GrantSendOnBehalf

[nutzer123456 0]

Da ich meinen Fehler nicht finden, bräuchte ich mal euren Rat.

 

Folgende Konstellation:

 

Exchange2016:

Ein User soll Emails "imAuftrag" eines Anderen versenden.

Es sind beides UserMailbox, also keine SharedMailbox.

Die zweite UserMailbox wir von mehreren Personen genutzt, daher ist es wichtig das beim versenden im Absender "User1 im Auftrag von User2" steht.

Eine eigene Email für die Nutzer ist nicht gewollt, da der Emailverkehr ausschließlich über das User2-Postfach laufen soll.

 

Mit Googles Hilfe steh ich jetzt an folgendem Punkt.

 

User1 ist Mitglied einer universellen Verteilergruppe.

Die universelle VG ist emailaktiviert und hat über die Shell die Berechtigung GrantSendOnBehalf für das User2-Postfach erhalten.

User1 hat auch die AD Berchtigung FullAccess für das User2-Postfach erhalten.

Beides ist über die GUI auch ersichtlich.

Anmeldung im bei User2 mit den Credentials von User1 funktioniert sowahl im OWA als auch mit Outlook.

 

Was nicht geht ist das versenden von Emails. Hier kommt immer die Fehlermeldung das User1 nicht berechtigt ist aus diesem Postfach zu senden.

 

Hab ich was vergessen oder funktioniert das so doch nicht?

 

 

[NorbertFe 2.035]

Wie lange hast du denn gewartet? Das kann schon mal ne Weile dauern, bis solche Rechte greifen. Alternativ kannst du natürlich mal versuchen, statt der Gruppe (Mailaktivierte Sicherheitsgruppe vermute ich) mal den User direkt einzutragen bei Send on behalf

[nutzer123456 0]

Der aktuelle Stand ist jetzt seit Freitag letzte Woche im System.

 

Ich könnte alles nochmal löschen und neu hinterlegen.

 

Die Gruppe ist eine mailaktivierte universelle Verteilergruppen. Es soll wohl auch mit einer Sicherheitsgruppe funktionieren, Hauptsache sie ist universell.

SendOnBehalf ist leider eine Mailboxeinstellung, daher bräuchte der User1 auch eine um Ihn direkt einzutragen.

Da es aber keine eigenen Emailadressen geben soll, der Umweg über die ADGruppe.

 

[NorbertFe 2.035]

Sent on Behalf... Ja wie soll das gehen, wenn derjenige keine Adresse hat? ;)

[testperson 1.677]

Hi,

 

evtl. ist Exchange (und Outlook) hier das falsche Mittel zur Wahl. Je nachdem was du (letztlich mit der Konfiguration) erreichen willst, könnte das etwas für ein Ticketsystem o.ä. sein.

 

Gruß

Jan

[NorbertFe 2.035]

Das wollte ich erst schreiben, aber die Erkenntnis kommt ja vielleicht noch bei den Betreibern solcher Konstrukte. Exchange ist halt nicht immer das beste Werkzeug für alles was irgendwie mit Mail zu tun hat.

[nutzer123456 0]

https://www.windowspro.de/roland-eich/berechtigungen-fuer-freigegebene-postfaecher-shared-mailbox-ad-gruppen-vergeben

 

Hier geht es zwar um SharedMailbox, aber das Prinzip ist das gleiche. Irgenwas fehlt und ich finde den Fehler nicht.

[NorbertFe 2.035]

Wenn der Nutzer (User1) in deinem Beispiel KEINE eigene Mailadresse hat, wie soll er denn dann im Auftrag von senden können? Wenn du Send As so setzen würdest, würde es funktionieren.

Vielleicht wird es "logischer", wenn du dir mal den Header solcher Mails anschauen würdest:

From: Einkauf <User2@deinedomain.tld>
To: "Empfänger" <irgendwer@andereDomain.tld>
Subject: Laber Suelz
Sender: "User1" <User1@deineDomain.tld>

Das sieht im Outlook dann so aus:

User1 im Auftrag von Einkauf

 

Wie man sieht, hat also User 1 sehr wohl eine personifizierte Adresse, sonst würde das ganze Konstrukt ja nicht funktionieren.

bearbeitet 16. Juli 2020 von NorbertFe

[nutzer123456 0]

Solche Anforderungen enstehen wenn der Datenschutz und die Leitung zuviel Zeit miteinander verbringen.

 

vor 5 Minuten schrieb NorbertFe:

Wenn der Nutzer (User1) in deinem Beispiel KEINE eigene Mailadresse hat, wie soll er denn dann im Auftrag von senden können? Wenn du Send As so setzen würdest, würde es funktionieren.

Laut dem Beitrag aus dem Link wäre User1 Mitglied der Verteilergruppe und diese hat ja durch das Aktivieren ein *.local Adresse bekommen. Und wie gesagt ist die Gruppe auch in der GUI als eingetragen sichtbar.

SendAS würde bestimmt funktionieren, aber dann ist nicht erkenntlich wer die Email verschickt hat.

bearbeitet 16. Juli 2020 von nutzer123456

[NorbertFe 2.035]

Dann müßtest du dem Nutzer Send As als Verteiler geben und dem Verteiler Send on Behalf. Und dann noch logisch zusammenbauen. :P

bearbeitet 16. Juli 2020 von NorbertFe

[nutzer123456 0]

vor 7 Minuten schrieb NorbertFe:

Dann müßtest du dem Nutzer Send As als Verteiler geben und dem Verteiler Send on Behalf. Und dann noch logisch zusammenbauen. :P

Jetzt hab ich einen Knoten im Kopf. Ich versuch das mal mit Powershell zu sortieren:

 

Add-ADPermission -Identity "verteiler" -User "user1" -AccessRights ExtendedRight -ExtendedRights "Send As"

&

Set-Mailbox -Identity "user2" -GrantSendOnBehalfTo "verteiler"

 

Wenn das funktioniert, was steht dann in der Email als Absender. Vermutlich "Verteiler im Auftrag von User2"?

[NorbertFe 2.035]

vor 1 Minute schrieb nutzer123456:

Wenn das funktioniert, was steht dann in der Email als Absender. Vermutlich "Verteiler im Auftrag von User2"?

Korrekt. Anders kann das ja auch nicht gehen. Wie du anhand meines Header Beispiels ja oben erkennen wirst.

[nutzer123456 0]

Es geht ja dann nur noch um die Zeile "Sender:"

Wenn hier "User1" <verteiler.local> steht wäre es erkenntlich.

Dann mus ich nur noch das Senden an die Verteilergruppe verbieten und bin fertig.

 

Vermutlich komm ich aber bei "Verteiler" <verteiler.local> raus, was mich leider nicht weiterbringt.

 

 

Ich würde das Thema gern noch offen lassen, falls jemanden was einfällt.

Im Ergebnis sollte irgendwie erkenntlich sein welcher AD-Nutzer die Email verschickt hat "im Auftrag".

Ein eigenes Postfach sollte nach möglich nicht dahinter stehen und wenn doch dann so das der Endanwender das nicht mitbekommt.

Lögisch nachvollziehbar ist, das es ohne Mailadresse nicht geht.

 

Schonmal Danke für die Gedanken dazu.

bearbeitet 16. Juli 2020 von nutzer123456
Ergänzung

[NorbertFe 2.035]

vor 6 Stunden schrieb nutzer123456:

Im Ergebnis sollte irgendwie erkenntlich sein welcher AD-Nutzer die Email verschickt hat "im Auftrag".

Das geht aber nicht. 

[testperson 1.677]

 

vor 7 Stunden schrieb nutzer123456:

Ich würde das Thema gern noch offen lassen, falls jemanden was einfällt.

Was möchtest du denn da letztlich abbilden und wieso muss es zwingend Outlook als Client bzw. Exchange sein?

bearbeitet 16. Juli 2020 von testperson