365みなさんこんにちは。Control(RBAC)」についてご紹介したいと思います。365の運用においてセキュリティ面の強化を図ることできます。本記事を参考に是非習得してみてください。Controlの略称で、日本語に直すと「役割ベースのアクセス制御」を意味します。言葉の通り、Exchange組織の役割に応じたアクセス制御を提供する機能で、「実行可能なコマンド」と「実行可能なスコープ」を定義します。Management」だと思います。Role」を一つ以上含む集合体です。Management」には、配布グループやメールボックスに関連する設定変更や、パスワードリセットなんかも実行可能であることが分かりますね。[+]の新規作成メニューより、RoleGroupを新規作成し、既定で用意されているManagementRoleを組み込むことである程度権限を限定したアクセス権を作成、ユーザーに割り当てることも出来ます。運用でよくある話で「ヘルプデスクのアカウント向けに限定したアクセス権を作成したい」とか、「関係会社のオブジェクトのみ変更可能なアクセス権を作成したい」、なんて話がよくありますよね。既定で組み込まれたManagementRoleでは、上述の要件を満たすことは出来ませんが、RBACはPowerShellから詳細に作りこむことが出来るため、少し複雑ですが覚えておいて損はありません。これからご紹介するのはPowerShellを使って詳細なアクセス権を作成する方法です。以下の図の流れで作成していきます。実際に作成してみる実際にRBACを作成していきますが、まずはRBACの全体像を整理してから作成すると各コマンドが何の設定をしているのかがイメージしやすくなると思うので↓の絵を参考にしてください。今回作成するアクセス権は「特定ドメインを持つグループのメンバー変更ができるアクセス権」を作成したいと思います。New-ManagementRoleで役割を作成します。Group”を新規作成しています。membership」と同等レベルのコマンド群が既に組み込まれていることが分かります。Group\*"しかし、今回の要件はあくまで”設定変更”であるため、オブジェクトの削除や作成コマンドである「New-*」や「Remove-*」は必要ありません。これらをRemove-ManagementRoleEntryコマンドで削っていきます。Groupの中身を覗くと、不要なコマンド群が除かれていることが分かります。次に、「特定ドメインを持つグループ」に限定するめのスコープをNew-ManagementScopeで作成します。このコマンドはオブジェクトが持つ属性をフィルタリングしてスコープを定義します。やりやすいのはメールアドレスのドメイン部分だと思うので、ここでは”PrimarySmtpAddress”属性のドメイン部分が”itbeginner.biz”のオブジェクトを指定します。'*@itbeginner.biz')"以上で、PowerShellでの作業は終了です。次に作成した役割とスコープを使って役割グループをGUIで作成し、ユーザーに権限を割り当てます。Online管理コンソールの[permission]で、[+]をクリックして新規作成します。scope:]にカスタムスコープを選択、[Roles:]にカスタム役割を選択します。[Members:]にはアクセス権を付与するユーザーアカウントを指定します。付与するアカウントにExchangeライセンスを必要ありません。そのまま新規作成すればカスタムアクセス権の出来上がりです。カスタムアクセス権で操作してみるPowerShellからScope対象に該当しないセキュリティグループにAdd-DistributionGroupMemberコマンドを実行すると、「現在の書き込みスコープ内にありません」とエラーが返されます。ManagementRoleに存在しないコマンドは実行すら出来ません。一点注意しておきたいのが、スコープで定義出来るのは”書き込み”に対するスコープであるため、Getに対してスコープは有効になりません。Get-*コマンドはScope外のオブジェクトも表示されるので、Get-*をEntryから除外しても良いですがいまひとつですね。Groupには、Set-DistributionGroupコマンドのオプション類があまり揃っていないため、表示名などの各属性の変更は今のままでは出来ません。Groupに追加する必要があります。↑の話の補足で、Set-ManagementRoleEntryコマンドで各コマンドのオプションを追加/削除が可能ですが、親が持っていないオプションを追加することは出来ないので、上述の通り別のManagementRoleを作成しましょう。おわりにいかがでしたでしょうか?小難しいPowerShellコマンドが登場しますが、意外に需要のあるRBACのテクニックについてご紹介させていただきました。コマンドだけで見ると中々理解しがたい機能ですが、それぞれの設定値の位置づけが整理出来ていれば、意外と簡単です。習得してみてください。2018.01.14さて、今回はExchangeが提供するサービスのひとつである会議室/備品の予約機能を導入するにあたって検討すべきポイントを纏めてみようと思いました。Onlineの会議室や備品などの「リソースメールボックス」は、追加ライセンスが必要なしに構成できるため、ありがたい機能です。コメントをキャンセルメールアドレスが公開されることはありません。date*日本語が含まれない投稿は無視されますのでご注意ください。(スパム対策)プロフィールこんにちは、Miya(@miya_microsoft)です。高校~大学では情報科学部としてプログラミングを学び、SEとして某Sierに入社しました。Microsoftプロダクトをメインに設計から構築までを担当しております。本ブログは筆者の業務範囲の中で得た学びをより深めることと、その情報が皆さまのお役に立てればという思いから設立しました。キャンセル投稿を送信できませんでした。メールアドレスを確認してください。メール送信チェックに失敗しました。このブログではメールでの投稿共有はできません。