New-MailboxRepairRequest não respeita as restrições RBAC RecipientWriteScope no Exchange Server 2016

Aplica-se A
Exchange Server 2016

Sintomas

Tenha em conta o seguinte cenário no Microsoft Exchange Server 2016:

  • Você cria uma função de gerenciamento personalizada baseada na função "Destinatários de email" e remove as entradas de função, exceto as entradas *MailboxRepairRequest usando os seguintes cmdlets:

    New-ManagementRole -name ManagementRoleName -Parent "Destinatários de Correio"
    Get-ManagementRole ManagementRoleName | Get-ManagementRoleEntry | em que {$_. Nome -notlike "*RepairRequest*"} | Remove-ManagementRoleEntry

  • Você cria dois grupos de segurança. Um é SG_recipient grupo, e o outro é SG_admin grupo.

  • Você cria um escopo de gerenciamento regular que tem restrição de destinatário para um grupo de segurança específico usando o seguinte cmdlet:

    New-ManagementScope ManagementScopeName -RecipientRestrictionFilter "MemberOfGroup -eq 'CN=SG_recipient,CN=Users,DC=DomainName,DC=xxxx,DC=com'"(Não usa OU=Users, mas CN=Users)

  • Você associa o escopo a uma atribuição de função de gerenciamento que atribui a função de gerenciamento personalizada a um grupo de segurança. Utilize o seguinte cmdlet:

    New-ManagementRoleAssignment -Name RoleAssignName -Role ManagementRoleName -CustomRecipientWriteScope ManagementScopeName -SecurityGroup SG_admin

  • Permite que um membro do grupo de segurança execute SG_admin cmdlet New-MailboxRepairRequest para uma caixa de correio que não esteja no âmbito ManagementScopeName.

Neste cenário, o cmdlet é executado com êxito. Espera-se que a operação na caixa de correio falhe porque está fora do intervalo do escopo de gravação do usuário atual.

Causa

Este problema ocorre porque não existem verificações do âmbito quando executa o cmdlet New-MailboxRepairRequest .

Resolução

Para corrigir este problema, instale a Atualização Cumulativa 12 para o Exchange Server 2016 ou uma atualização cumulativa posterior para o Exchange Server 2016.

Estado

A Microsoft confirmou que se trata de um problema nos produtos Microsoft listados na secção "Aplica-se a".

Referências

Saiba mais sobre a terminologia que a Microsoft utiliza para descrever as atualizações de software.