Hybrid Setup SendAs funktioniert nicht

[cybermcm 10]

Hallo,

 

Bin auf dem Weg von onprem auf Cloud und aktuell im HybridModus unterwegs (Classic Full Hybrid).

Ausgangslage: Mailbox A onprem hat eine SEC Gruppe B mit SendAs Berechtigung. User C kann somit SendAs für A durchführen. 

Wunsch: User C + Mailbox wird in die Cloud verschoben (SEC Gruppe B ist auch in die Cloud sync). Nun funktioniert jedoch SendAs für A nicht mehr (Keine Rechte)

 

Habe mich an https://www.msxfaq.de/cloud/exchangeonline/hybrid/hybrid_sendas.htm gehalten und

Set-OrganizationConfig -ACLableSyncedObjectEnabled $True

eingetragen, hilft jedoch nicht.

Habe Offline Adressbuch neu runter geladen, kein Erfolg.

Habe "Von" Adresse im Mail gelöscht und aus der globalen Adressliste genommen, kein Erfolg.

 

Woran könnte es noch liegen?

[NorbertFe 2.034]

Steht die Gruppe denn noch drin mit den Rechten? Ansonsten kann man generell dazu raten keine Berechtigungen oder übergreifend zu pflegen.

 

ich kann dir aber bestätigen, dass zumindest bei Neueintragung der Gruppe auf der cloudseite die Berechtigungen dann auch irgendwann funktionieren müssen.

 

https://learn.microsoft.com/en-us/exchange/permissions

 

Zitat

Mailbox permissions and capabilities NOT supported in hybrid environments

Send As: Lets a user send mail as though it appears to be coming from another user's mailbox. Microsoft Entra Connect doesn't automatically synchronize Send As permission between on-premises Exchange and Microsoft 365 or Office 365, so cross-premises Send As permissions aren't supported. However, Send As will work in most scenarios if you manually add the Send As permissions in both environments, using Exchange Management Shell for on-premises

 

[cybermcm 10]

@NorbertFe Danke für deine Antwort, leider verstehe ich sie nicht wirklich.

1. Steht die Gruppe denn noch drin mit den Rechten? Ja, Gruppe B hat immer noch die gleichen Rechte bei User A (sowohl im EAC bei Mailbox A als auch im AD auf dem User A)
2. Ansonsten kann man generell dazu raten keine Berechtigungen oder übergreifend zu pflegen. Was meinst du mit übergreifend? Zwischen Cloud und onprem? Wenn ich keinen raschen Cutover machen kann/will, dann habe ich dafür  jy Hybrid?
3. Neueintragung der Gruppe auf der cloudseite? Wo soll ich etwas auf der Cloudseite eintragen? User A ist noch onprem, Gruppe B wird synchronisiert, User C ist Cloud

[NorbertFe 2.034]

Hast du den Link gelesen? Warum zitiere ich denn daraus, wenn du hinterher fragst wieso und weshalb?

 

Du sollst per exo powershell die Gruppe auf dem exo Postfach neu berechtigen.

[cybermcm 10]

@NorbertFe Sorry, wenn ich nochmal nachfrage, diese Cloudsache will nicht ganz in meinen Kopf oder ich verstehe etwas grundsätzlich nicht (was leider gut möglich ist). Du schreibst, ich soll die Gruppe B auf das exo Postfach C neu berechtigen. Aber warum? Ich will ja mit C als SendAs von A versenden?

Ich benötige diese beiden Befehle, korrekt?

Add-RecipientPermission -Identity x -Trustee y -AccessRights "SendAs" -Confirm:$false
Add-ADPermission -Identity x -User y -AccessRights ExtendedRight -ExtendedRights "Send As"

Wärst du so nett und würdest aus meinem BSP statt x und y A,B oder C einfüllen? Ich bin mir immer noch nicht ganz im Klaren, welches Recht da nicht in die Cloud mitwandert (onPrem funktioniert es ja, hier hat B SendAs Rechte bei A und C ist in der Gruppe B)

[NorbertFe 2.034]

Ah sorry falschrum gedacht. Ich ging davon aus, dass die Shared Mailbox in der Cloud liegt. Aber unabhängig davon: es ist nicht supported :) 

 

es kann meist funktionieren, aber wenn nicht, hast du Pech. ;)

[cybermcm 10]

Habe noch ein wenig weiter getestet, die Aussage "kann funktionieren" scheint zutreffend. Ich habe es zuerst nicht geschafft, SendAs so umzusetzen, habe dann testweise beide MBX in die Cloud verschoben, dann ging es und schließlich wieder die Shared MBX zurück onprem und siehe da, jetzt geht es immer noch. Das ist jedoch keine Lösung für mich.

Ich versuche es jetzt umgekehrt, ich verschiebe die Shared MBX in die Cloud und lasse die User MBX noch noch onprem, dies scheint auf Anhieb zu funktionieren. Jetzt wird getestet und so kann der Hybrid Modus weiterlaufen, bis alles migriert ist (wird nur tranchenweise erledigt).

[NorbertFe 2.034]

Was ist denn das Ziel? Warum nicht alles onprem bzw. alles in der Cloud?

[cybermcm 10]

Ziel ist aus heutiger Sicht alles Cloud. Aber da ich keinen schnellen Cutover machen kann/will (siehe Probleme oben), eine Zeitlang Hybrid zum Testen.

Kunde hat schon Business Lizenzen, somit auch schon Exchange Online lizenziert. Und nachdem man anscheinend für Exchange SE immer Online Liz. benötigt (auch wenn man onprem ist), macht der onprem Exchange nicht mehr viel Sinn bzw. ist teurer

[NorbertFe 2.034]

vor 51 Minuten schrieb cybermcm:

Ziel ist aus heutiger Sicht alles Cloud. Aber da ich keinen schnellen Cutover machen kann/will (siehe Probleme oben),

Die Probleme hast du aber nur wegen deiner Mischung von onprem/cloud. Warum tut man sich das also ohne triftigen Grund an?

 

vor 52 Minuten schrieb cybermcm:

Exchange SE immer Online Liz. benötigt (auch wenn man onprem ist), macht der onprem Exchange nicht mehr viel Sinn bzw. ist teurer

Braucht man ja nicht. Ist halt eine Option, wenn man onprem will oder braucht.

[massaraksch 41]

Hi,

 

grundsätzlich ist SendAs natürlich auch bei Hybrid möglich. Man muß die Online-User/Gruppe einfach mit SendAs auf das Online-Objekt (Mailuser) der OnPrem-Mailbox berechtigen. Also mit:

 

Add-RecipientPermission -Identity OnPremMailbox -Trustee USER/GROUP -AccessRights SendAs

 

Voraussetzung ist, daß alle Objekte synchronisiert (also OnPrem und Online als Mailobjekte vorhanden) sind.

 

Kurz gesagt: Das SendAs-Recht muß in der Umgebung gesetzt werden, wo sich der User befindet, der senden will (oder halt in beiden Umgebungen).

 

PS: Das "ACLableSyncedObjectEnabled" hat damit eigentlich nichts zu tun. Und du mußt auch nichts hin-und-her-migrieren.

 

bearbeitet 6. Oktober von massaraksch

[NorbertFe 2.034]

vor 2 Stunden schrieb massaraksch:

grundsätzlich ist SendAs natürlich auch bei Hybrid möglich.

Wurde ja auch nichts anderes behauptet. ;)

[massaraksch 41]

Am 6.10.2024 um 15:13 schrieb NorbertFe:

Wurde ja auch nichts anderes behauptet. ;)

Ja klar, Ich wollte nur nochmal konkret darauf hinweisen, daß es sich bei SendAs anders verhält als bei FullAccess. Das muß man bei Hybrid halt immer im Hinterkopf behalten