Gerenciar grupos de funções no Exchange Online

Um grupo de funções é um USG (grupo de segurança universal) especial no modelo de permissões RBAC (Controle de Acesso Baseado em Função) no Exchange Online. Os membros do grupo de funções recebem o mesmo conjunto de funções, e você adiciona e remove permissões dos usuários adicionando-os ou removendo-os do grupo de funções. Para obter mais informações sobre grupos de função no Exchange Online, consulte Permissões no Exchange Online.

Você pode gerenciar grupos de função no EAC (centro de administração do Exchange) e no PowerShell do Exchange Online.

Do que você precisa saber para começar?

O EAC está disponível em https://admin.exchange.microsoft.com. Para obter mais informações sobre o EAC, consulte os seguintes artigos:
- Centro de administração do Exchange no Exchange Online
- Centro de administração do Exchange no Complemento de segurança interno para caixas de correio locais.
Para abrir o PowerShell do Exchange Online, confira Conectar-se ao PowerShell do Exchange Online.
É necessário ter permissões atribuídas antes de executar os procedimentos descritos neste artigo. Especificamente:
- Permissões do Exchange Online: você precisa da função Gerenciamento de Funções, que é atribuída ao grupo de funções Gerenciamento da Organização por padrão.
Para obter informações sobre atalhos de teclado que podem se aplicar aos procedimentos neste artigo, consulte Atalhos de teclado para o Centro de administração do Exchange no Exchange Online.

Usar o EAC para gerenciar grupos de funções

No EAC em https://admin.exchange.microsoft.com, vá para Permissões>(phrasefix)Funções de Administração. Ou, para ir diretamente para a página Funções de Administração, use https://admin.exchange.microsoft.com/#/adminRoles.

Usar o EAC para exibir grupos de funções e detalhes do grupo de funções

Na página Funções de Administração do EAC em https://admin.exchange.microsoft.com/#/adminRoles, as seguintes informações são mostradas para todos os grupos de funções internos e de cliente:

Grupo de funções: o nome do grupo de funções.
Descrição

Para classificar a lista de grupos de funções, selecione um cabeçalho de coluna.

Para alterar a lista de entradas do espaçamento normal para o compacto, selecione Alterar modo de exibição e, em seguida, selecione Lista compacta.

Use a caixa de Pesquisa e um valor correspondente para localizar grupos de funções específicos.

Para exibir os detalhes de um grupo de funções, selecione o grupo na lista clicando no nome. O submenu de detalhes que é aberto contém as seguintes guias:

Guia Geral : Essa guia contém as seguintes informações sobre a função:
- Nome
- Descrição: selecione Editar noções básicas para alterar o nome.
- Gerenciado por
- Escopo de gravação
Guia Atribuído : essa guia mostra os usuários que são membros da função. A guia tem os mesmos recursos de Alterarexibição e Pesquisa que a exibição do grupo de funções principal.

Para modificar a associação de grupo, consulte a seção.

Usar o EAC para criar grupos de funções

Na página Funções de Administração no EAC em https://admin.exchange.microsoft.com/#/adminRoles, execute uma das seguintes etapas:
- Crie um novo grupo de funções: verifique se nenhum grupo de funções está selecionado e selecione Adicionar grupo de funções.
- Copiar um grupo de funções existente: Selecione o grupo de funções que deseja copiar selecionando a caixa de marcar redonda que aparece na área em branco ao lado da coluna do nome do grupo de funções e, em seguida, selecione a ação Copiar grupo de funções que aparece**.
Qualquer uma dessas etapas inicia o assistente de criação de função conforme descrito nas etapas restantes.
Na página Noções básicas, defina as seguintes configurações:
- Nome: insira um nome exclusivo para o grupo de funções.
- Descrição: insira uma descrição opcional para o grupo de funções.
- Escopo de gravação: deixe o valor padrão como Padrão ou selecione um objeto de escopo de gravação existente que você criou anteriormente no PowerShell.
Se você estiver copiando um grupo de funções, o valor de Nome padrão será Cópia do nome> do grupo de funções e o valor de <Descrição existente será copiado, mas você poderá alterar esses valores.

Quando tiver terminado na página Noções básicas , selecione Avançar.
Na página Permissão, selecione as funções a serem atribuídas ao grupo de funções marcando a caixa de marca ao lado da coluna Função.

Para classificar as funções, selecione um título de coluna:
- Função
- Descrição
- Escopo do destinatário padrão
- Escopo de configuração padrão
Para alterar a lista de entradas do espaçamento normal para o compacto, selecione Alterar modo de exibição e, em seguida, selecione Lista compacta.

Use a caixa de Pesquisa e um valor correspondente para localizar um grupo de funções específico.

Se você estiver copiando um grupo de funções, as permissões do grupo de funções original já estarão selecionadas, mas você poderá alterá-las.

Quando tiver terminado na página Permissão , selecione Avançar.
Na página Administradores , selecione os usuários a serem adicionados ao grupo de funções.

Clique na caixa para ver todas as contas e grupos de funções qualificados para selecionar ou comece a digitar um nome ou nome de exibição para filtrar os resultados.

Se você estiver copiando um grupo de funções, os membros do grupo de funções original já estão selecionados, mas você pode alterá-los.

Para remover usuários do grupo, selecione Remover na entrada.

Quando tiver terminado de chegar à página Administradores , selecione Avançar
Na página Revisar e concluir , verifique suas seleções.

Use Editar links em cada seção para alterar o valor ou use o botão Voltar .

Quando terminar na página Revisar e concluir , selecione Adicionar grupo de funções ou Copiar grupo de funções para criar o grupo de funções.

Usar o EAC para modificar grupos de funções

Dica

Não é possível alterar o nome ou a descrição de um grupo de funções interno.

Não altere as funções atribuídas a grupos de funções internos. Copie o grupo de funções existente e modifique a cópia ou crie um grupo de funções personalizado.

Na página Funções de Administração no EAC em https://admin.exchange.microsoft.com/#/adminRoles, selecione um grupo de funções clicando no nome do grupo de funções.
No submenu de detalhes aberto, defina uma ou mais das seguintes configurações:
- Guia Geral : selecione Editar noções básicas para alterar o nome ou a descrição do grupo no submenu que é aberto e selecione Salvar.
- Guia Atribuído : Alterar a associação do grupo de funções:
  - Adicionar membros: selecione Adicionar. No submenu Adicionar administradores que é aberto, clique na caixa para ver todas as contas e grupos de funções qualificados para selecionar ou comece a digitar um nome ou nome de exibição para filtrar os resultados. Selecione o usuário clicando na entrada abaixo da caixa e, em seguida, selecione Adicionar.
  - Remover membros: marque a caixa de marcação ao lado de um ou mais membros existentes na lista, selecione a ação Excluir exibida e selecione Sim, remover na caixa de diálogo de confirmação.
- Guia Permissão: selecione as funções a serem atribuídas ao grupo de funções marcando a caixa de marca ao lado da coluna Função.
  
  Para classificar as funções, selecione um título de coluna:
  - Função
  - Escopo do destinatário padrão
  - Escopo de configuração padrão
  Para alterar a lista de entradas do espaçamento normal para o compacto, selecione Alterar modo de exibição e, em seguida, selecione Lista compacta.
  
  Use a caixa de Pesquisa e um valor correspondente para localizar um grupo de funções específico.
  
  Quando tiver terminado de chegar à guia, selecione Salvar.
Dica

Os usuários precisam sair e entrar novamente para ver a alteração em seus diretos administrativos após a adição ou remoção de membros do grupo de funções.

Usar o EAC para remover grupos de funções

Não é possível remover grupos de funções internos, mas você pode remover grupos de funções personalizados.

Na página Administração funções no EAC em https://admin.exchange.microsoft.com/#/adminRoles, selecione o grupo de funções que você deseja remover marcando a caixa de marcar redonda que aparece na área em branco ao lado da coluna nome do grupo de funções e, em seguida, selecione a ação Excluir exibida.
No submenu de confirmação aberto, selecione Confirmar.

Usar o PowerShell do Exchange Online para gerenciar grupos de funções

Para se conectar ao PowerShell do Exchange Online, confira Conectar ao PowerShell do Exchange Online.

Usar o PowerShell do Exchange Online para exibir grupos de funções

Para exibir um grupo de função, use a seguinte sintaxe:

Get-RoleGroup [-Identity "<Role Group Name>"] [-Filter <Filter>]

Este exemplo retorna uma lista resumida de todos os grupos de funções.

Get-RoleGroup

Este exemplo retorna informações detalhadas para o grupo de funções denominado Administradores de Destinatários.

Get-RoleGroup -Identity "Recipient Administrators" | Format-List

Este exemplo retorna todos os grupos de função dos quais a usuária Julia é membro. Você precisa usar o valor DistinguishedName (DN) para Julia, que pode ser encontrado executando o comando: Get-User -Identity Julia | Format-List DistinguishedName.

Get-RoleGroup -Filter "Members -eq 'CN=Julia,OU=contoso.onmicrosoft.com,OU=Microsoft Exchange Hosted Organizations,DC=NAMPR001,DC=PROD,DC=OUTLOOK,DC=COM'"

Para obter informações detalhadas sobre sintaxe e parâmetro, consulte Get-RoleGroup.

Usar o PowerShell do Exchange Online para criar grupos de funções

Para criar um novo grupo de funções, use a seguinte sintaxe:

New-RoleGroup -Name "Unique Name" -Description "Descriptive text" -Roles <"Role1","Role2"...> -ManagedBy <Managers> -Members <Members> -CustomRecipientWriteScope "<Existing Write Scope Name>"

O parâmetro Roles especifica as funções de gerenciamento a serem atribuídas ao grupo de funções usando a seguinte sintaxe "Role1","Role1",..."RoleN". Você pode ver as funções disponíveis usando o cmdlet Get-ManagementRole disponível.
O parâmetro Members especifica os membros do grupo de função usando a seguinte sintaxe: "Member1","Member2",..."MemberN". Você pode especificar usuários, grupos de segurança universais habilitados para email (USGs) ou outros grupos de função (entidades de segurança).
O parâmetro ManagedBy especifica os delegados que podem modificar e remover o grupo de função usando a seguinte sintaxe: "Delegate1","Delegate2",..."DelegateN". Essa configuração não está disponível no EAC.
O parâmetro CustomRecipientWriteScope especifica o escopo de gravação do destinatário personalizado existente a ser aplicado ao grupo de funções. Você pode ver os escopos de escrita personalizados de destinatários disponíveis usando o cmdlet Get-Management Também tema.

Este exemplo cria um novo grupo de funções chamado "Gerenciamento Limitado de Destinatários" com as seguintes configurações:

As funções Destinatários de Email e Pastas Públicas Habilitadas para Email são atribuídas ao grupo de funções.
Os usuários Kim e Martin são adicionados como membros. Como nenhum escopo de gravação de destinatário personalizado foi especificado, Kim e Martin podem gerenciar qualquer destinatário na organização.

New-RoleGroup -Name "Limited Recipient Management" -Roles "Mail Recipients","Mail Enabled Public Folders" -Members "Kim","Martin"

Este exemplo usa um escopo de gravação de destinatário personalizado, o que significa que Kim e Martin só podem gerenciar destinatários incluídos no escopo Seattle Recipients (destinatários que têm sua propriedade City definida com o valor Seattle).

New-RoleGroup -Name "Limited Recipient Management" -Roles "Mail Recipients","Mail Enabled Public Folders" -Members "Kim","Martin" -CustomRecipientWriteScope "Seattle Recipients"

Para obter informações detalhadas sobre sintaxe e parâmetro, New-RoleGroup.

Usar o PowerShell do Exchange Online para copiar grupos de funções

Armazene o grupo de funções que deseja copiar em uma variável usando a seguinte sintaxe:
```
$RoleGroup = Get-RoleGroup "<Existing Role Group Name>"
```
Crie o novo grupo de função usando a seguinte sintaxe:
```
New-RoleGroup -Name "<Unique Name>" -Roles $RoleGroup.Roles [-Members <Members>] [-ManagedBy <Managers>] [-CustomRecipientWriteScope "<Existing Custom Recipient Write Scope Name>"]
```
- O parâmetro Members especifica os membros do grupo de função usando a seguinte sintaxe: "Member1","Member2",..."MemberN". Você pode especificar usuários, grupos de segurança universais habilitados para email (USGs) ou outros grupos de função (entidades de segurança).
- O parâmetro ManagedBy especifica os delegados que podem modificar e remover o grupo de função usando a seguinte sintaxe: "Delegate1","Delegate2",..."DelegateN". Essa configuração não está disponível no EAC.
- O parâmetro CustomRecipientWriteScope especifica o escopo de gravação do destinatário personalizado existente a ser aplicado ao grupo de funções. Você pode ver os escopos de escrita personalizados de destinatários disponíveis usando o cmdlet Get-Management Também tema.
Este exemplo copia o grupo de funções Gerenciamento da Organização para o novo grupo de funções denominado "Gerenciamento Limitado da Organização". Os membros do grupo de funções são Isabelle, Carter e Lukas, e os representantes do grupo de funções são Jenny e Katie.
```
$RoleGroup = Get-RoleGroup "Organization Management"

New-RoleGroup "Limited Organization Management" -Roles $RoleGroup.Roles -Members "Isabelle","Carter","Lukas" -ManagedBy "Jenny","Katie"
```
Este exemplo copia o grupo de funções Gerenciamento da Organização para o novo grupo de funções chamado Vancouver Organization Management com o escopo de gravação do destinatário personalizado do destinatário Vancouver.
```
$RoleGroup = Get-RoleGroup "Organization Management"

New-RoleGroup "Vancouver Organization Management" -Roles $RoleGroup.Roles -CustomRecipientWriteScope "Vancouver Users"
```

Para obter informações detalhadas sobre sintaxe e parâmetro, New-RoleGroup.

Usar o PowerShell do Exchange Online Modificar a lista de membros em grupos de função

Os cmdlets Add-RoleGroupMember e Remove-RoleGroupMember adicionam ou removem membros individuais, um de cada vez. O cmdlet Update-RoleGroupMember pode substituir ou modificar a lista existente de membros.
Os membros de um grupo de função podem ser usuários, USGs (grupos de segurança universais) habilitados para email ou outros grupos de função (entidades de segurança).

Para modificar os membros de um grupo de funções, use a seguinte sintaxe:

Update-RoleGroupMember -Identity "<Role Group Name>" -Members <Members>

Para substituir a lista existente de membros pelos valores especificados, use a seguinte sintaxe: "Member1","Member2",..."MemberN".
Para modificar seletivamente a lista existente de membros, use a seguinte sintaxe: @{Add="Member1","Member2"...; Remove="Member3","Member4"...}.

Este exemplo substitui todos os membros atuais do grupo de função Suporte Técnico pelos usuários especificados.

Update-RoleGroupMember -Identity "Help Desk" -Members "Gabriela Laureano","Hyun-Ae Rim","Jacob Berger"

Este exemplo adiciona Daigoro Akai e remove Valeria Barrio da lista de membros do grupo de funções Suporte Técnico.

Update-RoleGroupMember -Identity "Help Desk" -Members @{Add="Daigoro Akai"; Remove="Valeria Barrios"}

Para obter informações detalhadas sobre sintaxe e parâmetro, consulte Update-RoleGroupMember.

Usar o PowerShell do Exchange Online para adicionar funções a grupos de funções personalizados (criar atribuições de função)

Para adicionar funções a grupos de funções personalizados no PowerShell do Exchange Online, crie atribuições de função de gerenciamento usando a seguinte sintaxe:

New-ManagementRoleAssignment [-Name "<Unique Name>"] -SecurityGroup "<Role Group Name>" -Role "<Role Name>" [-RecipientRelativeWriteScope <MyGAL | MyDistributionGroups | Organization | Self>] [-CustomRecipientWriteScope "<Role Scope Name>]

O nome da atribuição de função será criado automaticamente se você não especificar um.
Se você não usar o parâmetro RecipientRelativeWriteScope , o escopo de leitura implícito e o escopo de gravação implícito da função serão aplicados à atribuição de função.
Se um escopo predefinido atender aos seus requisitos de negócios, você poderá usar o parâmetro RecipientRelativeWriteScope para aplicar o escopo à atribuição de função.
Para aplicar um escopo de gravação de destinatário personalizado, use o parâmetro CustomRecipientWriteScope .

Este exemplo atribui a função de gerenciamento Regras de Transporte ao grupo de funções Conformidade de Seattle.

New-ManagementRoleAssignment -SecurityGroup "Seattle Compliance" -Role "Transport Rules"

Este exemplo atribui a função Rastreamento de Mensagens ao grupo de funções Suporte Empresarial e aplica o escopo predefinido da Organização.

New-ManagementRoleAssignment -SecurityGroup "Enterprise Support" -Role "Message Tracking" -RecipientRelativeWriteScope Organization

Este exemplo atribui a função Rastreamento de Mensagens ao grupo de funções Administradores de Destinatários de Seattle e aplica o escopo Destinatários de Seattle.

New-ManagementRoleAssignment -SecurityGroup "Seattle Recipient Admins" -Role "Message Tracking" -CustomRecipientWriteScope "Seattle Recipients"

Para informações detalhadas de sintaxes e de parâmetros, consulte New-ManagementRoleAssignment.

Usar o PowerShell do Exchange Online para remover funções de grupos de funções personalizados (remover atribuições de função)

Para remover funções de grupos de funções personalizados no PowerShell do Exchange Online, remova as atribuições de função de gerenciamento usando a seguinte sintaxe:

Get-ManagementRoleAssignment -RoleAssignee "<Role Group Name>" -Role "<Role Name>" -Delegating <$true | $false> | Remove-ManagementRoleAssignment

Para remover atribuições de função regulares que concedem permissões aos usuários, use o valor $false do parâmetro Delegando .
Para remover atribuições de função de delegação que permitem que a função seja atribuída a outras pessoas, use o valor $true do parâmetro Delegando .

Este exemplo remove a função Grupos de Distribuição do grupo de funções Administradores de Destinatários de Seattle.

Get-ManagementRoleAssignment -RoleAssignee "Seattle Recipient Administrators" -Role "Distribution Groups" -Delegating $false | Remove-ManagementRoleAssignment

Para obter informações detalhadas sobre sintaxe e parâmetro, consulte Remove-ManagementRoleAssignment.

Usar o PowerShell do Exchange Online para modificar o escopo das atribuições de função em grupos de funções personalizados

O escopo de gravação de uma atribuição de função em um grupo de funções define os objetos nos quais os membros do grupo de funções podem operar (por exemplo, todos os usuários ou somente os usuários cuja propriedade Cidade tem o valor Vancouver). Você pode modificar o escopo de gravação das funções atribuídas a um grupo de funções personalizado para:

O escopo implícito das próprias funções. Isso significa que você não especificou nenhum escopo personalizado ao criar o grupo de funções ou definiu o valor de todas as atribuições de função em um grupo de funções existente para o valor $null.
O mesmo escopo personalizado para todas as atribuições de função.
Escopos personalizados diferentes para cada atribuição de função individual.

Para definir o escopo de todas as atribuições de função em um grupo de funções ao mesmo tempo, use a seguinte sintaxe:

Get-ManagementRoleAssignment -RoleAssignee "<Role Group Name>" | Set-ManagementRoleAssignment [-CustomRecipientWriteScope "<Recipient Write Scope Name>"] [-RecipientRelativeScopeWriteScope <MyDistributionGroups | Organization | Self>] [-ExclusiveRecipientWriteScope "<Exclusive Recipient Write Scope name>"]

Este exemplo altera o escopo do destinatário para todas as atribuições de função no grupo de funções Gerenciamento de Destinatários de Vendas para Funcionários de Vendas Diretas.

Get-ManagementRoleAssignment -RoleAssignee "Sales Recipient Management" | Set-ManagementRoleAssignment -CustomRecipientWriteScope "Direct Sales Employees"

Para alterar o escopo de uma atribuição de função individual entre um grupo de funções e uma função de gerenciamento, execute as seguintes etapas:

Substitua <Nome do Grupo> de Funções pelo nome do grupo de funções e execute o seguinte comando para localizar os nomes de todas as atribuições de função no grupo de funções:
```
Get-ManagementRoleAssignment -RoleAssignee "<Role Group Name>" | Format-List Name
```
Localize o nome de atribuição de função que deseja alterar. Use o nome da atribuição de função na próxima etapa.

Para definir o escopo da atribuição de função individual, use a seguinte sintaxe:

Set-ManagementRoleAssignment -Identity "<Role Assignment Name"> [-CustomRecipientWriteScope "<Recipient Write Scope Name>"] [-RecipientRelativeScopeWriteScope <MyDistributionGroups | Organization | Self>] [-ExclusiveRecipientWriteScope "<Exclusive Recipient Write Scope name>"]

Este exemplo altera o escopo do destinatário para a atribuição de função chamada Email Recipients_Sales Gerenciamento de Destinatários para Todos os Funcionários de Vendas.

Set-ManagementRoleAssignment "Mail Recipients_Sales Recipient Management" -CustomRecipientWriteScope "All Sales Employees"

Para informações detalhadas de sintaxes e de parâmetros, consulte Set-ManagementRoleAssignment.

Use o PowerShell do Exchange Online para modificar a lista de representantes em grupos de funções

Os representantes do grupo de funções definem quem tem permissão para modificar e excluir o grupo de funções. Você não pode gerenciar representantes de grupo de função no EAC.

Para modificar a lista de delegados em um grupo de funções, use a seguinte sintaxe:

Set-RoleGroup -Identity "<Role Group Name>" -ManagedBy <Delegates>

Para substituir a lista existente de delegados pelos valores especificados, use a seguinte sintaxe: "Delegate1","Delegate2",..."DelegateN".
Para modificar seletivamente a lista existente de delegados, use a seguinte sintaxe: @{Add="Delegate1","Delegate2"...; Remove="Delegate3","Delegate4"...}.

Este exemplo substitui todos os representantes atuais do grupo de funções Suporte Técnico pelos usuários especificados.

Set-RoleGroup -Identity "Help Desk" -ManagedBy "Gabriela Laureano","Hyun-Ae Rim","Jacob Berger"

Este exemplo adiciona Daigoro Akai e remove Valeria Barrio da lista de delegados no grupo de funções Suporte Técnico.

Set-RoleGroup -Identity "Help Desk" -ManagedBy @{Add="Daigoro Akai"; Remove="Valeria Barrios"}

Para obter informações detalhadas sobre sintaxe e parâmetro, consulte Set-RoleGroup.

Usar o PowerShell do Exchange Online para remover grupos de funções personalizados