Global Address List Trennung für Outlook

Vorbereitende Schritte:

Installieren der Supporttools für Windows Server 2003.

Erstellen einer universalen Sicherheitsgruppe "Deny-Default-AL". Diese Sicherheitsgruppe wird verwendet um den Zugriff auf die durch die Installation von Microsoft Exchange 2007 erstellen Adresslisten zu verweigern.

In die oben genannte Sicherheitsgruppe dürfen keine Benutzer aufgenommen werden, die die gesamte Exchangeorganisation administrieren sollen.

Einstellen der Berechtigungen für die Standardadresslisten.

Die Berechtigungen für den Zugriff auf globale Adresslisten kann nicht über die Exchangeverwaltungskonsole verwaltet werden. Dafür muss "ADSIEdit" aus den Support Tools ran.

In ADSIEdit eine Verbindung mit der Configurationpartition des Active Directory herstellen und der Gruppe "Deny-default-AL" alle Zugriffe auf die Adresslisten verweigern.

Dabei das "Default Offline Address Book" nicht vergessen.

Erstellen und Konfigurieren der zusätzlichen Adresslisten

Erstellen zusätzlicher Adresslisten

Zusätzliche Adresslisten können sowohl über die Exchange Management Konsole als auch über die Exchange PowerShell erstellt werden, außer globaler Adresslisten. Die müssen mithilfe der PowerShell generiert werden. Als Filterkriterium habe ich mich für das "Benutzerdefinierte Attribut 1" entschieden. In realen Umgebungen sollte im Vorfeld geprüft werden ob dieses Attribut bereits verwendet wird.

Im dargestellten Beispiel wird eine zusätzliche Globale Adressliste angelegt in der alle Empfängerobjekte enthalten sind deren Attribut "CustomAttribut1" die Zeichenkette "ITaCS" enthält. Mit zwei zusätzlichen Befehlszeilen werden weitere Globale Adresslisten angelegt und unsere Exchange Organisation verfügt jetzt über vier Globale Adresslisten. Das Ergebnis sieht dann so aus.

Erstellen der Sicherheitsgruppen für die Zugriffe auf die Globalen Adresslisten (GAL)

Jede der erzeugten GALs soll für eine Firma stehen, deren Adressinformationen nichts mit dem Adressinformationen der anderen Firmen zu tun hat. D.h. wir müssen die Zugriffe auf die Adresslisten wechselseitig verhindern. Dafür sollten jeweils Sicherheitsgruppen für die einzelnen Firmen erstellt werden, nach gleichen Schema wie für die "Default global Address List". Für unsere drei "Firmen" also genau sechs Gruppen.

"Deny-ITaCS-Demo-AL"     Members: SCaTI-Demo; Contoso-Demo

"Deny-SCaTI-Demo-AL"      Members: ITaCS-Demo; Contoso-Demo

"Deny-Contoso-Demo-AL"     Members: ITaCS-Demo; SCaTI-Demo

Die Benutzer der jeweiligen Firmen sind Mitglieder in den korrespondierenden Gruppen ihrer Firma.

Erstellen der Empfängerrichtlinien und der Domäneneinträge

Damit E-Mails für unsere verschiedenen Firmen empfangen werden können benötigen wir noch für jede Firma je eine Empfängerrichtlinie und einen Domäneneintrag innerhalb der Exchange Organisation. Das habe ich der Einfachheit halber über die PowerShell realisiert.

Setzen der Berechtigungen für die zusätzlichen Adresslisten

Hier kommt wieder ADSI Edit zum Zuge. Die Vorgehensweise entspricht der Einstellungen der Berechtigungen für die "Default Global Address List" und wird für jede zusätzliche globale Adressliste eingestellt.

Somit sind jetzt die Bedingungen geschaffen, um jedem Benutzer den Zugriff auf die GAL seiner Firma zu gewähren.

Abschließend aber eine schlechte Nachricht. Diese Konfiguration greift nur für Zugriffe mittels Outlook über MAPI bzw. über "Outlook Anywhere" (vormals RPC over http) und verhindert gleichzeitig die Verwendung des "Raum-Buttons" in Besprechungsanfragen. Für eine ähnliche Abbildung im OutlookWebAccess sind weitere Schritte notwendig, genau wie für die Bereitstellung von Offline Adressbüchern. Diese werde ich demnächst im Blog beschreiben.