Exchange 2010 dynamische Verteilerliste

[yabbax 11]

Hallo zusammen,

 

ich möchte gerne eine dynamische Verteilerliste erstellen, die nach einem bestimmten Land gefiltert werden.  Zusätzlich möchte ich aber auch, das nur Benutzer in der Verteilerliste erscheinen, deren AD-Konto nicht abgelaufen bzw. deaktiviert ist. Den ersten Teil mit dem bestimmten Land habe ich schon umgesetzt, nur erscheinen eben auch noch Benutzer, deren AD-Konto deaktiviert ist.

Info: Das Mail-Postfach bleibt weiterhin aktiv, wird dann einem Nachfolger entsprechend zur Verfügung gestellt. So ist aktuell unsere Vorgehensweise - oder hat hier jemand einen besseren Vorschlag bzw. wie macht ihr das wenn ein Mitarbeiter ein Unternehmen verlässt und andere noch auf das Postfach zugreifen müssen?

 

Hier mein Code:

new-DynamicDistributionGroup -Name "allGermany" -recipientFilter {(CountryOrRegion -eq 'Germany')} -organizationalUnit 'domain/de/accounts/distributionLists' -recipientContainer 'domain/people'

Danke euch im Voraus.

 

Gruß

Thomas

[NorbertFe 2.041]

Dann deaktiviere das Konto und entferne das Land. ;)

[yabbax 11]

@norbertFe

ja das ist eine Möglichkeit, allerdings keine die ich möchte. Mein Ziel ist es, diese Verteilerliste bzw. das entsprechende AD-Konto nicht mehr anfassen zu müssen. Welche Möglichkeit habe ich denn da oder geht das gar nicht?

[Sunny61 806]

Wenn ein MA das Unternehmen verlässt, wirst Du wohl oder übel immer irgendwelche Dinge manuell erledigen müssen. Alternativ kannst Du natürlich auch an den evtl. schon bestehenden Ablauf ein Script dranhängen, das automatisiert das Konto deaktiviert und das land entfernt. Mit VB-Script oder mit der Powershell sicherlich einfach zu lösen.

[NilsK 2.938]

Moin,

 

ich weiß nicht, ob man in den aktuellen Exchange-Versionen den Filter für dynamische Gruppen noch an Exchange vorbei per AD/LDAP bearbeiten darf. Falls das erlaubt ist, könnte man den LDAP-Filter auf aktivierte Objekte eingrenzen. Ist aber nicht ganz trivial. Eine Suchmaschine könnte dir den Weg weisen, aber auf jeden Fall in einer separaten Umgebung testen.

 

Abgesehen davon, dürfte euer Vorgehen datenschutzrechtlich bedenklich sein. Selbst wenn ihr keine private Nutzung der Mailbox zulasst, könnt ihr nicht verhindern, dass der ausgeschiedene Mitarbeiter von Externen private Mail empfangen hat (weil z.B. dem Absender nicht bewusst war, dass es sich um eine Firmenadresse handelt). Auf solche Mails darf natürlich niemand sonst zugreifen, schon gar kein Nachfolger. - Wäre ein Thema für eine Rechtsberatung.

 

Das Vorgehen beim Ausscheiden von Mitarbeitern ist organisatorisch und juristisch nicht ohne. Dazu kann man in einem Forum nur eingeschränkt etwas sagen.

 

Gruß, Nils

[NorbertFe 2.041]

@norbertFe

ja das ist eine Möglichkeit, allerdings keine die ich möchte. Mein Ziel ist es, diese Verteilerliste bzw. das entsprechende AD-Konto nicht mehr anfassen zu müssen. Welche Möglichkeit habe ich denn da oder geht das gar nicht?

SChön, dass du das nicht möchtest, du wirst aber nicht drum herumkommen. ;) http://technet.microsoft.com/de-de/library/bb738157(v=exchg.150).aspx wenn du da eine Eigenschaft findest, die "deaktiviert" entspricht hast du Glück ansonsten nicht.

 

Bye

Norbert

[yabbax 11]

@sunny61: wir in Deutschland machen da gar nichts. Das AD-Konto wird automatisch durch ein HR-Tool deaktiviert. Jetzt könnte (und muss es vielleicht auch) denen sagen das sie ihren Prozess entsprechend abändern müssen und das Land verändern.

also gibt es keinen Filter in exchange der das kann?

[RobertWi 81]

Moin,

 

dass ein Konto deaktiviert wird ist,steht im AD-Attribute "userAccountControl". Laut Norberts Link ist das die Filtereigenschaft "UserAccountControl".

 

Google findet damit z.B. das hier:

http://www.experts-exchange.com/Software/Server_Software/Email_Servers/Exchange/Q_23987324.html

http://www.experts-exchange.com/Software/Server_Software/Email_Servers/Exchange/Q_28206693.html

http://prakashthakor.wordpress.com/2013/09/25/exclude-disabled-users-in-dynamic-distribution-groups-exchang-2010/

[yabbax 11]

@roberWi: Ja genau - das ist es. boah, echt klasse. das vereinfacht für mich vieles.

 

danke euch für eure Hilfe.

 

Gruß

thomas

[NilsK 2.938]

Moin,

 

ein Hinweis zu den beiden Experts-Exchange-Links bei Robert: Wenn man die direkt aufruft, zeigt die Webseite die Antworten nicht an. Bei Experts Exchange muss man immer über eine Suchmaschine kommen, damit die Antworten auch ohne Registrierung gezeigt werden. Hier also: Link von oben per Rechtsklick kopieren, dann den Link bei Google oder Bing ins Suchfeld einfügen und Suchen. Dann auf die Fundstelle klicken - so sieht man die Antworten.

 

Gruß, Nils

[yabbax 11]

hier nun nochmal der Vollständigkeit halber mein finaler Code:

new-DynamicDistributionGroup -Name "allGermany" -recipientFilter {(userAccountControl -ne '514') -and (userAccountControl -ne '546') -and (CountryOrRegion -eq 'Germany')} -organizationalUnit 'domain/de/accounts/distributionLists' -recipientContainer 'domain/people'

[NorbertFe 2.041]

Danke für die Info.

[RobertWi 81]

Moin,

 

(userAccountControl -ne '514') -and (userAccountControl -ne '546')

 

UserAccountControl ist eine Bitmaske, die sich beliebig ändern kann. Wenn Du mit festen Zahlen arbeitest, musst Du also jede mögliche Kombination einbauen, die es geben kann, in der das Bit für deaktiviert (IMHO Bit 9) gesetzt ist.

 

Entweder nimmst Du einen Bit-Vergleich (wobei -bor nicht zu funktionieren scheint im RecipientFilter) oder Du machst es so, wie in meinem dritten Link. Ist auch nicht 100% sauber, aber besser, als mit statischen Zahlen zu arbeiten.