Infra Hub: Sysadmin, Cloud & DevOps

Quản trị Office 365 riết cũng nhàm chán nên buồn buồn ngồi disable kết nối mailbox của vài users chơi ^^!

Trong bài viết này, tôi xin chia sẽ một vài lệnh để  enable or disable một số giao thức kết nối mailbox trong Exchange Online in Office 365:

• Post Office Protocol (POP)
• Internet Message Access Protocol (IMAP)
• Messaging Application Programming Interface (MAPI)
• Outlook Web App
• Microsoft Exchange ActiveSync

Hôm nay chúng ta sẽ tìm hiểu về ADFS Claims Rules trong mô hình triển khai Office 365 Hybrid.
Như các bạn đã biết, dịch vụ Office 365 trên môi trương Hydrid - tích hợp với hệ thống Active Directory, ADFS, ADFS Proxy có những đặc thù riêng.
Khi công ty có những yêu cầu riêng như:

1- Chỉ cho phép sử dụng webmail (OWA) trong mạng nội bộ công ty
2- Thành viên của một group nào đó không được sử dụng giao thức ActiveSync
3- Thành viên của một group nào đó bị cấm truy cập OWA từ mạng ngoài.
4- Sử dụng chứng thực forms-based cho tất cả users khi truy cập OWA

Chúng sẽ dùng đến các Claims Rules trên máy chủ ADFS để thực hiện các yêu cầu trên.

1- Chỉ cho phép sử dụng webmail (OWA) trong mạng nội bộ công ty

Đây là một yêu cầu phổ biến.  Công ty yêu cầu chặn OWA nhưng vẫn cho phép dùng điện thoại, Outlook client để sử dụng email.
Mobile/Outlook client sử dụng các giao thức như RPC + HTTPS, EWS, ActiveSync, Autodiscover để kết nối vào máy chủ email.
Tư duy lập trình thì các rule sẽ kiểu như vầy :

If {
    {
ClientApplication is RPC
    Or
    ClientApplication is EWS
}
    AND
    ClaimType is Active
    AND
    ClientIPAddress is not in <corporate ip address list>
}
THEN DENY THE CLAIM

Như các bạn đã biết thì với môi trường Office 365 Hybrid, chúng ta vừa có thể tạo & quản lý Distribution Group (DG) trên AD cũng như trên Office 365 portal.
 Tuy nhiên, hạn chế của việc tạo DG trên AD là chỉ có IT mới có quyền chỉnh sửa các DG đó!! Ói cơm luôn ^^.
Trên Office 365 portal, mặc định tất cả users đều có quyền tạo mới, sửa, xóa các group cũng như quản lý các group mà họ có quyền Owner.  Nhưng...như vậy thì quá loạn!!
 Ở bài viết này, tôi sẽ hướng dẫn Cấm tất cả users tạo public Distribution Group trên Office 365 (Cloud) , chỉ cấp quyền cho một vài Users được chỉ định để quản lý.
  Bước 01: Chỉnh sửa User Roles:   "Default Role Assignment Policy"

Bước 02: Tạo thêm 01 User Roles:   "Custom Role Assignment Policy"

Bước 03: Gán User Roles mới cho nhân viên: Dùng giao diện:

 

Set-Mailbox <mailbox alias or name> -RoleAssignmentPolicy <assignment policy>
#Example: Set-Mailbox lecuong -RoleAssignmentPolicy "Custom Role Assignment Policy"

Get-Mailbox | Set-Mailbox –RoleAssignmentPolicy “<Name of Policy>”
#Example: 
Get-Mailbox | Set-Mailbox –RoleAssignmentPolicy "Custom Role Assignment Policy"

  Cơm thêm: Để cho phép một nhân viên nào đó (HR chẳng hạn) có quyền quản lý tất cả các group (mặc dù không có quyền Owner) thì chúng ta có thể tạo Admin Roles, gán ID của nhân viên HR này vào đó.