В данном разделе описываются разрешения, необходимые для установки организации Microsoft Exchange Server 2007.

В некоторых случаях список управления доступом (ACL) применяется не к обычному свойству, ntSecurityDescriptor, а к другому свойству, например msExchMailboxSecurityDescriptor. Служба каталогов не может принудительно применить меры безопасности, не указанные в дескрипторе безопасности Microsoft Windows. В большинстве случаев эти списки управления доступом реплицируются для сохранения списков управления доступом для соответствующих объектов с помощью службы хранилища. К сожалению, не существует средства просмотра этих списков управления доступом в виде, отличном от неформатированных двоичных данных.

Столбцы каждой таблицы разрешений включают указанные ниже данные.

Учетная запись Участник безопасности, которому предоставлены или у которого отняты разрешения.
Тип элемента управления доступом Тип элемента управления доступом (ACE)
- Разрешающий элемент управления доступом
- Запрещающий элемент управления доступом
Наследование Тип наследования, используемый для дочерних объектов.
- Все показывает, что разрешения применяются к самому объекту и всем дочерним объектам.
- Desc («Убыв.») показывает, что разрешения применяются к классу объектов, указанному в строке On Property/Applies To («К свойству») .
- Нет показывает, что разрешения применяются только к самому объекту.
Разрешения Разрешения, предоставленные учетной записи.
On Property/Applies To («К свойству») В некоторых случаях разрешения применяются только к заданному свойству, набору свойств или классу объектов. Эти ограниченные разрешения указаны здесь.
- Имена, выделенные курсивом, указывают атрибут или атрибуты, к которым применяется чтение свойства или запись свойства.
- Имена, набранные обычным шрифтом, указывают класс или классы объектов, для которых наследуется элемент управления доступом.
- Имена, выделенные Полужирным шрифтом, указывают имя класса, к которому применяются разрешения «Создание дочерних объектов» или «Удаление дочерних объектов».
Комментарии Если это возможно, в данном столбце объясняется необходимость применения разрешений или содержатся другие сведения о разрешениях.

Обычно разрешения перечислены в таблице по именам, используемым в редакторе ADSI (Active Directory Service Interfaces) (AdsiEdit.msc) на странице свойств Безопасность при Дополнительном просмотре на вкладке Показать/Изменить. На странице свойств Безопасность редактора ADSI разрешения приведены в более сжатом виде. Средство LDP (Ldp.exe) выводит маску доступа напрямую в виде численного значения. Код программы установки ссылается на разрешения по предопределенным константам.

В приведенной ниже таблице показаны соотношения между этими значениями.

Сводная страница редактора ADSI	Расширенный вид редактора ADSI, вкладка «Показать/Изменить»	Записи списка управления доступом, примененные к данному объекту	Двоичное значение (маска доступа в LDP)
Полный доступ	Полный доступ	WRITE_OWNER \| WRITE_DAC \| READ_CONTROL \| DELETE \| ACTRL_DS_CONTROL_ACCESS \| ACTRL_DS_LIST_OBJECT \| ACTRL_DS_DELETE_TREE \| ACTRL_DS_WRITE_PROP \| ACTRL_DS_READ_PROP \| ACTRL_DS_SELF \| ACTRL_DS_LIST \| ACTRL_DS_DELETE_CHILD \| ACTRL_DS_CREATE_CHILD	0x000F01FF
Чтение	Список содержимого + Список объектов + Чтение всех свойств + Чтение разрешений	ACTRL_DS_LIST \| ACTRL_DS_READ_PROP \| READ_CONTROL	0x00020014
Запись	Запись всех свойств + Все проверенные операции записи	ACTRL_DS_WRITE_PROP \| ACTRL_DS_SELF	0x00000028
	Список содержимого	ACTRL_DS_LIST	0x00000004
	Чтение всех свойств	ACTRL_DS_READ_PROP	0x00000010
	Запись всех свойств	ACTRL_DS_WRITE_PROP	0x00000020
	Удаление	DELETE	0x00010000
	Удаление поддерева	ACTRL_DS_DELETE_TREE	0x00000040
	Чтение разрешений	READ_CONTROL	0x00020000
	Изменение разрешений	WRITE_DAC	0x00040000
	Изменение владельца	WRITE_OWNER	0x00080000
	Все проверенные операции записи	ACTRL_DS_SELF	0x00000008
	Все расширенные права	ACTRL_DS_CONTROL_ACCESS	0x00000100
Создание всех дочерних объектов	Создание всех дочерних объектов	ACTRL_DS_CREATE_CHILD	0x00000001
Удаление всех дочерних объектов	Удаление всех дочерних объектов	ACTRL_DS_DELETE_CHILD	0x00000002
		ACTRL_DS_LIST_OBJECT	0x00000080

Расширенные права — это настраиваемые права, заданные отдельными приложениями. Эти права указаны в списке управления доступом. Однако эти права не имеют смысла для службы каталогов Active Directory. Определенное приложение принудительно применяет все расширенные права. Примерами расширенных прав Exchange являются «Создание общей папки» и «Создание именованных свойств в банке данных».

Примечание.
Дополнительные сведения о разрешениях, устанавливаемых в процессе установки Microsoft Exchange Server 2003, см. в статье Работа с разрешениями Active Directory в Exchange Server 2003 (на английском языке).

Подготовка разрешений для прежних версий Exchange

Таблицы разрешений, приведенные в данном разделе, показывают, какие разрешения устанавливаются при выполнении команды setup /PrepareLegacyExchangePermissions.

Различающееся имя объекта: DC=<домен>

Учетная запись	Тип элемента управления доступом	Наследование	Разрешения	К свойству	Комментарии
Серверы Exchange Enterprise Server	Разрешающий элемент управления доступом	Все	Запись свойства	Сведения Exchange
Прошедшие проверку	Разрешающий элемент управления доступом	Все	Чтение свойства	Сведения Exchange

Различающееся имя объекта: CN=AdminSDHolder,CN=System,DC=<домен>

Учетная запись	Тип элемента управления доступом	Наследование	Разрешения	К свойству	Комментарии
Серверы Exchange Enterprise Server	Разрешающий элемент управления доступом	Все	Чтение свойства Запись свойства	Сведения Exchange

Учетная запись

Тип элемента управления доступом

Наследование

Разрешения

К свойству

Комментарии

Серверы Exchange Enterprise Server

Разрешающий элемент управления доступом

Все

Чтение свойства

Запись свойства

Сведения Exchange

Различающееся имя объекта: CN=<организация>,CN=Microsoft Exchange,CN=Services,CN=Configuration,DC=<домен>

Учетная запись	Тип элемента управления доступом	Наследование	Разрешения	К свойству	Комментарии
Серверы домена Exchange	Разрешающий элемент управления доступом	Все	Запись свойства	Сведения Exchange

Подготовка разрешений Active Directory

Таблицы разрешений, приведенные в данном разделе, показывают, какие разрешения устанавливаются при выполнении команды Setup /PrepareAD.

Разрешения контейнера Microsoft Exchange

В приведенной ниже таблице показаны разрешения, установленные для контейнера Microsoft Exchange в разделе конфигурации.

Различающееся имя объекта: CN=Microsoft Exchange,CN=Services,CN=Configuration,DC=<домен>

Учетная запись	Тип элемента управления доступом	Наследование	Разрешения	Комментарии
Учетная запись установки	Разрешающий элемент управления доступом	Все	Полный доступ	Это учетная запись, используемая для выполнения команды /PrepareAD
Серверы Exchange	Разрешающий элемент управления доступом	Все	Чтение
Прошедшие проверку	Разрешающий элемент управления доступом	None	Чтение свойства Список содержимого
Администраторы организации Exchange	Разрешающий элемент управления доступом	Все	Полный доступ

Разрешения контейнера организации Microsoft Exchange

Таблицы разрешений, приведенные в данном разделе, показывают, какие разрешения установлены для организации Microsoft Exchange и вложенных контейнеров в разделе конфигурации.

Различающееся имя объекта: CN=<организация>,CN=Microsoft Exchange,CN=Services,CN=Configuration,DC=<домен>

Учетная запись	Тип элемента управления доступом	Наследование	Разрешения	К свойству	Комментарии
Администратор предприятия Администратор корневого домена Учетная запись установки	Запрещающий элемент управления доступом	Все	Отправить как Получить как		Администраторам Windows не разрешается открывать почтовые ящики.
Администратор предприятия Администратор корневого домена Учетная запись установки	Запрещающий элемент управления доступом	Все	Доступ к транспорту хранилища Ограниченное делегирование хранилища Доступ к хранилищу на чтение Доступ к хранилищу на чтение и запись Олицетворение веб-служб Exchange Сериализация маркера веб-служб Exchange		Расширенное право
Серверы Exchange	Запрещающий элемент управления доступом	Все	Доступ к транспорту хранилища Ограниченное делегирование хранилища Доступ к хранилищу только для чтения Доступ к хранилищу на чтение и запись		Расширенное право
Прошедшие проверку	Запрещающий элемент управления доступом	Desc	Чтение свойства	msExchAvailabilityUserPassword / msExchAvailabilityAddressSpace
Прошедшие проверку	Разрешающий элемент управления доступом	None	Чтение свойства Список объектов
Все и анонимные	Разрешающий элемент управления доступом	Все	Создание общей папки		Расширенное право
Все и анонимные	Разрешающий элемент управления доступом	Все	Создание именованных свойств в банке данных		Расширенное право
Все и анонимные	Разрешающий элемент управления доступом	Все	Чтение	msExchPrivateMDB
Все и анонимные	Разрешающий элемент управления доступом	Все	Чтение	msExchPublicMDB
Серверы Exchange	Разрешающий элемент управления доступом	Все	Все расширенные права
Серверы Exchange	Разрешающий элемент управления доступом	Все	Запись свойства	groupT
Серверы Exchange	Разрешающий элемент управления доступом	Все	Запись свойства	msExchMailboxSecurityDescriptor
Серверы Exchange	Разрешающий элемент управления доступом	Все	Запись свойства	msExchUMServerWritableFlags
Серверы Exchange	Разрешающий элемент управления доступом	Все	Запись свойства	msExchDatabaseCreated
Серверы Exchange	Разрешающий элемент управления доступом	Все	Запись свойства	Public Information (открытые сведения)
Серверы Exchange	Разрешающий элемент управления доступом	Все	Запись свойства	msExchUserCulture
Серверы Exchange	Разрешающий элемент управления доступом	Все	Запись свойства	siteFolderGUID
Серверы Exchange	Разрешающий элемент управления доступом	Все	Запись свойства	msExchMobileMailboxFlags
Серверы Exchange	Разрешающий элемент управления доступом	Все	Запись свойства	siteFolderServer
Серверы Exchange	Разрешающий элемент управления доступом	Все	Запись свойства	msExchEDBOffline
Серверы Exchange	Разрешающий элемент управления доступом	Все	Запись свойства	userCertificate
Серверы Exchange	Разрешающий элемент управления доступом	Все	Запись свойства	Exchange Personal Information (личные данные Exchange)
Серверы Exchange	Разрешающий элемент управления доступом	Все	Запись свойства	Exchange Information (данные Exchange)
Серверы Exchange	Разрешающий элемент управления доступом	Все	Запись свойства	msExchPatchMDB
Серверы Exchange	Разрешающий элемент управления доступом	Все	Запись свойства	publicDelegates
Серверы Exchange	Разрешающий элемент управления доступом	Все	Запись свойства	msExchUMSpokenName
Серверы Exchange	Разрешающий элемент управления доступом	Все	Запись свойства	msExchUMPinChecksum
Серверы Exchange	Разрешающий элемент управления доступом	Desc	Чтение	siteAddressing
Администраторы схемы	Запрещающий элемент управления доступом	Все	Олицетворение веб-служб Exchange Сериализация маркера веб-служб Exchange		Расширенное право
Администраторы организации Exchange	Запрещающий элемент управления доступом	Все	Отправить как Получить как		Администраторам Exchange не разрешается открывать почтовые ящики.
Администраторы организации Exchange	Запрещающий элемент управления доступом	Все	Олицетворение веб-служб Exchange Сериализация маркера веб-служб Exchange		Расширенное право
Администраторы Exchange с правами на просмотр.	Разрешающий элемент управления доступом	Все	Просмотр состояния банка данных		Расширенное право
Администраторы общих папок Exchange	Разрешающий элемент управления доступом	Все	Чтение
Администраторы общих папок Exchange	Разрешающий элемент управления доступом	Все	Создание общей папки верхнего уровня		Расширенное право
Администраторы общих папок Exchange	Разрешающий элемент управления доступом	Все	Просмотр состояния банка данных		Расширенное право
Администраторы общих папок Exchange	Разрешающий элемент управления доступом	Все	Администрирование банка данных		Расширенное право
Администраторы общих папок Exchange	Разрешающий элемент управления доступом	Все	Создание именованных свойств в банке данных		Расширенное право
Администраторы общих папок Exchange	Разрешающий элемент управления доступом	Все	Изменение списка управления доступом общих папок		Расширенное право
Администраторы общих папок Exchange	Разрешающий элемент управления доступом	Все	Изменение квот общих папок		Расширенное право
Администраторы общих папок Exchange	Разрешающий элемент управления доступом	Все	Изменение административного списка управления доступом общих папок		Расширенное право
Администраторы общих папок Exchange	Разрешающий элемент управления доступом	Все	Изменение срока действия общих папок		Расширенное право
Администраторы общих папок Exchange	Разрешающий элемент управления доступом	Все	Изменение списка реплик общих папок		Расширенное право
Администраторы общих папок Exchange	Разрешающий элемент управления доступом	Все	Изменение срока хранения удаленного элемента общей папки		Расширенное право
Администраторы общих папок Exchange	Разрешающий элемент управления доступом	Все	Создание общей папки		Расширенное право

Различающееся имя объекта: CN=Address Lists Container,CN=<организация>

Учетная запись

Тип элемента управления доступом

Наследование

Разрешения

К свойству

Комментарии

Прошедшие проверку

Разрешающий элемент управления доступом

Все

Список содержимого

Администраторы получателей Exchange

Разрешающий элемент управления доступом

Все

Запись свойства

msExchLastAppliedRecipientFilter

msExchRecipientFilterFlags

Администраторы общих папок Exchange

Разрешающий элемент управления доступом

Все

Запись свойства

msExchLastAppliedRecipientFilter

msExchRecipientFilterFlags

Различающееся имя объекта: CN=Offline Address Lists,CN=Address Lists Container, CN=<организация>

Учетная запись	Тип элемента управления доступом	Наследование	Разрешения	К свойству	Комментарии
Прошедшие проверку	Разрешающий элемент управления доступом	Все	Загрузка автономной адресной книги

Различающееся имя объекта: CN=Recipient Update Services,CN=Address Lists Container, CN=<организация>

Учетная запись	Тип элемента управления доступом	Наследование	Разрешения	К свойству	Комментарии
Серверы Exchange	Разрешающий элемент управления доступом	Все	Полный доступ

Различающееся имя объекта: CN=Addressing,CN=<организация>

Учетная запись	Тип элемента управления доступом	Наследование	Разрешения	К свойству	Комментарии
Прошедшие проверку	Разрешающий элемент управления доступом	Все	Чтение

Различающееся имя объекта: CN=Recipient Policies,CN=<организация>

Учетная запись	Тип элемента управления доступом	Наследование	Разрешения	К свойству	Комментарии
Администраторы получателей Exchange	Разрешающий элемент управления доступом	Все	Запись свойства	msExchLastAppliedRecipientFilter msExchRecipientFilterFlags
Администраторы общих папок Exchange	Разрешающий элемент управления доступом	Все	Запись свойства	msExchLastAppliedRecipientFilter msExchRecipientFilterFlags

Учетная запись

Тип элемента управления доступом

Наследование

Разрешения

К свойству

Комментарии

Администраторы получателей Exchange

Разрешающий элемент управления доступом

Все

Запись свойства

msExchLastAppliedRecipientFilter

msExchRecipientFilterFlags

Администраторы общих папок Exchange

Разрешающий элемент управления доступом

Все

Запись свойства

msExchLastAppliedRecipientFilter

msExchRecipientFilterFlags

Различающееся имя объекта: CN=Message Classifications,CN=Transport Settings, CN=<организация>

Учетная запись	Тип элемента управления доступом	Наследование	Разрешения	К свойству	Комментарии
Прошедшие проверку	Разрешающий элемент управления доступом	Все	Список содержимого

Различающееся имя объекта: CN=ExACPrivileged,CN=<язык>,CN=Message Classifications,CN=Transport Settings, CN=<организация>

Учетная запись	Тип элемента управления доступом	Наследование	Разрешения	К свойству	Комментарии
Прошедшие проверку	Разрешающий элемент управления доступом	Все	Чтение

Различающееся имя объекта: CN=ExCompanyConfidential,CN=<язык>,CN=Message Classifications,CN=Transport Settings, CN=<организация>

Учетная запись	Тип элемента управления доступом	Наследование	Разрешения	К свойству	Комментарии
Прошедшие проверку	Разрешающий элемент управления доступом	Все	Чтение

Различающееся имя объекта: CN=ExCompanyInternal,CN=<язык>,CN=Message Classifications,CN=Transport Settings, CN=<организация>

Учетная запись	Тип элемента управления доступом	Наследование	Разрешения	К свойству	Комментарии
Прошедшие проверку	Разрешающий элемент управления доступом	Все	Чтение

Разрешения контейнера раздела конфигурации

Таблицы разрешений, приведенные в данном разделе, показывают, какие разрешения устанавливаются при выполнении команды Setup /PrepareAD для различных контейнеров в разделе конфигурации.

Различающееся имя объекта: CN=Sites,CN=Configuration,DC=<домен>

Учетная запись	Тип элемента управления доступом	Наследование	Разрешения	К свойству	Комментарии
Администраторы организации Exchange	Разрешающий элемент управления доступом	Все	Запись свойства	msExchTransportSiteFlags / site
Администраторы организации Exchange	Разрешающий элемент управления доступом	Все	Запись свойства	msExchCost / siteLink

Различающееся имя объекта: CN=Deleted Objects,CN=Configuration,DC=<домен>

Учетная запись	Тип элемента управления доступом	Наследование	Разрешения	К свойству	Комментарии
Серверы Exchange	Разрешающий элемент управления доступом	Все	Список содержимого
Администраторы организации Exchange	Разрешающий элемент управления доступом	Все	Чтение Разрешение на запись

Учетная запись

Тип элемента управления доступом

Наследование

Разрешения

К свойству

Комментарии

Серверы Exchange

Разрешающий элемент управления доступом

Все

Список содержимого

Администраторы организации Exchange

Разрешающий элемент управления доступом

Все

Чтение

Разрешение на запись

Разрешения административной группы Exchange

Команда Setup /PrepareAD также настраивает для административных групп в организации указанные ниже разрешения.

Различающееся имя объекта: CN=<административная_группа>,CN=Administrative Groups,CN=<организация>

Учетная запись	Тип элемента управления доступом	Наследование	Разрешения	К свойству	Комментарии
Администраторы получателей Exchange	Разрешающий элемент управления доступом	Desc	Доступ к службе обновления получателей	msExchExchangeServer	Разрешает администраторам получателей Exchange отмечать получателей, указывая сведения об адресе прокси-сервера.
SYSTEM	Разрешающий элемент управления доступом	Desc	Доступ к службе обновления получателей	msExchExchangeServer	Разрешает серверам отмечать получателей, указывая сведения об адресе прокси-сервера.
Администраторы общих папок Exchange	Разрешающий элемент управления доступом	Desc	Доступ к службе обновления получателей	msExchExchangeServer	Разрешает администраторам общих папок Exchange указывать для получателей сведения об адресе прокси-сервера.

Различающееся имя объекта: CN=Servers,CN=<административная_группа>,CN=Administrative Groups,CN=<организация>

Учетная запись	Тип элемента управления доступом	Наследование	Разрешения	К свойству	Комментарии
Серверы Exchange	Запрещающий элемент управления доступом	Все	Получить как		Серверам Exchange не разрешается открывать почтовые ящики.
Прошедшие проверку	Разрешающий элемент управления доступом	None	Список содержимого

Различающееся имя объекта: CN=Advanced Security Settings,CN=<административная_группа>,CN=Administrative Groups,CN=<организация>

Учетная запись	Тип элемента управления доступом	Наследование	Разрешения	К свойству	Комментарии
Прошедшие проверку	Разрешающий элемент управления доступом	None	Список содержимого

Различающееся имя объекта: CN=Encryption,CN=Advanced Security Settings,CN=<административная_группа>,CN=Administrative Groups,CN=<организация>

Учетная запись	Тип элемента управления доступом	Наследование	Разрешения	К свойству	Комментарии
Прошедшие проверку	Разрешающий элемент управления доступом	None	Чтение свойства

Разрешения контейнера групп безопасности Microsoft Exchange

Таблицы разрешений, приведенные в данном разделе, показывают, какие разрешения установлены для контейнера групп безопасности Microsoft Exchange в разделе корневого домена.

Различающееся имя объекта: OU=Microsoft Exchange Security Groups,DC=<корневой_домен>

Учетная запись	Тип элемента управления доступом	Наследование	Разрешения	К свойству	Комментарии
Администраторы организации Exchange	Разрешающий элемент управления доступом	Все	Полный доступ

Различающееся имя объекта: CN=Exchange Organization Administrators,OU=Microsoft Exchange Security Groups,DC=<корневой_домен>

Учетная запись	Тип элемента управления доступом	Наследование	Разрешения	К свойству	Комментарии
Администраторы организации Exchange	Разрешающий элемент управления доступом	Все	Полный доступ

Различающееся имя объекта: CN=Exchange Recipient Administrators,OU=Microsoft Exchange Security Groups,DC=<корневой_домен>

Учетная запись	Тип элемента управления доступом	Наследование	Разрешения	К свойству	Комментарии
Администраторы организации Exchange	Разрешающий элемент управления доступом	Все	Полный доступ

Различающееся имя объекта: CN=Exchange View-Only Administrators,OU=Microsoft Exchange Security Groups,DC=<корневой_домен>

Учетная запись	Тип элемента управления доступом	Наследование	Разрешения	К свойству	Комментарии
Администраторы организации Exchange	Разрешающий элемент управления доступом	Все	Полный доступ

Различающееся имя объекта: CN=ExchangeLegacyInterop,OU=Microsoft Exchange Security Groups,DC=<корневой_домен>

Учетная запись	Тип элемента управления доступом	Наследование	Разрешения	К свойству	Комментарии
Администраторы организации Exchange	Разрешающий элемент управления доступом	Все	Полный доступ

Различающееся имя объекта: CN=Exchange Servers,OU=Microsoft Exchange Security Groups,DC=<корневой_домен>

Учетная запись

Тип элемента управления доступом

Наследование

Разрешения

К свойству

Комментарии

Администраторы организации Exchange

Разрешающий элемент управления доступом

Все

Полный доступ

Администраторы корневого домена

Разрешающий элемент управления доступом

Все

Члены с правами на чтение

Члены с правами на запись

Администраторы дочернего домена

Разрешающий элемент управления доступом

Все

Члены с правами на чтение

Члены с правами на запись

Подготовка домена

Приведенные ниже таблицы разрешений показывают, какие разрешения устанавливаются при выполнении команды Setup /PrepareDomain.

Различающееся имя объекта: DC=<домен> and CN=AdminSDHolder,CN=System,CN=<домен>

Учетная запись	Тип элемента управления доступом	Наследование	Разрешения	К свойству	Комментарии
Прошедшие проверку	Разрешающий элемент управления доступом	Все	Чтение свойства	Exchange Information (данные Exchange)
Серверы Exchange	Разрешающий элемент управления доступом	Все	Чтение свойства	Exchange Personal Information (личные данные Exchange)
Серверы Exchange	Разрешающий элемент управления доступом	Все	Чтение свойства	Exchange Information (данные Exchange)
Серверы Exchange	Разрешающий элемент управления доступом	Все	Запись свойства	groupType
Серверы Exchange	Разрешающий элемент управления доступом	Все	Запись свойства	publicDelegates
Серверы Exchange	Разрешающий элемент управления доступом	Все	Запись свойства	userCertificate
Серверы Exchange	Разрешающий элемент управления доступом	Все	Запись свойства	msExchUMPinChecksum
Серверы Exchange	Разрешающий элемент управления доступом	Все	Запись свойства	msExchMobileMailboxFlags
Серверы Exchange	Разрешающий элемент управления доступом	Все	Запись свойства	msExchMailboxSecurityDescriptor
Серверы Exchange	Разрешающий элемент управления доступом	Все	Запись свойства	msExchUserCulture
Серверы Exchange	Разрешающий элемент управления доступом	Все	Запись свойства	msExchUMServerWriteableFlags
Серверы Exchange	Разрешающий элемент управления доступом	Все	Чтение свойства	garbageCollPeriod
Серверы Exchange	Разрешающий элемент управления доступом	Все	Чтение свойства	userAccountControl
Серверы Exchange	Разрешающий элемент управления доступом	Все	Чтение свойства	canonicalName
Серверы Exchange	Разрешающий элемент управления доступом	Все	Чтение свойства	memberOf
Серверы Exchange	Разрешающий элемент управления доступом	Desc	Изменение разрешений	группа	Это разрешение удалено в средстве Setup /PrepareDomain для Microsoft Exchange Server 2007 с пакетом обновления 1 (SP1). Если Microsoft Exchange Server 2007 уже установлен, это право сохранится после развертывания Exchange Server 2007 с пакетом обновления 1 (SP1).
Серверы Exchange	Разрешающий элемент управления доступом	Все	Изменение пароля		Расширенное право
Администраторы получателей Exchange	Разрешающий элемент управления доступом	Все	Чтение
Администраторы получателей Exchange	Разрешающий элемент управления доступом	Все	Запись свойства	Exchange Information (данные Exchange)
Администраторы получателей Exchange	Разрешающий элемент управления доступом	Все	Запись свойства	Exchange Personal Information (личные данные Exchange)
Администраторы получателей Exchange	Разрешающий элемент управления доступом	Все	Запись свойства	legacyExchangeDN
Администраторы получателей Exchange	Разрешающий элемент управления доступом	Все	Запись свойства	displayName
Администраторы получателей Exchange	Разрешающий элемент управления доступом	Все	Запись свойства	adminDisplayName
Администраторы получателей Exchange	Разрешающий элемент управления доступом	Все	Запись свойства	displayNamePrintable
Администраторы получателей Exchange	Разрешающий элемент управления доступом	Все	Запись свойства	publicDelegates
Администраторы получателей Exchange	Разрешающий элемент управления доступом	Все	Запись свойства	garbageCollPeriod
Администраторы получателей Exchange	Разрешающий элемент управления доступом	Все	Запись свойства	textEncodedORAddress
Администраторы получателей Exchange	Разрешающий элемент управления доступом	Все	Запись свойства	showInAddressBook
Администраторы получателей Exchange	Разрешающий элемент управления доступом	Все	Запись свойства	proxyAddresses
Администраторы получателей Exchange	Разрешающий элемент управления доступом	Все	Запись свойства	mail
Администраторы получателей Exchange	Разрешающий элемент управления доступом	Все	Создание дочернего объекта Удаление дочернего объекта	msExchDynamicDistributionList
Администраторы получателей Exchange	Разрешающий элемент управления доступом	Desc	Полный доступ	msExchDynamicDistributionList

Различающееся имя объекта: CN=Microsoft Exchange System Objects,DC=<домен>

Учетная запись	Тип элемента управления доступом	Наследование	Разрешения	К свойству	Комментарии
Серверы Exchange	Разрешающий элемент управления доступом	Все	Чтение Удаление дерева
Серверы Exchange	Запрещающий элемент управления доступом	Все	Удаление дерева		Служба обновления получателей Exchange 2003 удалит элементы управления доступом на чтение из контейнера системных объектов Microsoft Exchange (MESO)
Серверы Exchange	Разрешающий элемент управления доступом	Все	Создание дочернего объекта Удаление дочернего объекта	publicFolder
Серверы Exchange	Разрешающий элемент управления доступом	Desc	Запись свойства	publicFolder
Серверы Exchange	Разрешающий элемент управления доступом	Все	Создание дочернего объекта	msExchSystemMailbox
Серверы Exchange	Разрешающий элемент управления доступом	Desc	Запись свойства	msExchSystemMailbox
Администраторы организации Exchange	Разрешающий элемент управления доступом	Все	Удаление дочернего объекта	msExchSystemMailbox
Прошедшие проверку	Разрешающий элемент управления доступом	Все	Чтение разрешений
Прошедшие проверку	Разрешающий элемент управления доступом	Все	Чтение
Прошедшие проверку	Разрешающий элемент управления доступом	Все	Чтение свойства	garbageCollPeriod adminDisplayName modifyTimeStamp
Администраторы общих папок Exchange	Разрешающий элемент управления доступом	Все	Чтение свойства Запись свойства	Exchange-Information / publicFolder Exchange-Personal-Information / publicFolder legacyExchangeDN / publicFolder displayName / publicFolder displayNamePrintable / publicFolder publicDelegates / publicFolder garbageCollPeriod / publicFolder textEncodedORAddress / publicFolder showInAddressBook / publicFolder proxyAddresses / publicFolder mail / publicFolder pFContacts / publicFolder msDS-PhoneticDisplayName / publicFolder cn / publicFolder name / publicFolder	Разрешает роли администратора общих папок Exchange управлять связанными с почтой свойствами прокси-объектов общих папок, поддерживающих почту.
Администраторы общих папок Exchange	Разрешающий элемент управления доступом	Все	Чтение свойства

Установка сервера

В процессе установки ролей транспортного сервера-концентратора, сервера единой системы обмена сообщениями, сервера почтовых ящиков и сервера клиентского доступа программа установки добавляет группу безопасности «Администраторы организации Exchange» в административную группу безопасности на локальном компьютере, чтобы члены административной группы с именем «Администраторы организации Exchange» могли управлять сервером.

В приведенной ниже таблице показаны разрешения, устанавливаемые при установке ролей транспортного сервера-концентратора, сервера единой системы обмена сообщениями, сервера почтовых ящиков или сервера клиентского доступа на компьютер, не входящий в кластер.

Различающееся имя объекта: CN=<сервер>,CN=Servers,CN=<административная_группа>,CN=Administrative Groups,CN=<организация>

Учетная запись	Тип элемента управления доступом	Наследование	Разрешения	К свойству	Комментарии
MACHINE$	Разрешающий элемент управления доступом	Все	Чтение
MACHINE$	Разрешающий элемент управления доступом	None	Запись свойства	msExchServerSite msExchEdgeSyncCredential
Серверы Exchange	Разрешающий элемент управления доступом	Все	Доступ к транспорту хранилища Ограниченное делегирование хранилища Доступ к хранилищу только для чтения Доступ к хранилищу на чтение и запись		Расширенное право
Прошедшие проверку	Разрешающий элемент управления доступом	None	Чтение свойств		Элемент управления доступом определен в схеме для класса msExchExchangeServer объектов defaultSecurityDescriptor.

Установка кластерного сервера почтовых ящиков

При установке кластерного сервера почтовых ящиков устанавливаются разрешения, перечисленные в приведенной ниже таблице разрешений.

Различающееся имя объекта: CN=<сервер>,CN=Servers,CN=<административная_группа>,CN=Administrative Groups,CN=<организация>

Учетная запись	Тип элемента управления доступом	Наследование	Разрешения	К свойству	Комментарии
CLUSTEREDNODE$	Разрешающий элемент управления доступом	Все	Чтение		Это разрешение получают первые установленные узлы.
CLUSTEREDNODE$	Разрешающий элемент управления доступом	Все	Полный доступ		Это разрешение получают все узлы, установленные в кластер Exchange позднее.
CLUSTEREDNODE$	Разрешающий элемент управления доступом	None	Запись свойства	msExchServerSite msExchEdgeSyncCredential
Серверы Exchange	Разрешающий элемент управления доступом	Все	Доступ к транспорту хранилища Ограниченное делегирование хранилища Доступ к хранилищу только для чтения Доступ к хранилищу на чтение и запись		Расширенное право
Прошедшие проверку	Разрешающий элемент управления доступом	None	Чтение свойств		Элемент управления доступом определен в схеме для класса msExchExchangeServer объектов defaultSecurityDescriptor.

Учетная запись компьютера кластерного сервера почтовых ящиков

При установке кластерного сервера почтовых ящиков для учетной записи компьютера кластерного сервера почтовых ящиков устанавливаются разрешения из приведенной ниже таблицы разрешений.

Различающееся имя объекта: CN=<сервер>,CN=Computers,DC=<домен> or CN=<сервер>,OU=<подразделение>,DC=<домен>

Учетная запись	Тип элемента управления доступом	Наследование	Разрешения	К свойству
Учетная запись службы кластеров	Разрешающий элемент управления доступом	None	Чтение Управление доступом
Учетная запись службы кластеров	Разрешающий элемент управления доступом	None	Запись свойства	Сведения о входе
Учетная запись службы кластеров	Разрешающий элемент управления доступом	None	Запись свойства	Описание
Учетная запись службы кластеров	Разрешающий элемент управления доступом	None	Запись свойства	sAMAccountName
Учетная запись службы кластеров	Разрешающий элемент управления доступом	None	Запись свойства	Ограничения учетной записи
Учетная запись службы кластеров	Разрешающий элемент управления доступом	None	Удостоверенная запись на узел с DNS-именем
Учетная запись службы кластеров	Разрешающий элемент управления доступом	None	Удостоверенная запись на узел с именем участника службы

Пограничный транспортный сервер

При установке пограничного транспортного сервера и установлении пограничной подписки с организацией Exchange устанавливаются разрешения из приведенной ниже таблицы разрешений.

Различающееся имя объекта: CN=<сервер>,CN=Servers,CN=<административная_группа>,CN=Administrative Groups,CN=<организация>

Учетная запись	Тип элемента управления доступом	Наследование	Разрешения	К свойству	Комментарии
Серверы Exchange	Разрешающий элемент управления доступом	Все	Запись свойства
Прошедшие проверку	Разрешающий элемент управления доступом	None	Чтение свойств		Элемент управления доступом определен в схеме для класса msExchExchangeServer объектов defaultSecurityDescriptor.

Установка сервера клиентского доступа

В процессе установки первого сервера клиентского доступа создается указанный ниже контейнер. В приведенной ниже таблице разрешений показаны применяемые разрешения.

Различающееся имя объекта: CN=Availability Configuration,CN=<организация>

Учетная запись	Тип элемента управления доступом	Наследование	Разрешения	К свойству	Комментарии
Серверы Exchange	Разрешающий элемент управления доступом	Desc	Чтение свойства	msExchAvailabilityUserPassword / msExchAvailabilityAddressSpaceObjects	Расширенное право

Установка транспортного сервера-концентратора

В процессе установки каждого транспортного сервера-концентратора устанавливаются указанные ниже разрешения.

Различающееся имя объекта: CN=Default <сервер>,CN=SMTP Receive Connectors,CN=Protocols,CN=<сервер>,CN=Servers,CN=<административная_группа>,CN=<организация>

Учетная запись	Тип элемента управления доступом	Наследование	Разрешения	Комментарии
ExchangeLegacyInterop	Запрещающий элемент управления доступом	Все	Принимать заголовки леса
ExchangeLegacyInterop	Запрещающий элемент управления доступом	Все	Принимать заголовки организации
Серверы Exchange	Разрешающий элемент управления доступом	Все	Принимать любого отправителя
ExchangeLegacyInterop	Разрешающий элемент управления доступом	Все	Принимать любого отправителя
S-1-9-1419165041-1139599005-3936102811-1022490595-21	Разрешающий элемент управления доступом	Все	Принимать любого отправителя	Это известный идентификатор безопасности (ИД безопасности) для транспортных серверов-концентраторов.
S-1-9-1419165041-1139599005-3936102811-1022490595-22	Разрешающий элемент управления доступом	Все	Принимать любого отправителя	Это известный идентификатор безопасности для пограничных транспортных серверов.
S-1-9-1419165041-1139599005-3936102811-1022490595-23	Разрешающий элемент управления доступом	Все	Принимать любого отправителя	Это известный идентификатор безопасности серверов с внешней защитой.
Серверы Exchange	Разрешающий элемент управления доступом	Все	Принимать EXCH50
ExchangeLegacyInterop	Разрешающий элемент управления доступом	Все	Принимать EXCH50
S-1-9-1419165041-1139599005-3936102811-1022490595-21	Разрешающий элемент управления доступом	Все	Принимать EXCH50	Это известный идентификатор безопасности для транспортных серверов-концентраторов.
S-1-9-1419165041-1139599005-3936102811-1022490595-22	Разрешающий элемент управления доступом	Все	Принимать EXCH50	Это известный идентификатор безопасности для пограничных транспортных серверов.
S-1-9-1419165041-1139599005-3936102811-1022490595-23	Разрешающий элемент управления доступом	Все	Принимать EXCH50	Это известный идентификатор безопасности серверов с внешней защитой.
Серверы Exchange	Разрешающий элемент управления доступом	Все	Отправлять сообщения любому получателю
ExchangeLegacyInterop	Разрешающий элемент управления доступом	Все	Отправлять сообщения любому получателю
S-1-9-1419165041-1139599005-3936102811-1022490595-21	Разрешающий элемент управления доступом	Все	Отправлять сообщения любому получателю	Это известный идентификатор безопасности для транспортных серверов-концентраторов.
S-1-9-1419165041-1139599005-3936102811-1022490595-22	Разрешающий элемент управления доступом	Все	Отправлять сообщения любому получателю	Это известный идентификатор безопасности для пограничных транспортных серверов.
S-1-9-1419165041-1139599005-3936102811-1022490595-23	Разрешающий элемент управления доступом	Все	Отправлять сообщения любому получателю	Это известный идентификатор безопасности серверов с внешней защитой.
Серверы Exchange	Разрешающий элемент управления доступом	Все	Принимать заголовки маршрутизации
ExchangeLegacyInterop	Разрешающий элемент управления доступом	Все	Принимать заголовки маршрутизации
S-1-9-1419165041-1139599005-3936102811-1022490595-21	Разрешающий элемент управления доступом	Все	Принимать заголовки маршрутизации	Это известный идентификатор безопасности для транспортных серверов-концентраторов.
S-1-9-1419165041-1139599005-3936102811-1022490595-22	Разрешающий элемент управления доступом	Все	Принимать заголовки маршрутизации	Это известный идентификатор безопасности для пограничных транспортных серверов.
S-1-9-1419165041-1139599005-3936102811-1022490595-23	Разрешающий элемент управления доступом	Все	Принимать заголовки маршрутизации	Это известный идентификатор безопасности серверов с внешней защитой.
Серверы Exchange	Разрешающий элемент управления доступом	Все	Принимать заголовки леса
S-1-9-1419165041-1139599005-3936102811-1022490595-21	Разрешающий элемент управления доступом	Все	Принимать заголовки леса	Это известный идентификатор безопасности для транспортных серверов-концентраторов.
S-1-9-1419165041-1139599005-3936102811-1022490595-22	Разрешающий элемент управления доступом	Все	Принимать заголовки леса	Это известный идентификатор безопасности для пограничных транспортных серверов.
Серверы Exchange	Разрешающий элемент управления доступом	Все	Принимать флаг проверки подлинности
ExchangeLegacyInterop	Разрешающий элемент управления доступом	Все	Принимать флаг проверки подлинности
S-1-9-1419165041-1139599005-3936102811-1022490595-21	Разрешающий элемент управления доступом	Все	Принимать флаг проверки подлинности	Это известный идентификатор безопасности для транспортных серверов-концентраторов.
S-1-9-1419165041-1139599005-3936102811-1022490595-22	Разрешающий элемент управления доступом	Все	Принимать флаг проверки подлинности	Это известный идентификатор безопасности для пограничных транспортных серверов.
S-1-9-1419165041-1139599005-3936102811-1022490595-23	Разрешающий элемент управления доступом	Все	Принимать флаг проверки подлинности	Это известный идентификатор безопасности серверов с внешней защитой.
Серверы Exchange	Разрешающий элемент управления доступом	Все	Обходить защиту от нежелательной почты
ExchangeLegacyInterop	Разрешающий элемент управления доступом	Все	Обходить защиту от нежелательной почты
S-1-9-1419165041-1139599005-3936102811-1022490595-21	Разрешающий элемент управления доступом	Все	Обходить защиту от нежелательной почты	Это известный идентификатор безопасности для транспортных серверов-концентраторов.
S-1-9-1419165041-1139599005-3936102811-1022490595-22	Разрешающий элемент управления доступом	Все	Обходить защиту от нежелательной почты	Это известный идентификатор безопасности для пограничных транспортных серверов.
S-1-9-1419165041-1139599005-3936102811-1022490595-23	Разрешающий элемент управления доступом	Все	Обходить защиту от нежелательной почты	Это известный идентификатор безопасности серверов с внешней защитой.
Серверы Exchange	Разрешающий элемент управления доступом	Все	Обходить предел размера сообщения
ExchangeLegacyInterop	Разрешающий элемент управления доступом	Все	Обходить предел размера сообщения
S-1-9-1419165041-1139599005-3936102811-1022490595-21	Разрешающий элемент управления доступом	Все	Обходить предел размера сообщения	Это известный идентификатор безопасности для транспортных серверов-концентраторов.
S-1-9-1419165041-1139599005-3936102811-1022490595-22	Разрешающий элемент управления доступом	Все	Обходить предел размера сообщения	Это известный идентификатор безопасности для пограничных транспортных серверов.
S-1-9-1419165041-1139599005-3936102811-1022490595-23	Разрешающий элемент управления доступом	Все	Обходить предел размера сообщения	Это известный идентификатор безопасности серверов с внешней защитой.
Серверы Exchange	Разрешающий элемент управления доступом	Все	Принимать заголовки организации
S-1-9-1419165041-1139599005-3936102811-1022490595-21	Разрешающий элемент управления доступом	Все	Принимать заголовки организации	Это известный идентификатор безопасности для транспортных серверов-концентраторов.
S-1-9-1419165041-1139599005-3936102811-1022490595-22	Разрешающий элемент управления доступом	Все	Принимать заголовки организации	Это известный идентификатор безопасности для пограничных транспортных серверов.
Серверы Exchange	Разрешающий элемент управления доступом	Все	Отправлять сообщения серверу
ExchangeLegacyInterop	Разрешающий элемент управления доступом	Все	Отправлять сообщения серверу
S-1-9-1419165041-1139599005-3936102811-1022490595-21	Разрешающий элемент управления доступом	Все	Отправлять сообщения серверу	Это известный идентификатор безопасности для транспортных серверов-концентраторов.
S-1-9-1419165041-1139599005-3936102811-1022490595-22	Разрешающий элемент управления доступом	Все	Отправлять сообщения серверу	Это известный идентификатор безопасности для пограничных транспортных серверов.
S-1-9-1419165041-1139599005-3936102811-1022490595-23	Разрешающий элемент управления доступом	Все	Отправлять сообщения серверу	Это известный идентификатор безопасности серверов с внешней защитой.
Серверы Exchange	Разрешающий элемент управления доступом	Все	Принимать отправителей доверенного домена
ExchangeLegacyInterop	Разрешающий элемент управления доступом	Все	Принимать отправителей доверенного домена
S-1-9-1419165041-1139599005-3936102811-1022490595-21	Разрешающий элемент управления доступом	Все	Принимать отправителей доверенного домена	Это известный идентификатор безопасности для транспортных серверов-концентраторов.
S-1-9-1419165041-1139599005-3936102811-1022490595-22	Разрешающий элемент управления доступом	Все	Принимать отправителей доверенного домена	Это известный идентификатор безопасности для пограничных транспортных серверов.
S-1-9-1419165041-1139599005-3936102811-1022490595-23	Разрешающий элемент управления доступом	Все	Принимать отправителей доверенного домена	Это известный идентификатор безопасности серверов с внешней защитой.
Прошедшие проверку	Разрешающий элемент управления доступом	Все	Отправлять сообщения любому получателю
Прошедшие проверку	Разрешающий элемент управления доступом	Все	Принимать заголовки маршрутизации
Прошедшие проверку	Разрешающий элемент управления доступом	Все	Принимать заголовки маршрутизации
Прошедшие проверку	Разрешающий элемент управления доступом	Все	Обходить защиту от нежелательной почты
Прошедшие проверку	Разрешающий элемент управления доступом	Все	Отправлять сообщения серверу

Различающееся имя объекта: CN=Client <сервер>,CN=SMTP Receive Connectors,CN=Protocols,CN=<сервер>,CN=Servers,CN=<административная_группа>,CN=<организация>

Учетная запись	Тип элемента управления доступом	Наследование	Разрешения
Прошедшие проверку	Разрешающий элемент управления доступом	Все	Отправлять сообщения любому получателю
Прошедшие проверку	Разрешающий элемент управления доступом	Все	Принимать заголовки маршрутизации
Прошедшие проверку	Разрешающий элемент управления доступом	Все	Обходить защиту от нежелательной почты
Прошедшие проверку	Разрешающий элемент управления доступом	Все	Отправлять сообщения серверу

Создание соединителя отправки SMTP

В приведенной ниже таблице показаны разрешения, устанавливаемые при создании соединителей отправки.

Различающееся имя объекта: CN=<имя_соединителя>,CN=Connections,CN=<группа_маршрутизации>,CN=Routing Groups, CN=<административная_группа>,CN=<организация>

Учетная запись	Тип элемента управления доступом	Наследование	Разрешения	Комментарии
Серверы Exchange	Разрешающий элемент управления доступом	Все	Отправлять заголовки организации
S-1-9-1419165041-1139599005-3936102811-1022490595-21	Разрешающий элемент управления доступом	Все	Отправлять заголовки организации	Это известный идентификатор безопасности для транспортных серверов-концентраторов.
S-1-9-1419165041-1139599005-3936102811-1022490595-22	Разрешающий элемент управления доступом	Все	Отправлять заголовки организации	Это известный идентификатор безопасности для пограничных транспортных серверов.
Серверы Exchange	Разрешающий элемент управления доступом	Все	Отправлять заголовки леса
S-1-9-1419165041-1139599005-3936102811-1022490595-21	Разрешающий элемент управления доступом	Все	Отправлять заголовки леса	Это известный идентификатор безопасности для транспортных серверов-концентраторов.
S-1-9-1419165041-1139599005-3936102811-1022490595-22	Разрешающий элемент управления доступом	Все	Отправлять заголовки леса	Это известный идентификатор безопасности для пограничных транспортных серверов.
Серверы Exchange	Разрешающий элемент управления доступом	Все	Отправлять заголовки маршрутизации
S-1-9-1419165041-1139599005-3936102811-1022490595-10	Разрешающий элемент управления доступом	Все	Отправлять заголовки маршрутизации	Это известный идентификатор безопасности для серверов-партнеров.
S-1-9-1419165041-1139599005-3936102811-1022490595-21	Разрешающий элемент управления доступом	Все	Отправлять заголовки маршрутизации	Это известный идентификатор безопасности для транспортных серверов-концентраторов.
S-1-9-1419165041-1139599005-3936102811-1022490595-22	Разрешающий элемент управления доступом	Все	Отправлять заголовки маршрутизации	Это известный идентификатор безопасности для пограничных транспортных серверов.
S-1-9-1419165041-1139599005-3936102811-1022490595-23	Разрешающий элемент управления доступом	Все	Отправлять заголовки маршрутизации	Это известный идентификатор безопасности серверов с внешней защитой.
S-1-9-1419165041-1139599005-3936102811-1022490595-24	Разрешающий элемент управления доступом	Все	Отправлять заголовки маршрутизации	Это известный идентификатор безопасности для устаревших серверов Exchange.
АНОНИМНЫЙ ВХОД	Разрешающий элемент управления доступом	Все	Отправлять заголовки маршрутизации
Серверы Exchange	Разрешающий элемент управления доступом	Все	Отправлять Exch50
S-1-9-1419165041-1139599005-3936102811-1022490595-21	Разрешающий элемент управления доступом	Все	Отправлять Exch50	Это известный идентификатор безопасности для транспортных серверов-концентраторов.
S-1-9-1419165041-1139599005-3936102811-1022490595-22	Разрешающий элемент управления доступом	Все	Отправлять Exch50	Это известный идентификатор безопасности для пограничных транспортных серверов.
S-1-9-1419165041-1139599005-3936102811-1022490595-23	Разрешающий элемент управления доступом	Все	Отправлять Exch50	Это известный идентификатор безопасности серверов с внешней защитой.
S-1-9-1419165041-1139599005-3936102811-1022490595-24	Разрешающий элемент управления доступом	Все	Отправлять Exch50	Это известный идентификатор безопасности для устаревших серверов Exchange.