基于 Exchange Hybrid 的环境中迁移邮箱的迁移权限 – 简介 |第 3 部分#5

Exchange 混合环境中迁移的邮箱之间的 Exchange 权限关系的主题可能非常令人困惑。
术语“Exchange 权限关系”试图描述两个（或多个）之间具有现有权限结构的邮箱。
当我们将这些邮箱从“本机环境”迁移到“其他环境”时，我们需要回答的核心问题是——现有的权限会发生什么变化？

此 Exchange 权限是否会与邮箱一起迁移到其他环境？
如果我们仅将一个合作伙伴迁移到另一个 Exchange 环境来“破坏”现有 Exchange 权限的关系，会发生什么情况？

在本文中，我们将全面回顾 Exchange 混合环境中不同类型的“邮箱迁移”场景。

下一篇文章,专门介绍我们将邮箱作为一个组从现有 Exchange 环境迁移到“其他 Exchange 环境”的场景

文章 - 单独迁移 Exchange 本地邮箱 |基于 Exchange 混合的环境 |迁移后的权限有哪些？ |第5#5部分专门针对我们迁移邮箱的场景，但此时，我们通过仅将部分邮箱迁移到“其他环境”来打破现有的Exchange权限关系。

Exchange混合环境的特殊性及邮箱迁移的主题

Exchange 混合由本地环境（本地 Active Directory 和 Exchange on-Premises）和“云”环境（Windows Azure Active Directory 和 Exchange Online）组成。

Exchange Hybrid 最突出的功能之一是 Exchange 邮箱物理位置的“透明性”。 Exchange 管理员可以决定将现有邮箱保留在 Exchange 本地基础设施上，或者将邮箱迁移到“云”，反之亦然。

摆在我们面前的挑战是，实际上，两个不同 Exchange 环境之间的“Exchange 权限”基础设施并不那么“透明”。

为了能够简化 Exchange 权限的主题，我使用术语“Exchange 权限的关系”。

术语“交换权限的关系”不是一个技术术语。我使用此术语来描述对其他 Exchange 邮箱具有显式权限的 Exchange 邮箱。

假设两个 Exchange 邮箱之间存在“权限关系”，例如邮箱 A 对邮箱 B 具有特定权限，那么问题是在以下场景中这些权限会发生什么情况：

• 案例 1 - 我们将邮箱 B 迁移到云，而邮箱 A “留在”本地 Exchange 基础设施上的场景。
• 案例2——我们将邮箱（邮箱A+邮箱B）的展位迁移到云端的场景。

在这种情况下，我们的问题是 -

两个邮箱之间存在的“Exchange权限关系”会发生什么变化呢？

“权限关系”会保持不变还是“权限关系”会“断开”？

与 Exchange 混合环境中的邮箱迁移相关的两个主要方案。

在 Exchange 混合环境中，当涉及“迁移的 Exchange 权限”主题时，我们可以定义两个主要的“邮箱迁移”场景。

场景1 - 将具有“权限关系”的邮箱作为一个组进行迁移。

在这种情况下，彼此之间具有“权限关系”的 Exchange 本地邮箱将一起迁移到云（Exchange Online）。

例如：

• 邮箱 A 和邮箱 B 托管在 Exchange 本地服务器上。
• 邮箱A对邮箱B有特定的权限。
• Exchange管理员将邮箱的展位迁移到云端。

场景 2 - 迁移与另一个邮箱具有“权限关系”的特定邮箱。

本场景中，仅将一个邮箱迁移至云端。例如，拥有邮箱B权限的邮箱A留在本地Exchange，邮箱B迁移到云端。

例如：

• 邮箱 A 和邮箱 B 托管在 Exchange 本地服务器上。
• 邮箱A对邮箱B有特定的权限。
• Exchange 管理员将邮箱 B 迁移到云，邮箱 A 继续由 Exchange 本地服务器托管。

在实现这个场景时，我们“打破”邮箱之间存在的现有 Exchange 权限关系，我们正在创建描述为“跨站点权限”的场景。

在这种情况下，权限的基础结构是在 Exchange 本地服务器上托管的邮箱和云 (Exchange Online) 中托管的其他邮箱之间实现的。

迁移到云端的Exchange权限正式信息

为了能够获得有关 Exchange 混合环境中邮箱迁移和迁移权限的问题的一些答案，让我们首先引用 Microsoft 与此主题相关的文章：

邮箱权限迁移 显式应用于邮箱的本地邮箱权限（例如发送方式、接收方式和完全访问权限）正在迁移到 Exchange Online。
继承的（非显式）邮箱权限以及对邮箱的任何权限非邮箱对象（例如通讯组列表或启用邮件的用户）不会迁移。
因此，如果适用于您的组织，您必须规划在 Office 365 中配置这些权限。例如，您可以使用 Add-RecipientPermission 和 Add-MailboxPermission Windows PowerShell cmdlet 设置 Office 365 中的权限。
支持跨界邮箱权限 Exchange 混合部署支持在位于不同邮箱之间使用完全访问邮箱权限位于本地 Exchange 组织和位于 Office 365 中的邮箱。本地 Exchange 服务器上的邮箱可以授予对 Office 365 邮箱的完全访问权限，反之亦然。例如，可以向 Office 365 邮箱授予对本地共享邮箱的完全访问权限。

如果 Exchange Online 中的租户已使用 Dirsync 或 AAD Sync 完全同步，则明确应用于邮箱的本地邮箱权限（例如发送方式、接收方式和完全访问权限）将迁移到 Exchange Online。
继承（非继承） -显式）邮箱权限（例如应用于邮箱数据库的权限）和对非邮箱对象（例如通讯组列表或启用邮件的用户）的任何权限都不会迁移。因此，您应该使用 Add-MailboxPermission 或 Add-RecipientPermission cmdlet 在 Exchange Online 中重新创建这些权限。

场景 1 - 将 Exchange 本地邮箱作为“组”进行迁移。

鉴于两个（或更多）Exchange 本地邮箱具有“权限关系”，并且 Exchange 管理员将这些邮箱作为一个组（一起）迁移，除了非显式（继承）权限外，所有现有权限都会迁移到云。

在下表中，我们可以看到将迁移到云的 Exchange 权限的摘要。

如果我们迁移具有“权限关系”的 Exchange 本地邮箱，则应迁移以下权限：

• 完全访问权限
• 发送为权限
• 代表发送权限

以下权限\选项将不会迁移：

• 非显式（继承）权限将不会被迁移。
• 在完全访问权限的情况下，Automap功能将不会迁移。

请注意，本文与以下主题无关：委派权限 和 文件夹权限（日历共享）。
我们将在以下文章中测试此 Exchange 权限 - 以组身份迁移 Exchange 本地邮箱 |基于 Exchange 混合的环境 |迁移后的权限有哪些？ |第 4 部分#5

场景 2 - 将特定 Exchange 本地邮箱迁移到云端

Microsoft 文章中的信息与此类场景没有直接关系，在这种场景中，只有部分 Exchange 本地邮箱迁移到了云。

一般来说，本文不建议实施会“破坏”现有 Exchange 权限关系的迁移过程（建议将邮箱作为一个组进行迁移）。

本文中存在的唯一“提示”与支持的跨站点权限有关 - 完全访问权限。

如果我们使用“否定方法”，则逻辑结论是，如果我们“分离”到具有“权限关系”的 Exchange 本地邮箱，则唯一起作用（将被迁移）的权限是 完全访问权限。

该文章与发送为 权限无关，因此，我们可以假设发送为权限将无法继续发挥作用。

换句话说，如果 Exchange 本地收件人对迁移到云的邮箱具有代理发送权限，则 发送为权限 应该被删除，因为在 Exchange 混合环境中，跨站点权限不支持 发送为权限。

在下表中，我们可以看到将迁移到云的 Exchange 权限的摘要。

目前，我们无法确定发送为权限
还是代表发送权限 将被删除。

如果我们迁移具有“权限关系”的 Exchange 本地邮箱，则应迁移以下权限：

• 完全访问权限

以下权限\选项将不会迁移：

• 发送为权限。
• 代表权限发送。
• 非显式（继承）权限将不会被迁移。
• 在完全访问权限的情况下，Automap功能将不会迁移。

请注意，本文与以下主题无关：委派权限 和 文件夹权限（日历共享）。
我们将在下面的文章中测试此 Exchange 权限 - 单独迁移 Exchange 本地邮箱 |基于 Exchange 混合的环境 |迁移后的权限有哪些？ |第 5 部分#5

文件夹权限和日历共享

如前所述，微软文章与日历共享等场景中使用的文件夹权限主题无关。

例如，以下场景会发生什么？：

场景1 - 将具有“权限关系”的邮箱作为一个组进行迁移

在这种情况下，具有“权限关系”的Exchange本地邮箱一起迁移到云端（Exchange Online）。

例如：

• 接收者 B 与接收者 A 共享他的日历；收件人的展位托管在 Exchange 本地服务器上。
• Exchange管理员将邮箱的展位迁移到云端。

Q1：文件夹权限是否会迁移到云端？换句话说，收件人 A 是否仍然能够访问收件人 B 的日历？

A1：Microsoft 文章中没有正式引用此类权限。根据我的测试，文件夹权限会成功迁移到云端。
您可以查看测试结果文章的结果 - 以组的形式迁移 Exchange 本地邮箱 |基于 Exchange 混合的环境 |迁移后的权限有哪些？ |第 4 部分#5

场景 2 - 迁移与另一个邮箱具有“权限关系”的特定邮箱。

本场景中，仅将一个邮箱迁移至云端。例如，拥有邮箱B权限的邮箱A留在本地Exchange，邮箱B迁移到云端。

例如：

• 接收者 B 与接收者 A 共享他的日历；收件人的展位托管在 Exchange 本地服务器上。
• Exchange 管理员将邮箱 B 迁移到云，邮箱 A 继续由 Exchange 本地服务器托管。

Q2：文件夹权限是否会迁移到云端？换句话说，收件人 A 是否仍然能够访问收件人 B 的日历？

A1：Microsoft 文章中没有正式引用此类权限。

从技术上讲，文件夹权限不应迁移到云端，因为 Exchange 混合跨站点权限不应支持文件夹权限。

根据我的测试，文件夹权限会成功迁移到云端。
您可以查看测试结果文章中的结果 - 单独迁移 Exchange 本地邮箱 |基于 Exchange 混合的环境 |迁移后的权限有哪些？ |第 5 部分#5

术语显式与非显式（继承）权限

微软的文章说——

继承的（非显式）邮箱权限以及非邮箱对象（例如通讯组列表或启用邮件的用户）的任何权限都不会迁移。

Q1：“非显式权限”（继承）邮箱权限是什么意思？

A1：为了更好地理解术语“非显式（继承）权限”，让我们从“显式权限”的定义开始。

明确许可

术语“显式权限”定义了一种场景，在该场景中，我们将 Exchange 权限分配给另一个“收件人对象”上的特定“收件人对象”。

例如，我们为 Alice 分配 Bob 邮箱的完全访问权限 。

非明确许可

Exchange 环境中的术语“非显式权限”（继承）描述了一种方法，在该方法中我们以“非定向方式”分配权限。
在这种情况下，我们有两个以上的“元素” ”所涉及的。

例如，我们在元素 B 上为元素 A 分配 Exchange 权限，但元素 A 是一个“容器对象”，例如包含其他元素（例如元素 C）的组。

例如-

• 我们分配一个名为 Helpdesk 的安全组，即 Bob 邮箱的完全访问权限。
• Alice 是该帮助台安全组的成员。

由于 Alice 是安全组的成员，并且安全组对 Bob 的邮箱具有
完全访问权限，结果是 Alice
对 Bob 的邮箱具有完全访问权限。

在这种情况下，我们可以说 Alice 从安全组继承了她的权限。
表达同一件事的另一种方式是 Alice 对以下内容具有非显式权限：鲍勃的邮箱。

选项 2 - 向收件人分配 Exchange 数据库的权限。

如果我们将 Exchange 权限分配给托管 Exchange 收件人邮箱的 Exchange 服务器数据库上的特定收件人，则可以在 Exchange 环境中实现另一种类型的“非显式权限”（继承）。

例如，我们将 完全访问权限 分配给名为 Alice 的用户和 Exchange 本地数据库的场景。

特定的 Exchange 本地数据库托管以下收件人的邮箱：Bob、Robert 和 Emma。

结果是，Alice 将拥有 Bob、Robert 和 Emma 邮箱的完全访问权限。

换句话说，Alice 没有对每个邮箱的显式权限，但对托管这些邮箱的数据库具有权限。

如果我们向 Exchange 数据库添加其他邮箱，Alice 将自动
拥有完全 访问权限 在“新邮箱”上。

底线

在Exchange混合环境中，如果我们有一个场景，我们对特定邮箱分配“非显式权限”（继承），并将该邮箱迁移到云端；这些权限不应与邮箱一起迁移。

稍后，我们将在文章中演示这样的场景 - 以组的形式迁移 Exchange 本地邮箱 |基于 Exchange 混合的环境 |迁移后的权限有哪些？ |第4#5部分，看到结果与“正式预期结果”有一点不同

当前文章系列的下一篇文章

以组的形式迁移 Exchange 本地邮箱 |基于 Exchange 混合的环境 |迁移后的权限有哪些？ |第 4 部分#5