Exchange 2003 getrennte Administration

[BigRed_187 10]

Hi Ihr,

 

ich hab da mal, cih denke eine etwas seltsame Frage

und zwar wuerde mich interessieren ob es grundsätzlich möglich ist Exchange 2003

getrennt zu administrieren. Soll heissen

 

Es existieren bei uns in der Firma 3 Hauptabtielungen in der IM (1."AD-Verwaltung", 2."Email + Internet", 3."Server-Abteilung" (nur zur groben Einteilung))

Wir möchten nun Exchange 2003 einführen, wobei die AD Administration absolut getrennt von der Exchange Administration ablaufen soll ( d.h. AD Administrator soll keine Zugriffsrtechte auf Postfächer und so weiter haben, der Exchange Admin dagegen soll keine AD Rechte haben).

 

Dazu kommt noch die Hardware soll bei unserer Servertruppe untergebracht werden, wobei diese Gruppe auch keinen Zugriff auf Postfächer("Exchange-Aufgaben") haben soll

 

Nun wollte ich fragen ist so eine Konstellation möglich, hat evtl jemand Erfahrung damit?

 

Waere sehr dankbar für ein paar Anregungen.

 

Danke mfg Thomas

[Christoph35 10]

Nun ja, so ganz absolut zu trennen wird das nicht oder nur sehr schwierig sein, weil Exchange tief im AD verwurzelt ist. So sind z.B. die Postfächer keine eigenständigen Objekte sondern sozusagen Eigenschaften der User-Objekte, auch öffentliche Ordner und dergleichen haben Eigenschaften, die im AD gespeichert sind. Und das sind nur 2 Dinge, die mir ad hoc einfallen.

 

Administratoren haben per Default keinen Zugriff auf die Inhalte der Postfächer anderer User.

 

Die Kollegen hier können die Liste ja ergänzen ;).

 

Lies mal einiges zu Exchnage unter

http://www.microsoft.com/technet/prodtechnol/exchange/default.mspx

 

oder nicht ganz so technisch unter

http://www.microsoft.com/exchange/default.mspx

 

Christoph

[BigRed_187 10]

Hi und danke für die schnelle Antwort

Habe mir das Buch von Carius geholt und bin gerade dabei das durchzuarbeiten

Aber von Kollegen kommen teilweise sehr spezielle Fragen zu denen ich im Internet nichts so richtiges finde deswegen diese viele Fragerei.

mfg Thomas

[Christoph35 10]

Ich kenn das Buch von Carius (noch) nicht. Soll aber ganz gut sein. Ich habe u.a. das Buch von Th. Joos durchgearbeitet und fand das recht gut:

 

http://www.amazon.de/exec/obidos/ASIN/3827265924/qid=1120201968/sr=8-1/ref=pd_ka_1/028-1626024-4576507

 

Ausserdem habe ich mir das Buch von MSPress zur Vorbereitung auf die Exchange-Prüfung besorgt:

 

http://www.amazon.de/exec/obidos/ASIN/0735618992/qid=1120202208/sr=1-2/ref=sr_1_11_2/028-1626024-4576507

 

Da steht jede Menge Info drin.

 

Zu den technischen Fragen wirst du wohl am besten im Technet fündig (1. Link aus meinem vorherigen Posting).

 

Äh... und natürlich auch hier ;)

 

 

Christoph

 

/edit: auf der Arbeit habe ich ausserdem noch das Englische ResourceKit Buch zu Exchange 2003:

 

http://www.amazon.de/exec/obidos/ASIN/0735620725/qid=1120202208/sr=2-1/ref=sr_2_11_1/028-1626024-4576507

[BigRed_187 10]

:D

 

Ist auf jedenfall coo so ne nette Community hier zu haben :D

Auf bald

[GuentherH 61]

Hi zusammen.

 

Ich bin da nicht ganz der Meinung von Christoph. Es ist sehr wohl möglich eine getrenne Administration zwischen Exchange und AD durchzuführen.

 

Der Exchange Server darf dabei nicht auf einem DC laufen (was sowieso nicht empfohlen wird). Einzig bei der Installation eines Exchange Server und der dafür eventuell notwendigen Schemaerweiterung werden besondere Rechte benögt.

 

Ansonsten benötigt ein Exchange Admin nur das Recht Benutzer, Kontakte und Verteilergruppen anzulegen.

 

Für die Verwaltung ist im Exchange dafür sogar die Stadard Sicherheitsrolle des Exchange Administrator (3 verschiedene Rollen) vorgesehen.

 

Nachzulesen ist das sehr schön im Exchange Server 2003 Administrationshandbuch

 

LG Günther

[Christoph35 10]

Hallo nochmal!

 

@günterh: Ich kenne das Doc. ;)

 

Ich habe mich nur etwas gestört an dem Begriff "absolute Trennung". Das hieße für mich, dass ein Exchange Admin im AD nichts zu suchen hat. Da er aber ja Benutzer, Postfächer und Verteilergruppen anlegen können muss, wie du schreibst, braucht er eben doch Berechtigungen im AD.

 

Vielleicht habe ich das "absolut" aber auch nur überinterpretiert.

 

 

Christoph

[GuentherH 61]

Hi.

 

Würde ich auch so sehen, das du das etwas überinterpretiert hast ;)

 

Das Anlegen von Benutzern usw. kann man auch über Templates regeln und somit die Zugriffe auf das AD noch weiter einschränken.

 

LG Günther