Remarque
L’accès à cette page nécessite une autorisation. Vous pouvez essayer de vous connecter ou de modifier des répertoires.
L’accès à cette page nécessite une autorisation. Vous pouvez essayer de modifier des répertoires.
S’APPLIQUE à :
2016 2019 Édition d’abonnement
Microsoft Exchange Server inclut un grand nombre d’autorisations prédéfinies, basées sur le modèle d’autorisations basées sur le Access Control basé sur les rôles (RBAC), que vous pouvez utiliser immédiatement pour accorder facilement des autorisations à vos administrateurs et utilisateurs. Vous pouvez utiliser les fonctionnalités d’autorisation dans Exchange Server afin de rendre votre nouvelle organisation rapidement opérationnelle.
Remarque
La désactivation de l’héritage des autorisations sur les objets Active Directory (AD), dans un domaine AD préparé pour héberger Exchange, n’est pas prise en charge. La suppression des autorisations Exchange sur les objets AD entraînera l’arrêt des tâches et des fonctions Exchange ou peut entraîner des problèmes inconnus.
Autorisations basées sur des rôles
Dans Exchange Server, les autorisations que vous accordez aux administrateurs et aux utilisateurs sont basées sur les rôles de gestion. Un rôle définit un ensemble de tâches qu'un administrateur ou un utilisateur peut effectuer. Par exemple, un rôle de gestion appelé Mail Recipients définit les tâches qu’une personne peut effectuer sur un ensemble de boîtes aux lettres, de contacts et de groupes de distribution. Lorsqu'un rôle est assigné à un administrateur ou à un utilisateur, il obtient les autorisations associées à ce rôle.
Il existe deux types de rôles, à savoir les rôles administratifs et les rôles d’utilisateur final :
Rôles d’administration : ces rôles contiennent des autorisations qui peuvent être affectées aux administrateurs ou aux utilisateurs spécialisés à l’aide de groupes de rôles qui gèrent une partie de l’organisation Exchange, telle que les destinataires, les serveurs ou les bases de données.
Rôles d’utilisateur final : ces rôles, attribués à l’aide de stratégies d’attribution de rôles, permettent aux utilisateurs de gérer certains aspects de la boîte aux lettres et des groupes de distribution dont ils sont propriétaires. Les rôles d’utilisateur final commencent par le préfixe
My.
Lorsque les rôles sont attribués aux administrateurs et aux utilisateurs, il leur donne les autorisations nécessaires pour effectuer des tâches en mettant à leur disposition des applets de commande. Étant donné que le Centre d’administration Exchange (CAE) et l’environnement de ligne de commande Exchange Management Shell utilisent des applets de commande pour gérer Exchange, l’octroi de l’accès à une applet de commande donne à l’administrateur ou à l’utilisateur l’autorisation d’effectuer la tâche dans chacune des interfaces de gestion Exchange.
Groupes de rôles et stratégies d'attribution de rôle
Les rôles accordent des autorisations pour effectuer des tâches dans Exchange Server, mais vous avez besoin d’un moyen simple pour attribuer les rôles aux administrateurs et aux utilisateurs. Exchange Server vous propose les méthodes suivantes pour vous aider à le faire :
Groupes de rôles : Les groupes de rôles vous permettent d’accorder des autorisations aux administrateurs et aux utilisateurs spécialisés.
Stratégies d’attribution de rôle : Les stratégies d’attribution de rôle vous permettent d’accorder des autorisations aux utilisateurs finaux pour modifier les paramètres de la boîte aux lettres ou des groupes de distribution dont ils sont propriétaires.
Pour plus d'informations sur les groupes de rôles et les stratégies d'attribution de rôles, consultez les sections suivantes.
Groupes de rôles
Au moins un ou plusieurs rôles doivent être attribués à chaque administrateur qui gère Exchange Server. Les administrateurs peuvent avoir plusieurs rôles, car ils peuvent exercer des fonctions qui couvrent plusieurs domaines dans Exchange. Par exemple, un administrateur peut gérer à la fois les destinataires et les serveurs Exchange. Dans ce cas, les rôles et Exchange Servers peuvent être attribués à cet Mail Recipients administrateur.
Pour faciliter l’attribution de plusieurs rôles à un administrateur, Exchange Server inclut des groupes de rôles. Les groupes de rôles sont des groupes de sécurité universels spéciaux (USG) utilisés par Exchange Server qui peuvent contenir des utilisateurs AD, des USG et d’autres groupes de rôles. Quand un rôle est attribué à un groupe de rôles, les autorisations octroyées par ce rôle s'étendent à tous les membres du groupe de rôles. Cette fonctionnalité vous permet d’attribuer de nombreux rôles à de nombreux membres du groupe de rôles à la fois. Les groupes de rôles englobent généralement des domaines de gestion plus larges, comme la gestion des destinataires. Ils sont utilisés uniquement avec des rôles administratifs, et non avec des rôles d’utilisateur final.
Remarque
Il est possible d'attribuer un rôle directement à un utilisateur ou un groupe universel de sécurité sans utiliser de groupe de rôle. Cependant, cette méthode d'attribution de rôle est une procédure avancée qui n'est pas abordée dans cette rubrique. Nous vous recommandons d'utiliser des groupes de rôles pour gérer les autorisations.
La figure suivante montre la relation entre les utilisateurs, les groupes de rôles et les rôles.
Rôles, groupes de rôles et membres de groupes de rôles
Exchange Server inclut plusieurs groupes de rôles intégrés, chacun d’entre eux fournissant des autorisations pour gérer des zones spécifiques dans Exchange Server. Certains groupes de rôles peuvent se chevaucher. Le tableau suivant répertorie chaque groupe de rôles avec une description de son utilisation. Si vous souhaitez afficher les rôles attribués à chaque groupe de rôles, cliquez sur le nom du groupe de rôles dans la colonne « Groupe de rôles », puis accédez à la section « Rôles de gestion affectés à ce groupe de rôles ».
Importante
Si un administrateur est membre de plusieurs groupes de rôles, Exchange Server lui accorde toutes les autorisations fournies par ces groupes de rôles.
Groupes de rôles intégrés
| Groupe de rôles | Description |
|---|---|
| Gestion de l'organisation | Les administrateurs membres du groupe de rôles Gestion de l’organisation ont un accès administratif à l’ensemble du Exchange Server organization et peuvent effectuer presque toutes les tâches sur n’importe quel objet Exchange Server, à quelques exceptions près, comme le Discovery Management rôle. Important : le groupe de rôles Gestion de l’organisation étant un rôle puissant, seuls les utilisateurs ou les USG qui effectuent des tâches administratives au niveau de l’organisation susceptibles d’avoir un impact sur l’ensemble de l’organisation Exchange doivent être membres de ce groupe de rôles. |
| View-Only Organization Management | Les administrateurs membres du groupe de rôles Afficher uniquement la gestion de l'organisation peuvent afficher les propriétés de n'importe quel objet de l'organisation Exchange. |
| Gestion des destinataires | Les administrateurs membres du groupe de rôles Gestion des destinataires disposent d’un accès administratif pour créer ou modifier Exchange Server destinataires au sein du Exchange Server organization. |
| Gestion de messagerie unifiée | Les administrateurs qui sont membres du groupe de rôles Gestion de la messagerie unifiée peuvent gérer des fonctionnalités dans l'organisation Exchange comme la configuration du service de messagerie unifiée, les propriétés de messagerie unifiée des boîtes aux lettres, les invites de messagerie unifiée et la configuration du standard automatique de messagerie unifiée. (Remarque : UM n’est pas disponible sur Exchange 2019.) |
| Support technique | Par défaut, le groupe de rôles Support technique permet aux membres d’afficher et de modifier les options « Outlook sur le web » (anciennement Outlook Web App) de n’importe quel utilisateur de l’organisation. Ces options peuvent inclure la modification du nom complet, de l'adresse et du numéro de téléphone de l'utilisateur. Ces options n’incluent pas les options qui ne sont pas disponibles dans les options « Outlook sur le web », telles que la modification de la taille d’une boîte aux lettres ou la configuration de la base de données de boîtes aux lettres sur laquelle une boîte aux lettres est située. |
| Gestion de l'hygiène | Les administrateurs membres du groupe de rôle Gestion de l’hygiène peuvent configurer les fonctionnalités antivirus et anti-courrier indésirable d’Exchange Server. Les programmes tiers qui s’intègrent à Exchange Server peuvent ajouter des comptes de service à ce groupe de rôles afin de leur accorder l’accès aux applets de commande nécessaires pour récupérer et configurer la configuration d’Exchange. |
| Gestion des enregistrements | Les utilisateurs membres du groupe de rôles Gestion des enregistrements peuvent configurer les fonctionnalités de conformité, telles que les balises de stratégie de rétention, les classifications des messages et les règles de flux de messagerie (également appelées règles de transport). |
| Gestion de la détection | Les administrateurs ou les utilisateurs membres du groupe de rôles Gestion de la découverte peuvent effectuer des recherches dans les boîtes aux lettres de l’organisation Exchange pour trouver les données qui répondent à des critères spécifiques et peuvent également configurer des conservations légales sur les boîtes aux lettres. |
| Gestion des dossiers publics | Les administrateurs membres du groupe de rôles Gestion des dossiers publics peuvent gérer les dossiers publics sur les serveurs exécutant Exchange Server. |
| Gestion du serveur | Les administrateurs membres du groupe de rôles Gestion du serveur peuvent se charger de la configuration propre au serveur pour les fonctionnalités de transport, de messagerie unifiée, d'accès client et de boîte aux lettres, telles que les copies de bases de données, les certificats, les files d'attente de transport, les connecteurs d'envoi, les répertoires virtuels et les protocoles d'accès client. (Remarque : UM n’est pas disponible sur Exchange 2019.) |
| Installation déléguée | Les administrateurs qui sont membres du groupe de rôles Installation déléguée peuvent déployer des serveurs exécutant Exchange Server qui ont été précédemment configurés par un membre du groupe de rôles Gestion de l’organisation. |
| Gestion de la conformité | Les utilisateurs membres du groupe de rôles Gestion de la conformité peuvent configurer et gérer les paramètres de conformité Exchange conformément à la stratégie de leur organisation. |
Si vous travaillez dans une petite organisation qui n’a que quelques administrateurs, vous pouvez utiliser uniquement le groupe de rôles Gestion de l’organisation, et aucun des autres groupes de rôles. Si vous travaillez dans une grande organisation, il est possible que certains administrateurs effectuent des tâches spécifiques pour administrer Exchange, telles que la gestion des destinataires ou des serveurs. Dans ce cas, vous pouvez ajouter un administrateur au groupe de rôles Gestion des destinataires et un autre administrateur au groupe de rôles Gestion du serveur. Ces administrateurs peuvent ensuite gérer leurs zones spécifiques d’Exchange Server, mais ne seront pas autorisés à gérer les zones dont ils ne sont pas responsables.
Si vous ne trouvez pas de groupe de rôles intégré correspondant aux travaux de vos administrateurs, vous pouvez créer des groupes de rôles et y ajouter des rôles. Pour plus d'informations, consultez la section Utilisation de groupes de rôles plus loin dans cette rubrique.
Stratégies d'attribution de rôle
Exchange Server fournit des stratégies d’attribution de rôle afin que vous puissiez contrôler les paramètres que vos utilisateurs peuvent configurer sur les boîtes aux lettres et les groupes de distribution dont ils sont propriétaires. Ces paramètres sont leur nom complet, leurs informations de contact, leurs paramètres de messagerie vocale et leur appartenance au groupe de distribution.
Votre Exchange Server organization peut avoir plusieurs stratégies d’attribution de rôle qui fournissent différents niveaux d’autorisations pour les différents types d’utilisateurs de votre organisation. Certains utilisateurs peuvent être autorisés à modifier leur adresse ou à créer des groupes de distribution, tandis que d’autres ne le peuvent pas. Tout dépend de la stratégie d’attribution de rôle associée à sa boîte aux lettres. Les stratégies d'attribution de rôle sont ajoutées directement aux boîtes aux lettres, et chacune d'elles peut être associée uniquement à une stratégie d'attribution de rôle à la fois.
Parmi les stratégies d'attribution de rôle de votre organisation, une est marquée comme la stratégie par défaut. La stratégie d'attribution de rôle par défaut est associée à de nouvelles boîtes aux lettres auxquelles aucune stratégie d'attribution de rôle spécifique n'a été attribuée lors de leur création. La stratégie d'attribution de rôle par défaut doit contenir les autorisations s'appliquant à la majorité de vos boîtes aux lettres.
Les autorisations sont ajoutées aux stratégies d'attribution de rôle à l'aide de rôles d'utilisateur final. Les rôles d’utilisateur final commencent My par et accordent des autorisations aux utilisateurs pour gérer uniquement la boîte aux lettres ou les groupes de distribution dont ils sont propriétaires. Ils ne peuvent pas être utilisés pour gérer une autre boîte aux lettres. Seuls les rôles d'utilisateur final peuvent être attribués aux stratégies d'attribution de rôle.
Lorsqu'un rôle d'utilisateur final est attribué à une stratégie d'attribution de rôle, toutes les boîtes aux lettres associées à cette stratégie d'attribution de rôle reçoivent les autorisations accordées à ce rôle. Ainsi, vous pouvez ajouter ou supprimer des autorisations pour des jeux d’utilisateurs sans devoir configurer des boîtes aux lettres individuelles. La figure suivante montre que :
Les rôles d'utilisateur final peuvent être attribués aux stratégies d'attribution de rôle. Les stratégies d'attribution de rôle peuvent partager les mêmes rôles d'utilisateur final.
Les stratégies d'attribution de rôle sont associées à des boîtes aux lettres. Chaque boîte aux lettres ne peut être associée qu'à une seule stratégie d'attribution de rôle.
Lorsqu'une boîte aux lettres est associée à une stratégie d'attribution de rôle, les rôles d'utilisateur final s'appliquent à cette boîte aux lettres. Les autorisations accordées par les rôles sont accordées à l'utilisateur de la boîte aux lettres.
Rôles, stratégies d'attribution de rôle et boîtes aux lettres
La stratégie d’attribution des rôles par défaut est incluse dans Exchange Server. Comme son nom l'indique, il s'agit de la stratégie d'attribution de rôle par défaut. Si vous souhaitez modifier les autorisations octroyées par cette stratégie d'attribution de rôle, ou si vous souhaitez créer des stratégies d'attribution de rôle, consultez la section Utilisation de stratégies d'attribution de rôle plus loin dans cette rubrique.
Utilisation de groupes de rôles
Pour gérer vos autorisations à l’aide de groupes de rôles dans Exchange Server, nous vous recommandons d’utiliser le Centre d’administration Exchange (CAE). Lorsque vous utilisez le CAE pour gérer des groupes de rôles, vous pouvez ajouter et supprimer des rôles et des membres, créer des groupes de rôles et copier des groupes de rôles en quelques clics de souris. Pour réaliser ces tâches, le CAE offre des boîtes de dialogue simples, comme la boîte de dialogue Nouveau groupe de rôles illustrée dans la figure suivante.
Boîte de dialogue Nouveau groupe de rôles dans le CAE
Si aucun des groupes de rôles inclus dans Exchange Server ne dispose des autorisations nécessaires, vous pouvez utiliser le CAE pour créer un groupe de rôles et ajouter les rôles disposant des autorisations nécessaires. Pour votre nouveau groupe de rôles, procédez comme suit :
Choisissez un nom.
Sélectionnez les rôles à ajouter.
Ajoutez des membres.
Enregistrez-le.
Après avoir créé le groupe de rôles, vous le gérez comme n'importe quel autre groupe de rôles.
S’il existe un groupe de rôles disposant de certaines mais pas de toutes les autorisations nécessaires, vous pouvez le copier et y apporter des modifications pour créer un groupe de rôles. Copier un groupe de rôles existant vous permet d’y apporter des modifications sans affecter le groupe de rôles d’origine. Durant ce processus de copie, vous pouvez ajouter un nouveau nom et une description, ajouter et supprimer des rôles au sein du nouveau groupe de rôles, et ajouter de nouveaux membres. Lorsque vous créez ou copiez un groupe de rôles, vous utilisez la même boîte de dialogue que celle illustrée dans la figure précédente.
Vous pouvez également modifier des groupes de rôles existants. Vous pouvez ajouter et supprimer des rôles dans des groupes de rôles, ainsi qu'y ajouter et en supprimer simultanément des membres à l'aide d'une boîte de dialogue de CAE semblable à celle illustrée dans la figure précédente. En ajoutant et supprimant des rôles au sein d'un groupe de rôles, vous activez et désactivez des fonctionnalités d'administration pour ses membres.
Remarque
Bien que vous puissiez déterminer quels rôles sont attribués à des groupes de rôles intégrés, nous vous recommandons de copier les groupes de rôles intégrés, de modifier la copie du groupe de rôles, puis d’ajouter des membres à la copie du groupe de rôles.
Utilisation de stratégies d'attribution de rôle
Pour gérer les autorisations que vous accordez aux utilisateurs finaux pour qu’ils puissent gérer leur propre boîte aux lettres dans Exchange Server, nous vous recommandons d’utiliser le CAE. Lorsque vous utilisez le CAE pour gérer les autorisations des utilisateurs finaux, vous pouvez ajouter et supprimer des rôles, et créer des stratégies d'attribution de rôle en quelques clics de souris. Pour réaliser ces tâches, le CAE offre des boîtes de dialogue simples, comme la boîte de dialogue Stratégie d'attribution de rôle illustrée dans la figure suivante.
Boîte de dialogue Stratégie d'attribution de rôle dans le CAE
Exchange Server inclut une stratégie d’attribution de rôle nommée Stratégie d’attribution de rôle par défaut. Cette stratégie d'attribution de rôle permet aux utilisateurs dont les boîtes aux lettres y sont associées d'effectuer les tâches suivantes :
Rejoindre ou quitter des groupes de distribution permettant aux groupes de gérer leur propre appartenance.
Visualiser et modifier des paramètres de boîtes aux lettres basiques de leur propre boîte aux lettres, comme les règles de boîte de réception, le comportement du vérificateur d'orthographe, les paramètres relatifs au courrier indésirable et les périphériques Microsoft ActiveSync.
Modifiez leurs informations de contact, telles que l'adresse et le numéro de téléphone professionnels, le numéro de téléphone mobile et le numéro de récepteur de radiomessagerie.
Créer, modifier ou visualiser les paramètres des messages texte.
Visualiser ou modifier les paramètres de la messagerie vocale.
Afficher et modifier leurs applications de place de marché.
Créer des boîtes aux lettres d'équipe et les connecter aux listes Microsoft SharePoint.
Si vous souhaitez ajouter ou supprimer des autorisations au sein de la stratégie d'attribution de rôle par défaut, ou dans toute autre stratégie d'attribution de rôle, vous pouvez utiliser le CAE. Lorsque vous ouvrez la stratégie d’attribution des rôles dans le CAE, cochez la case en regard des rôles que vous souhaitez lui attribuer ou décochez la case en regard des rôles que vous souhaitez supprimer. Les modifications que vous apportez à la stratégie d'attribution de rôle s'appliquent à toutes les boîtes aux lettres qui y sont associées.
Si vous souhaitez attribuer différentes autorisations d’utilisateur final aux différents types d’utilisateurs de votre organisation, vous pouvez créer des stratégies d’attribution de rôle. Vous pouvez spécifier un nouveau nom pour la stratégie d’attribution de rôle, puis sélectionner les rôles que vous voulez attribuer à la stratégie d’attribution de rôle. Après avoir créé une stratégie d'attribution de rôle, vous pouvez l'associer à des boîtes aux lettres à l'aide du CAE.
Si vous voulez déterminer quelle stratégie d’attribution de rôle est celle par défaut, vous devez utiliser l’environnement de ligne de commande Exchange Management Shell. Lorsque vous modifiez la stratégie d'attribution de rôle par défaut, toutes les boîtes aux lettres créées seront associées à la nouvelle stratégie d'attribution de rôle par défaut si aucune stratégie n'a été explicitement indiquée. La stratégie d'attribution de rôle associée aux boîtes aux lettres existantes ne change pas lorsque vous sélectionnez une nouvelle stratégie d'attribution de rôle par défaut.
Remarques :
Si vous cochez une case pour un rôle qui a des rôles enfants, les cases à cocher pour les rôles enfants sont également cochées. Si vous désactivez la case à cocher pour un rôle avec des rôles enfants, les cases à cocher pour les rôles enfants sont également désactivées.
Pour obtenir des informations détaillées sur les étapes de la création de stratégies d'attribution de rôles, ou apporter des modifications aux stratégies d'attribution de rôles existantes, consultez les rubriques suivantes :