Administración de permisos de buzones y carpetas en Exchange y Microsoft 365

En este artículo, mostraremos cómo administrar los permisos de acceso a buzones o carpetas en Exchange Server local y en Microsoft 365 (Exchange Online). Los métodos y los comandos de PowerShell para administrar los permisos de buzón/carpeta en Exchange local y en la nube son casi iguales (excepto por las diferencias en la interfaz gráfica de EAC), por lo que decidí recopilar toda la información útil para un administrador del sistema en un solo artículo.

En Exchange (tanto en Microsoft 365 local como en la nube), hay dos niveles de permisos de buzón:

• Permisos a nivel de buzón: permite otorgar acceso completo al contenido del buzón y al envío de correos electrónicos. En este nivel, están disponibles los siguientes privilegios:

  Full Access

  ,

  SendAs

  , y

  Send on Behalf

  ;

• Permisos a nivel de carpeta: permite asignar permisos de forma granular a carpetas en un buzón de usuario o compartido. Por ejemplo, puede otorgar acceso completo para administrar elementos en la carpeta Calendario y un privilegio para ver el contenido de la Bandeja de entrada.

Consideremos los permisos a nivel de buzón en detalle:

• Enviar como: permite enviar correos electrónicos desde este buzón;

• Enviar en nombre de: permite enviar correos electrónicos en nombre del buzón, mientras que el remitente real se muestra en el campo De;

• Acceso total: permite acceder a todos los elementos del buzón (excepto enviar en nombre del buzón)

Concesión de permisos de buzón en Exchange y Microsoft 365

Puede asignar permisos de Acceso completo, Enviar como y Enviar en nombre a través de la interfaz gráfica de EAC. Por ejemplo, abra el Centro de administración de Exchange (https://admin.exchange.microsoft.com) en Microsoft 365 y vaya a Buzones.

1. Encuentre un buzón de usuario/sala;

2. Abra sus propiedades -> Permisos de buzón -> Administrar delegación de buzón;

   

3. En la siguiente ventana, puede ver o cambiar los permisos de acceso actuales.

   

Exchange/Microsoft 365: Administrar permisos de buzón mediante PowerShell

Por lo general, un administrador de Exchange rara vez usaba EAC para administrar los permisos del buzón. Es mucho más rápido y conveniente administrar los permisos del buzón a través de PowerShell.

Conéctese a su servidor de Exchange o inquilino de Microsoft 365 (Exchange Online):

1. Puede conectarse de forma remota a su servidor de Exchange local desde la consola de PowerShell sin instalar las herramientas de administración de Exchange:

   $UserCredential = Get-Credential
   $Session = New-PSSession -ConfigurationName Microsoft.Exchange -ConnectionUri http://mun-exch1.a-d.site/PowerShell/ -Authentication Kerberos -Credential $UserCredential
   Import-PSSession $Session

2. Para conectarse a Microsoft 365 con una cuenta habilitada para MFA, use el módulo Exchange Online PowerShell (EXOv2):

   Connect-ExchangeOnline -UserPrincipalName maxbak@a-d.onmicrosoft.com

Por ejemplo, para otorgar permisos de acceso completo a un buzón de correo compartido para que los usuarios puedan ver su contenido y enviar mensajes de correo electrónico, debe asignarles los permisos Acceso completo y Enviar como.

El siguiente comando otorga los permisos de MaxBak Full Access al buzón de MullerH:

Add-MailboxPermission -Identity maxbak@a-d.onmicrosoft.com -User MullerH@a-d.onmicrosoft.com -AccessRights FullAccess -AutoMapping:$true -InheritanceType All

El siguiente comando de PowerShell se usa para otorgar permisos Enviar como:

Add-RecipientPermission maxbak@a-d.onmicrosoft.com -AccessRights SendAs -Trustee MullerH@a-d.onmicrosoft.com

Para otorgar permisos SendOnBehalf, ejecute este comando:

Get-Mailbox maxbak@a-d.onmicrosoft.com | Set-Mailbox -GrantSendOnBehalfTo MullerH@a-d.onmicrosoft.com

Puede asignar permisos a varios usuarios a la vez. Por ejemplo, concedamos a un usuario permisos SendAs en todos los buzones de un departamento específico:

Get-Recipient -Filter {(Department -eq "Financial Dept")} | Add-RecipientPermission -AccessRights SendAs -Trustee MullerH@a-d.onmicrosoft.com

O concedamos permisos de acceso completo a un buzón compartido para todos los miembros de un grupo de distribución de Exchange específico (lista):

$Members = Get-DistributionGroupMember -id MUNmarketing
ForEach ($Member in $Members)
{
Add-RecipientPermission John -AccessRights SendAs -Trustee $Member.name
Add-MailboxPermission -Identity MUNmarkets@a-d.onmicrosoft.com -User $Member.name -AccessRights FullAccess -AutoMapping:$true -InheritanceType All
}

Enumere los usuarios con permisos de acceso completo en un buzón:

Get-MailboxPermission -identity maxbak@a-d.onmicrosoft.com |ft -AutoSize

Para obtener un informe detallado con una lista de usuarios que tienen permisos de acceso completo en cualquier otro buzón de una organización de Exchange (inquilino):

Get-Mailbox|Get-MailboxPermission | where {($_.AccessRights -like 'Full*') -and ($_.User -notlike "nt authority\self")} | Format-Table -Auto User,Deny,IsInherited,AccessRights

Un informe sobre los permisos de SendOnBehalf:

Get-Mailbox -ResultSize Unlimited | Where {$_.GrantSendOnBehalfTo -ne $null} | Select UserprincipalName,GrantSendOnBehalfTo

Para mostrar una lista de usuarios con permisos SendAs en un buzón:

Get-RecipientPermission maxbak@a-d.onmicrosoft.com

Lista de todos los buzones a los que se han asignado privilegios SendAs a un usuario específico:

Get-Recipient | Get-RecipientPermission -Trustee MullerH@a-d.onmicrosoft.com | Select Identity, Trustee, AccessRights

Para eliminar los privilegios SendAs en todos los buzones de la organización para el usuario:

Get-Recipient | Remove-RecipientPermission -AccessRights SendAs -Trustee MullerH@a-d.onmicrosoft.com

Para revocar los permisos de buzón de un usuario:

Remove-MailboxPermission -identity maxbak@a-d.onmicrosoft.com -accessrights:fullaccess -user MullerH@a-d.onmicrosoft.com

¿Cómo administrar los permisos de nivel de carpeta en el buzón de Exchange (Microsoft 365)?

Puede otorgar a sus usuarios acceso a cualquier carpeta en sus buzones. Por ejemplo, puede permitir que un usuario vea la Bandeja de entrada o edite cualquier elemento en la carpeta Calendario.

Los propios usuarios pueden otorgar acceso a una carpeta a otros usuarios a través de Outlook u OWA. Simplemente haga clic en el nombre de una carpeta y seleccione Permisos.

Verá un formulario que muestra los permisos de acceso del usuario actual en la carpeta. Puede otorgar acceso a otros usuarios aquí. Haz clic en + e ingresa el nombre del usuario al que deseas otorgar acceso.

Puede seleccionar un nivel de acceso a la carpeta. Puede seleccionar uno de los roles predefinidos o asignar un permiso específico.

Los siguientes roles están disponibles (como colecciones de permisos específicos):

Una lista de permisos individuales disponibles:

CreateItems
CreateSubfolders
DeleteAllItems
DeleteOwnedItems
EditAllItems
EditOwnedItems
FolderContact
FolderOwner
FolderVisible
ReadItems

Un administrador de Exchange puede otorgar acceso a cualquier carpeta de buzón de usuario en PowerShell. El siguiente comando muestra una lista de las carpetas disponibles en el buzón de un usuario:

Get-MailboxFolder -Identity maxbak@a-d.onmicrosoft.com -Recurse

Puede obtener una lista de permisos asignados en una carpeta de buzón específica:

Get-MailboxFolderPermission -Identity "maxbak@a-d.onmicrosoft.com:\Inbox"

El siguiente comando permite ver una lista de carpetas en un buzón:

Add-MailboxFolderPermission -Identity maxbak@a-d.onmicrosoft.com:\ -User MullerH@a-d.onmicrosoft.com -AccessRights Reviewer

Las subcarpetas no heredan los permisos de su carpeta principal.

Para permitir ver el contenido de la Bandeja de entrada, ejecute este comando:

Add-MailboxFolderPermission -Identity "maxbak@a-d.onmicrosoft.com:\Inbox" -User MullerH@a-d.onmicrosoft.com -AccessRights Reviewer

Para otorgar acceso completo al Calendario:

Add-MailboxFolderPermission -Identity maxbak@a-d.onmicrosoft.com:\Calendar -User MullerH@a-d.onmicrosoft.com -AccessRights Editor

Para eliminar permisos en una carpeta de buzón, se usa el siguiente comando:

Remove-MailboxFolderPermission -Identity "maxbak@a-d.onmicrosoft.com:\Inbox" -user MullerH@a-d.onmicrosoft.com