Weboldal keresés

Felhasználók szétválasztása az Office 365-ben a címjegyzék-házirendek használatával

Miért kell elsősorban a felhasználókat különválasztani?

A Microsoft 365 számos beépített vezérlővel rendelkezik a felhasználók külső kommunikációjának kezelésére, azonban ezek a vezérlők általában nem terjednek ki a belső kommunikációra. Bár ez a legtöbb környezetben rendben van, vannak olyan helyzetek, amikor bizonyos fokú elválasztásra van szükség.

Például egy egyetem meg akarja akadályozni, hogy a hallgatók kommunikáljanak a létesítmény tagjaival, vagy egy több leányvállalattal rendelkező szervezet korlátozni akarja az alkalmazottak kommunikációját más leányvállalatokkal. Az egyik lehetőség több bérlő futtatása, ami azonban extra bonyolultságot és adminisztrációs erőfeszítést jelent. Gyakran jobb megoldás az Exchange Online Címjegyzék házirendek létrehozása és használata.

A címjegyzék irányelvei

Az Address Book Policy (ABP) nem újdonság az Exchange Online-ban. Azért léteznek, hogy a felhasználókat „virtuális szervezetekbe” csoportosítsák, amelyek mindegyike saját címlistával, globális címlistával (GAL), szobalistával és offline címjegyzékkel (OAB) rendelkezik. Ez eltér a hierarchikus címjegyzéktől, amely struktúrát ír elő a címlistákban, de nem kényszeríti ki az elkülönítést. Az ABP-k a Microsoft Teamsre is kiterjeszthetők a címtárkeresés hatókörére - bizonyos kikötésekkel.

Ebben a cikkben részletezem a Címjegyzék-házirendek konfigurációját, és azt, hogy miként bővíthetők ki csapatokra.

Címlisták konfigurálása

Mielőtt bármilyen ABP-t létrehozna, meg kell határoznia azokat az objektumokat, amelyeket a házirendek kezelni fognak. Minden ABP-nek legalább egy GAL-ra, egy OAB-ra, egy címlistára és egy szobalistára van szüksége. Két ABP létrehozásához minden komponensből legalább kettőre lesz szükség, az elválasztandó felhasználók készletei szerint.

Az alábbi PowerShell-példában az egyes összetevőket az Azure AD-fiókjukhoz tartozó vállalati felhasználók (Contoso vagy Fabrikam) alapján hoztam létre. A kód alapján további címlistákat is létrehozhat, például a terjesztési listákat:

##Create two GALs
New-GlobalAddressList -Name "Contoso GAL" -IncludedRecipients AllRecipients -ConditionalCompany Contoso
New-GlobalAddressList -Name "Fabrikam GAL" -IncludedRecipients AllRecipients -ConditionalCompany Fabrikam

##Create two Address Lists
New-AddressList -Name "Contoso" -IncludedRecipients MailboxUsers -ConditionalCompany Contoso
New-AddressList -Name "Fabrikam" -IncludedRecipients MailboxUsers -ConditionalCompany "Fabrikam"

##Create two Room Lists
New-AddressList -Name "Contoso Rooms" -RecipientFilter {(Company -eq "Contoso")-and (RecipientDisplayType -eq 'ConferenceRoomMailbox')}
New-AddressList -Name "Fabrikam Rooms" -RecipientFilter {(Company -eq "Fabrikam")-and (RecipientDisplayType -eq 'ConferenceRoomMailbox')}

##Create two OABs
New-OfflineAddressBook -Name "OAB_Contoso" -AddressLists "\Contoso", "\Contoso Rooms"
New-OfflineAddressBook -Name "OAB_Fabrikam" -AddressLists "\Fabrikam", "\Fabrikam Rooms"

Megjegyzés: A címlisták kezeléséhez fiókjához hozzá kell rendelni a „Címlisták” szerepkört az Exchange Online-ban - ez a szerepkör nem része a Szervezetkezelési szerepkörcsoportnak.

Hozzon létre címjegyzéki szabályzatokat

ABP-k létrehozásához engedélyezze az „Address Book Policy Routing” lehetőséget az Exchange Online szállítási konfigurációjában. Ez lehetővé teszi az ABP funkciót a bérlőben a Set-TransportConfig parancsmag futtatásával az AddressBookPolicyRouting True értékre állításával. Ennek eredménye az, hogy az Exchange szállítási szolgáltatást arra utasítja, hogy a különböző GAL-okban lévő felhasználókat külső címzettként tekintse egymásnak, ami azt jelenti, hogy az olyan funkciók működnek, mint a külső címzettek címkézése:

Set-TransportConfig -AddressBookPolicyRoutingEnabled $true

Végül használja a New-AddressBookPolicy parancsmagot az ABP-k létrehozásához. Az alábbi példában két ABP-t hozok létre a korábban a Contoso és a Fabrikam számára létrehozott objektumok alapján:

##Create two ABPs
New-AddressBookPolicy -Name "Contoso" -AddressLists "\Contoso" -OfflineAddressBook "\OAB_Contoso" -GlobalAddressList "\Contoso GAL" -RoomList "\Contoso Rooms"
New-AddressBookPolicy -Name "Fabrikam" -AddressLists "\Fabrikam" -OfflineAddressBook "\OAB_Fabrikam" -GlobalAddressList "\Fabrikam GAL" -RoomList "\Fabrikam Rooms"

A házirendek létrehozása után ellenőrizhetők az alábbi, 1. ábrán látható Get-AddressBookPolicy parancsmagok használatával:

Rendelje hozzá a házirendeket a felhasználókhoz

ABP-k az Exchange Admin Centerben rendelhetők hozzá az egyes postafiókokhoz. Nagy méretekben, amikor több száz postafiókhoz van szükség hozzárendelésre, ez nem praktikus. Sokkal gyorsabb a házirend beállítása a Set-Mailbox parancsmag segítségével.

Például lent megtalálom az összes felhasználói postafiókot a megfelelő vállalati attribútummal, és hozzáadom a megfelelő ABP-hez. Ebben a módszerben az a szép, hogy ütemezhető úgy, hogy új felhasználókat adjunk hozzá a megfelelő ABP-hez egy éjszakai munka részeként. A házirend hozzárendelésének módja nem fontos. Ami fontos, hogy a megfelelő ABP-t rendelje hozzá a megfelelő postafiókokhoz.

##Assign ABP to users
Get-Recipient -Filter '(Company -eq "Contoso") -and (recipienttypedetails -eq "usermailbox")' | Set-Mailbox -AddressBookPolicy Contoso
Get-Recipient -Filter '(Company -eq "Fabrikam") -and (recipienttypedetails -eq "usermailbox")' | Set-Mailbox -AddressBookPolicy Fabrikam

További információ: „Leválasztás joga” - Időzített felelősség kizárása az Exchange Online-ban az Azure Automation segítségével

Ha az irányelvet alkalmazza, a felhasználók már csak a postafiókjukhoz rendelt házirend által meghatározott címlistákat és tagokat látják, amint az a 2. ábrán látható:

Kivételek kezelése

Előfordulhatnak olyan esetek, amikor a felhasználónak látnia kell a különböző házirendekből származó több címlista tagjait. Nincs mód a felhasználóhoz rendelt címjegyzéki szabályzat megkerülésére, ezért új házirendre van szükség. Ennek a házirendnek tartalmaznia kell mindenki címlistáját, akivel a felhasználónak kapcsolatba kell lépnie.

Például, ha a Contoso és a Fabrikam közös vezérigazgatóval rendelkezik, akkor az összes alkalmazott számára láthatóvá kell válniuk, vállalattól függetlenül. Létrehozhat egy új szabályzatot az alábbi példában látható módon, hogy a vezérigazgató láthassa az összes címlistát:

##Create “All Staff” ABP
New-AddressBookPolicy -Name "All Staff Visible" -AddressLists "\Fabrikam", "\Contoso" -OfflineAddressBook "\Default OAB” -GlobalAddressList "\All Users GAL" -RoomList "\All Rooms"

Ebben a példában egyetlen további ABP is használható, de a felhasználói esetek és a felhasználók kombinációinak kielégítése nehézkessé válhat, ezért a legjobb, ha a dolgok egyszerűek.

ABP-k használata csapatokban

Az ABP-k kiterjeszthetők a Microsoft Teamsre, ha engedélyezi a „Hatókörű címtárkeresés Exchange-címjegyzék-házirend használatával” lehetőséget a Teams Felügyeleti Központ Teams Settings szakaszában, a 3. ábrán látható módon:

Ha ez a beállítás engedélyezve van, a Teamsben kereső felhasználók a hozzárendelt ABP által korlátozott eredményeket látnak, ahogy az a 4. ábrán látható:

Ha engedélyezi a hatókörű címtárkeresést a Teamsben, van néhány mellékhatás, amelyet figyelembe kell venni, ezért fontos ezt figyelembe venni, mielőtt engedélyezi.

Információs akadályok

Az információs akadályok (IB-k) olyanok, mint az APB-k, mert belső elválasztást is biztosítanak. A különbség az, hogy az IB-k teljes mértékben megakadályozzák az együttműködést a SharePoint, a OneDrive és a Teams számára. Az IB-k helyettesítik a bérlőben található melléktermékeket, így nem használhatók, amíg a környezetben még vannak ABP-k. Az IB-k kiépítése és a szegmensek hozzárendelése esetén a felhasználók azokhoz a szegmensekhez tartoznak, amelyekhez hozzá vannak rendelve.

Megjegyzés: Az IB-knek legalább Office 365 E5 vagy Office 365 A1/A3/A5 licenc szükséges

További információ: Office 365 licencjelentés létrehozása a Microsoft Graph SDK for PowerShell használatával

Mikor kell ABP-t használni?

Mielőtt az ABP-k bevezetése mellett döntene, néhány szempontot figyelembe kell vennie:

  • A változtatások replikációja nem lesz azonnali; néhány órát vesz igénybe a házirend-módosítás frissítése, és még tovább tart, ha a felhasználó gyorsítótárazott módot használ az Outlookban
  • Az információs korlátok nem használhatók, ha vannak melléktermékek. Az ABP-k eltávolítása az információs akadályokra való felkészülés során némi erőfeszítést igényel a házirendek eltávolítása minden felhasználótól (beleértve az inaktív postafiókokat is)
  • Az ABP-k nem akadályozzák meg az e-mailek (az IB-k sem) vagy a Teams-üzenetek elküldését
  • Az ABP-k Teamsre való kiterjesztése hatással van a csapatok felfedezésére
  • Nagy mennyiségű melléktermék kezelése bonyolulttá válhat
  • Az ABP-k nem akadályozzák meg a felhasználókat abban, hogy más Office 365-alkalmazásokon keresztül megtekintsenek másokat (kivéve a Teamst, ha engedélyezve van a hatókörű címtárkeresés)

Összefoglalóban

A legtöbb bérlő számára nincs szükség ABP-re, és csak megnehezíti a környezet kezelését. De ha olyan helyzetben van, amikor el kell különítenie a kommunikációt a különböző felhasználói csoportok között, az ABP-k rendkívül hasznosak lehetnek.

Kapcsolódó cikkek