Eine häufige Anforderung von Kundenseite ist die Frage nach einer Delegierung von Postfachberechtigungen zwischen OnPremise und Cloud-Benutzern. Bislang konnte dies nur verneint werden, bislang denn seit Ende April wird diese Funktion im Office 365 Tenanten freigegeben.
Zukünftig ist es damit auch nicht mehr erforderlich, das Benutzer mit delegierten Berechtigungen gleichzeitig migriert werden müssen, damit die Delegierung in Exchange Online weiterhin zur Verfügung steht. Damit die übergreifende Delegierung funktioniert, muss zunächst in Exchange On-Premise die Funktion aktiviert werden. Hierzu muss folgendes Cmdlet in Exchange abgesetzt werden:
Set-OrganizationConfig -ACLableSyncedObjectEnabled $true
Damit haben Sie dann die Grundlagen dafür geschaffen, damit lokale Benutzer zum Delegaten eines Cloud-Benutzers wird. Wenn nun gewünscht wird, das dieser Weg auch andersherum funktioniert, muss das Attribut msExchRecipientDisplayType auf dem Remote-Postfach im On-Premise-AD neu konfiguriert bzw. angepasst werden. Durch diese Anpassung kann das Postfach des Cloud-Benutzers nun delegiert werden. Wenn das Postfach von On-Premise nach Exchange Online migriert wurde, hat das Attribut hat einen Standardwert von -2147483642. Damit nun die Delegation funktioniert, muss dieser Wert in -1073741818 abgeändert werden.
Die Änderung des Wertes geschieht wieder über ein Powershell Cmdlet, auszuführen in der On-Premise Exchange-Powershell:
Get-ADUser user@contoso.com -Properties msExchRecipientDisplayType | where {$ _. msExchRecipientDisplayType -eq -2147483642} | Set-ADUser -Replace @ {msExchRecipientDisplayType = -1073741818}
Das folgende Powershell Cmdlet ändert den Wert für alle migrierten Postfächer:
Get-ADUser -Filter * -Properties msExchRecipientDisplayType | where {$ _. msExchRecipientDisplayType -eq -2147483642} | Set-ADUser -Replace @ {msExchRecipientDisplayType = -1073741818}
Sobald die Befehle abgesetzt worden sind, können die Cloud-Benutzer Delegierte für lokale Benutzer werden. Die Verzeichnisreplikation mit AAD Connect muss in diesem Fall nicht erzwungen werden, es funktioniert auch ohne.
Kommentar schreiben