange 2010, необходимо добавить администраторов Exchange 2003 в одну или несколько групп ролей Exchange 2010. В группы ролей можно добавить пользователей или универсальные группы безопасности. Разрешения, предоставленные группам ролей, будут затем применены к пользователям или универсальным группам безопасности, которые будут добавлены в качестве участников.

Важно!
При использовании локальных или глобальных групп безопасности домена Служба каталогов Active Directory необходимо заменить их на универсальные группы безопасности, чтобы добавить их в качестве участников группы ролей Exchange 2010. Exchange 2010 поддерживает только универсальные группы безопасности.

В следующей таблице приведено сопоставление административных ролей Exchange 2003 и групп ролей Exchange 2010.

Административные роли Exchange 2003 и группы ролей Exchange 2010

Если все администраторы Exchange 2003 входят в одну из трех административных ролей Exchange 2003, необходимо добавить членов каждой из административных групп в соответствующую группу ролей Exchange 2010. Дополнительные сведения о добавлении пользователей и универсальных групп безопасности в группы ролей см. в разделе Добавление участников в группу роли.

Если для предоставления более подробных разрешений администраторам Exchange 2003 были изменены списки управления доступом Exchange 2003 и этим администраторам необходимо предоставить схожие разрешения на серверы Exchange 2010, необходимо выполнить следующие действия.

1. Составьте список изменений списков управления доступом для объектов Exchange 2003 и определите разрешения, предоставленные каждому из администраторов.
   
   
2. Классифицируйте каждый объект Exchange 2003 (например, отнесите его к базам данных, серверам или объектам получателя).
   
   
3. Сопоставьте объекты с соответствующей группой ролей Exchange 2010. Список встроенных групп ролей см. в разделе Встроенные группы ролей.
   
   
4. Добавьте универсальные группы безопасности для каждого типа объекта в соответствующие группы ролей Exchange 2010. Дополнительные сведения о добавлении пользователей и универсальных групп безопасности в группы ролей см. в разделе Добавление участников в группу роли.
   
   

После выполнения этих действий администраторы Exchange 2003 будут входить в группу ролей, которая сопоставляется с администрируемыми объектами Exchange 2010. Теперь они смогут использовать средства управления Exchange 2010 для управления серверами и получателями Exchange 2010. 

Важно!
В общем случае управление серверами и получателями Exchange 2003 должно осуществляться с помощью средств управления Exchange 2003, а управление серверами и получателями Exchange 2010 должно осуществляться средствами управления Exchange 2010. Дополнительные сведения см. в разделе Exchange 2003 — схема планирования обновления и совместного использования.

Если встроенные группы ролей не предоставляют определенный набор разрешений, который необходимо предоставить некоторым администраторам, можно создать пользовательские группы ролей. При создании пользовательской группы ролей можно выбрать роли, которые необходимо добавить. Это позволяет определить компоненты, которыми должны управлять члены этой группы ролей. Например, если администраторы должны управлять только группами рассылки, то можно создать пользовательскую группу ролей и выбрать только роль «Группы рассылки». Члены этой группы ролей смогут управлять только группами рассылки. Дополнительные сведения о создании настраиваемых групп ролей см. в разделе Создание группы ролей.

Если определенным объектам Exchange 2003 предоставлены отдельные разрешения (например, администраторам разрешено администрировать только определенные базы данных), а к серверам Exchange 2010 также необходимо применить такую же конфигурацию, обратитесь к разделу ниже «Повторное создание настройки списка управления доступом Exchange 2003 с помощью областей управления в Exchange 2010».

Чтобы предоставить администраторам Exchange 2010 право администрировать серверы Exchange 2003, следует добавить администраторов Exchange 2010 в одну из трех административных групп Exchange 2003 или в соответствующие списки управления доступом, если настроены разрешения Exchange 2003. В административные группы Exchange 2003 можно добавить пользователей или универсальные группы безопасности. Группы ролей являются универсальными группами безопасности, что позволяет добавить их напрямую в административные группы Exchange 2003. В этом разделе описывается добавление администраторов Exchange 2010 во встроенные административные группы Exchange 2003.

Применяется сопоставление между группами ролей Exchange 2010 и административными ролями Exchange 2003, представленное выше в таблице «Административные роли Exchange 2003 и группы ролей Exchange 2010». Чтобы предоставить администраторам организации Exchange 2010 полный доступ к административным ролям Exchange 2003, добавьте группу ролей Управление организацией к административной группе «Полноправные администраторы Exchange». Выполните те же действия для группы ролей Управление организацией только с правом на просмотр и административной группы «Только просмотр Exchange».

После выполнения этих действий администраторы Exchange 2010 должны входить в административную группу, которая сопоставляется с их группой ролей. При этом администраторы могут использовать средства управления Exchange 2003 для управления серверами и получателями Exchange 2003.

Важно!
В общем случае управление серверами и получателями Exchange 2003 должно осуществляться с помощью средств управления Exchange 2003, а управление серверами и получателями Exchange 2010 должно осуществляться средствами управления Exchange 2010. Дополнительные сведения см. в разделе Exchange 2003 — схема планирования обновления и совместного использования.

Дополнительные сведения о добавлении пользователей или универсальных групп безопасности в административные группы Exchange 2003 см. в статье 823018 базы знаний Майкрософт Overview of Exchange administrative role permissions in Exchange 2003 (на английском языке).

Чтобы ограничить число администраторов определенного хранилища почтовых ящиков или пользователей в Exchange 2003, а также определить хранилище, в котором создаются почтовые ящики, необходимо изменить списки управления доступом для ограничиваемых объектов. Exchange 2010 предоставляет те же возможности, но без необходимости изменять списки управления доступом. Это осуществляется при помощи областей управления, которые являются компонентом системы управления доступом на основе ролей.

Области управления предоставляют возможность использования встроенных и пользовательских областей для определения объектов, управляемых администратором. Применение областей управления позволяет определить администрируемых получателей, базы данных, в которых могут создаваться почтовые ящики, а также получателей и серверы, которые могут администрироваться только небольшой группой администраторов.

Можно создавать следующие типы областей управления:

• Предварительно определенная относительная   Предварительно определенные относительные области входят в состав Exchange 2010. Можно управлять всеми видимыми и доступными для изменения компонентами. Например, предварительно определенные относительные области могут определить необходимость показа пользователю только сведений о нем самом или сведений обо всей организации.
  
  
• Получатель   Области получателей определяют получателей, которых администратор может создавать, изменять или удалять. Указание может быть основано на подразделении, фильтре получателей или обоих компонентах. Фильтры получателей определяют критерии, которым должны соответствовать все получатели области. Например, можно создать область фильтра получателей, которая содержит всех пользователей в определенном расположении или в определенном отделе. Можно даже совмещать подразделения и фильтры получателей, чтобы выбирать пользователей в определенном подразделении, которые отправляют отчеты определенному менеджеру.
  
  
• Сервер   Области серверов определяют серверы, которыми может управлять администратор. Можно указать список или фильтры серверов. Списки сервера позволяют определить статический список управляемых серверов. Фильтры серверов работают точно так же, как и фильтры получателей. В них можно указать критерии, которым должен соответствовать сервер. Например, можно создать область сервера, которая соответствует всем серверам с определенным узлом Служба каталогов Active Directory.
  
  
• База данных   Области баз данных определяют базы данных, которыми может управлять администратор. Они также могут определять базы, в которых могут создаваться или перемещаться почтовые ящики. Подобно областям сервера их можно определить в виде списков или фильтров. Например, можно создать список или фильтр, позволяющий администраторам создавать или перемещать почтовые ящики в определенные базы данных, управляемые отдельным подразделением.
  
  
• Эксклюзивная   За исключением предварительно определенных относительных областей все указанные выше области можно создать как эксклюзивные. Эксклюзивные области работают как записи управления доступом «Запретить» в списках управления доступом. Если какой-либо компонент входит в эксклюзивную область, то управление этим объектом осуществляется только администраторами, которым назначена эта эксклюзивная область. Это справедливо даже в том случае, если этот компонент соответствует другой неэксклюзивной области. Такая функция особенно полезна для руководителей, управление почтовыми ящиками которых следует поручать только нескольким надежным сотрудникам. Даже в том случае, если более широкая область получателя соответствует почтовому ящику руководителя, администраторы с более широкой областью не смогут управлять этим почтовым ящиком, если им не назначена более узкая область.
  
  

Области управления используются вместе с ролями управления, назначениями ролей и группами ролей управления, чтобы определить круг лиц и место управления определенными объектами. Дополнительные сведения приведены в следующих разделах:

• Общие сведения об областях применения ролей управления
  
  
• Общие сведения об исключительных областях
  
  
• Общие сведения о назначениях ролей управления
  
  
• Общие сведения о группах ролей управления
  
  
• Общие сведения о ролях управления
  
  

Чтобы создать эту модель разрешений в Exchange 2010 с помощью областей управления, определенных в Exchange 2003 через пользовательские списки управления доступом, необходимо определить настроенные списки и создать соответствующие им области управления. Фильтруемые свойства объектов получателя, сервера и базы данных можно использовать для создания областей управления, включающих в себя объекты, доступ к которым должен контролироваться данной областью. Дополнительные сведения о свойствах, используемых вместе с фильтрами областей управления, см. в разделе Общие сведения о фильтрах областей ролей управления.

Дополнительные сведения о создании областей управления см. в разделе Создание регулярной или монопольной области.