При применении делегированных разрешений на уровне домена разрешения наследуются всеми объектами, включая пользователей, контакты, группы, DNS домена и компьютеры. На контроллерах доменов с Microsoft Windows 2000 Server добавление наследуемых элементов управления доступом на уровне домена приводит к изменению DACL для каждого объекта в домене. В зависимости от количества добавленных элементов управления доступом и числа объектов в домене эти изменения могут приводить к переполнению ACL. Переполнение ACL — это увеличение размера ACL за счет наличия у объектов ненужных элементов управления доступом. Переполнение ACL приводит к увеличению физического размера файла Ntds.dit во всех контроллерах домена в данном домене. Это может стать причиной возникновения проблем с производительностью Active Directory.

На контроллерах доменов с Microsoft Windows Server 2003 уникальный дескриптор безопасности не сохраняется для каждого объекта, который его наследует, а сохраняется только один раз. Это снижает избыточность данных и рост базы данных в результате изменений в наследуемых элементах управления доступом.

Рекомендуется применять разрешения к родительскому подразделению. Это позволяет применять разрешения только к объектам определенного класса, которые содержатся в подразделении и его дочерних контейнерах. Для применения данного метода необходимо, чтобы все управляемые объекты находились в одном родительском подразделении. Этот способ может быть невозможно использовать в организации из-за бизнес-требований. В таком случае можно применить разрешения к нескольким подразделениям.

Благодаря реализации наборов свойств в Exchange 2007 для реализации модели разделения разрешений требуется гораздо меньше элементов управления доступом, чем в более ранних версиях Exchange Server.

Для управления всеми свойствами, связанными с почтой, администратор сервера Exchange 2007 должен иметь перечисленные ниже разрешения в разделе домена.

• Доступ на запись к следующим наборам свойств:
  
  
  • личные сведения Exchange
    
    
  • сведения Exchange
    
    
• Доступ на запись к следующим атрибутам:
  
  
  • legacyExchangeDN
    
    
  • displayName
    
    
  • adminDisplayName
    
    
  • displayNamePrintable
    
    
  • publicDelegates
    
    
  • garbageCollPeriod
    
    
  • textEncodedORAddress
    
    
  • showInAddressBook
    
    
  • proxyAddresses
    
    
  • mail
    
    
• Разрешение на создание объектов msExchDynamicDistributionList
  
  
• Разрешение на удаление объектов msExchDynamicDistributionList
  
  
• Разрешение «Полный доступ» для объектов msExchDynamicDistributionList
  
  
• Разрешение «Обычное чтение», включающее разрешение на чтение, а также разрешения «Список содержимого», «Список объектов» и «Чтение всех свойств».
  
  

В дополнение к этим разрешениям администратор получателей должен также иметь следующие разрешения в организации Exchange:

• роль администратора Exchange с правами на просмотр или более высокую роль.
  
  

  Примечание.
  Для определенных операций, например перемещения почтовых ящиков, требуется роль администратора сервера Exchange или более высокая роль.

• Доступ на запись к атрибутам msExchLastAppliedRecipientFilter и msExchRecipientFilterFlags контейнера списков адресов в организации Exchange. Эти разрешения необходимы, чтобы администратор получателей мог выполнить командлет Update-AddressList.
  
  
• Доступ на запись к атрибутам msExchLastAppliedRecipientFilter и msExchRecipientFilterFlags контейнера политик получателей в организации Exchange. Эти разрешения необходимы, чтобы администратор получателей мог выполнить командлет Update-EmailAddressPolicy.
  
  
• Расширенное право доступа к службе обновления получателей в административной группе Exchange 2007. Это расширенное право необходимо, так как в Exchange 2007 во время подготовки для получателей указываются сведения, относящиеся к адресу.
  
  

Примечание.
Эти разрешения предназначены для управления атрибутами, относящимися к Exchange. Администраторы Exchange могут управлять атрибутами, созданными вне сервера Exchange, только в том случае, если им делегированы соответствующие разрешения.

В этом разделе приведен пример использования командной командной консоли Exchange для делегирования разрешений.

Приведенные в данном примере команды позволяют администраторам в группе безопасности OU1AdminGroup включать и отключать поддержку почты для получателей, управлять адресами электронной почты и отображаемыми именами всех пользователей, групп и контактов, содержащихся в иерархии подразделения Container1 в лесу Contoso.com, который содержит организацию Exchange ContosoOrg.

Если необходимо выполнить эти задачи в организации, выполните указанные ниже команды для каждого контейнера, к которому необходимо предоставить доступ. Замените имя домена, организации Exchange и сведения об учетной записи сведениями о собственном домене.

Для предоставления разрешений команды нужно выполнять в указанном порядке.

1. Для управления атрибутами объектов, относящимися к серверу Exchange, в подразделении выполните следующую команду:
   
   

   	Копировать код
   Add-ADPermission -Identity "ou=Container1,dc=Contoso,dc=com" -User "Contoso\OU1AdminGroup" -AccessRights ReadProperty, WriteProperty -Properties Exchange-Information, Exchange-Personal-Information, legacyExchangeDN, displayName, adminDisplayName, displayNamePrintable, publicDelegates, garbageCollPeriod, textEncodedORAddress, showInAddressBook, proxyAddresses, mail

2. Для предоставления общего разрешения на чтение для всех объектов в подразделении выполните следующую команду:
   
   

   	Копировать код
   Add-ADPermission -Identity "ou=Container1,dc=Contoso,dc=com" -User "Contoso\OU1AdminGroup" -AccessRights GenericRead

3. Для предоставления соответствующего разрешения на управление динамическими группами рассылки в подразделении выполните следующие команды:
   
   

   	Копировать код
   Add-ADPermission -Identity "ou=Container1,dc=Contoso,dc=com" -User "Contoso\OU1AdminGroup" -AccessRights GenericAll -InheritanceType Descendents -InheritedObjectType msExchDynamicDistributionList Add-ADPermission -Identity "ou=Container1,dc=Contoso,dc=com" -User "Contoso\OU1AdminGroup" -AccessRights CreateChild, DeleteChild -ChildObjectTypes msExchDynamicDistributionList

   Для Exchange Server 2007 с пакетом обновления 1 (SP1) выполните следующую команду:
   
   

   	Копировать код
   ADPermission -Identity "ou=Container1,dc=Contoso,dc=com" -User "Contoso\OU1AdminGroup" -AccessRights GenericAll -ChildObjectTypes msExchDynamicDistributionList

4. Для предоставления группе безопасности OU1AdminGroup расширенного права доступа к службе обновления получателей выполните следующую команду:
   
   

   	Копировать код
   Add-ADPermission -Identity "CN=Exchange Administrative Group (FYDIBOHF23SPDLT),CN=Administrative Groups,CN=ContosoOrg,CN=Microsoft Exchange,CN=Services,CN=Configuration,DC=Contoso,DC=com" -User "Contoso\OU1AdminGroup " -InheritedObjectType ms-Exch-Exchange-Server -ExtendedRights ms-Exch-Recipient-Update-Access -InheritanceType Descendents

5. Для предоставления группе безопасности OU1AdminGroup возможности обновлять списки адресов и политики адресов электронной почты выполните следующие команды:
   
   

   Копировать код

   Add-ADPermission -Identity "CN=Address Lists Container,CN=ContosoOrg,CN=Microsoft Exchange,CN=Services,CN=Configuration,DC=Contoso,DC=com" -User "company\OU1AdminGroup" -AccessRights WriteProperty -Properties msExchLastAppliedRecipientFilter, msExchRecipientFilterFlags Add-ADPermission -Identity "CN=Recipient Policies,CN=ContosoOrg,CN=Microsoft Exchange,CN=Services,CN=Configuration,DC=Contoso,DC=com" -User "company\OU1AdminGroup" -AccessRights WriteProperty -Properties msExchLastAppliedRecipientFilter, msExchRecipientFilterFlags

При успешном выполнении каждой команды выводятся добавленные к объекту элементы управления доступом.

В этом разделе приведен пример использования средства DSACLS (Dsacls.exe) для применения разрешений.

DSACLS — это средство командной строки, которое можно использовать для запроса и изменения разрешений и атрибутов безопасности объектов Active Directory. Средство DSACLS входит в средства поддержки Windows Server 2003. Это средство командной строки также является эквивалентом вкладки Безопасность в таких оснастках Windows 2000 Server Active Directory, как «Active Directory — пользователи и компьютеры» и «Active Directory — сайты и службы».

Приведенные в данном примере команды позволяют администраторам в группе безопасности OU1AdminGroup включать и отключать поддержку почты для получателей, управлять адресами электронной почты и отображаемыми именами пользователей, групп и контактов, содержащихся в иерархии подразделения OUContainer1 в лесу Contoso.com, который содержит организацию Exchange ContosoOrg.

Примечание.

Команды средства DSACLS должны вводиться с учетом регистра. Необходимо точно соблюдать синтаксис при вводе команд для средства DSACLS, так как все символы передаются в том виде, в котором они были введены. Это также относится к пробелам и символам возврата каретки. При получении ошибок средства DSACLS убедитесь в том, что команда введена правильно, или попытайтесь разбить команду на более короткие сегменты. Дополнительные сведения об использовании средства DSACLS см. в статье 281146 базы знаний Майкрософт Использование Dsacls.exe в Windows Server 2003 и Windows 2000 (на английском языке).

Для предоставления разрешений команды нужно выполнять в указанном порядке.

1. Войдите в систему компьютера в лесу, на котором установлены средства поддержки Windows, с учетной записью, которая позволяет выполнять нужные задачи, например с учетной записью администратора домена. Замените имя домена, имя организации Exchange и сведения об учетной записи сведениями о собственном домене.
   
   
2. Для управления атрибутами объектов, относящимися к серверу Exchange, в подразделении откройте окно командной строки и введите следующие команды:
   
   

   Копировать код

   dsacls "OU=OUContainer1,DC=Contoso,DC=com" /I:T /G "Contoso\OU1AdminGroup:RPWP;legacyExchangeDN" "Contoso\OU1AdminGroup:RPWP;displayName" "Contoso\OU1AdminGroup:RPWP;adminDisplayName" "Contoso\OU1AdminGroup:RPWP;displayNamePrintable" "Contoso\OU1AdminGroup:RPWP;publicDelegates" "Contoso\OU1AdminGroup:RPWP;garbageCollPeriod" "Contoso\OU1AdminGroup:RPWP;textEncodedORAddress" "Contoso\OU1AdminGroup:RPWP;showInAddressBook" "Contoso\OU1AdminGroup:RPWP;proxyAddresses" "Contoso\OU1AdminGroup:RPWP;mail" "Contoso\OU1AdminGroup:RPWP;Exchange Personal Information" "Contoso\OU1AdminGroup:RPWP;Exchange Information" "Contoso\OU1AdminGroup:CCDC;msExchDynamicDistributionList" "Contoso\OU1AdminGroup:GR;"

3. Для предоставления соответствующих разрешений на управление динамическими группами рассылки в подразделении откройте окно командной строки и введите следующую команду:
   
   

   	Копировать код
   dsacls "OU=OUContainer1,DC=Contoso,DC=com" /I:S /G "Contoso\OU1AdminGroup:GA;; msExchDynamicDistributionList"

4. Для предоставления группе безопасности OU1AdminGroup расширенного права доступа к службе обновления получателей откройте окно командной строки и введите следующую команду:
   
   

   	Копировать код
   dsacls "CN=Exchange Administrative Group (FYDIBOHF23SPDLT),CN=Administrative Groups,CN=ContosoOrg,CN=Microsoft Exchange,CN=Services,CN=Configuration,DC=Contoso,DC=com" /I:S /G "Contoso\OU1AdminGroup:CA;Access Recipient Update Service;msExchExchangeServer"

5. Для предоставления группе безопасности OU1AdminGroup возможности обновлять списки адресов и политики адресов электронной почты откройте окно командной строки и введите следующие команды:
   
   

   Копировать код

   dsacls "CN=Address Lists Container, CN=ContosoOrg,CN=Microsoft Exchange,CN=Services,CN=Configuration,DC=Contoso,DC=com" /I:T /G "company\OU1AdminGroup:WP;msExchLastAppliedRecipientFilter" "company\OU1AdminGroup:WP;msExchRecipientFilterFlags" dsacls "CN=Recipient Policies, CN=ContosoOrg,CN=Microsoft Exchange,CN=Services,CN=Configuration,DC=Contoso,DC=com" /I:T /G "company\OU1AdminGroup:WP;msExchLastAppliedRecipientFilter" "company\OU1AdminGroup:WP;msExchRecipientFilterFlags"

При успешном выполнении команды выводится измененный дескриптор безопасности Windows, а в командной строке отображается сообщение The command completed successfully (Команда выполнена успешно).