New-MailboxRepairRequest は Exchange Server 2016 の RBAC RecipientWriteScope 制限を尊重しません

現象

Microsoft Exchange Server 2016 では、次のシナリオについて考えます。

• "メール受信者" ロールに基づいてカスタマイズされた管理ロールを作成し、次のコマンドレットを使用して *MailboxRepairRequest エントリを除くロール エントリを削除します。

  New-ManagementRole -name ManagementRoleName -Parent "Mail Recipients"
  Get-ManagementRole ManagementRoleName |Get-ManagementRoleEntry |where {$_.Name -notlike "*RepairRequest*"} |Remove-ManagementRoleEntry

• 2 つのセキュリティ グループを作成します。 1 つはグループSG_recipient、もう 1 つはSG_adminグループです。

• 次のコマンドレットを使用して、特定のセキュリティ グループに対する受信者制限を持つ通常の管理スコープを作成します。

  New-ManagementScope ManagementScopeName -RecipientRestrictionFilter "MemberOfGroup -eq 'CN=SG_recipient,CN=Users,DC=DomainName,DC=xxxx,DC=xxxx,DC=com'"(OU=Users ではなく CN=Users を使用します)

• カスタマイズした管理役割をセキュリティ グループに割り当てる管理役割の割り当てにスコープを関連付けます。 次のコマンドレットを使用します。

  New-ManagementRoleAssignment -Name RoleAssignName -Role ManagementRoleName -CustomRecipientWriteScope ManagementScopeName -SecurityGroup SG_admin

• セキュリティ グループのメンバー SG_admin、ManagementScopeName スコープに含まれないメールボックスに対して New-MailboxRepairRequest コマンドレットを実行できるようにします。

このシナリオでは、コマンドレットは正常に実行されます。 現在のユーザーの書き込み範囲外であるため、メールボックスの操作は失敗することが予想されます。

原因

この問題は、 New-MailboxRepairRequest コマンドレットを実行するときにスコープのチェックが行われないために発生します。

解決策

この問題を解決するには、Exchange Server 2016 用の累積的な更新プログラム 12 または Exchange Server 2016 用のそれ以降の累積的な更新プログラムをインストールします。

状態

Microsoft は、これが "適用対象" セクションに記載されている Microsoft 製品の問題であることを確認しました。

参考資料

マイクロソフトでソフトウェア更新プログラムの説明に使用する用語集を参照してください。