基于AD安全组成员身份向服务器授予中继

我们将中继从Exchange 2003服务器移到Exchange 2010服务器。 我希望“授予或拒绝特定用户或组的继电器权限”选项仍然可以某种forms,但我不知道如何去做。 我已经阅读了接收连接器,到目前为止我无法得到它的工作。 我编辑了接收连接器上的安全性,以允许组的以下扩展权限并将计算机帐户添加到该组:

  • 接受路由头
  • 绕过反垃圾邮件
  • 提交给服务器
  • 接受任何发件人
  • 接受任何收件人

然后我突然意识到,testing…接收连接器如何parsing对特定AD对象的权限,可能是反向DNS查找? 我想知道的是,如果我想实现的是可能的,那将是可能的。

我宁愿不回复到基于IP的列表,因为这是不可pipe理的,我试图避免为许多工作站创build静态IP /预留,否则不需要它们。

根据你对Noor的回答的评论,我怀疑你正在寻找的是:

  • 使给定计算机的AD帐户成为“允许中继”组的成员
  • 在计算机上运行的程序神奇地能够通过Exchange中继SMTP,因为计算机的AD帐户的组成员资格

如果这是你正在寻找的是没有办法做到这一点, 除非给定的计算机上的所有SMTP客户端都能够使用计算机的AD计算机帐户validationExchange。 大多数SMTP客户端不(实际上,我想不出一个可以)。 到Exchange的传入SMTP连接的源IP地址不会导致发生任何身份validation,也不会生成Exchange可以查询组成员身份的安全令牌。 IP地址和安全主体是正交的。

更好的方法是生成服务凭证(无论您喜欢的帐户的粒度如何 – 每个SMTP客户端都有一个是我的偏好),并授予这些凭据权限进行中继。 然后,您可以configuration每个SMTP客户端进行身份validation和中继将被允许基于凭据。

您可以使用PowerShell编辑额外的安全设置,您无法使用GUI编辑这些设置,可以使用以下PowerShell命令告诉交换谁应该使用连接器:

  • Get-ReceiveConnector“接收连接器名称”| Add-ADPermission -User“Account / Group Name”

作为一个例子,我通常使用这个命令来允许匿名访问连接器:

  • Get-ReceiveConnector“接收连接器名称”| Add-ADPermission -User“NT AUTHORITY \ ANONYMOUS LOGON”-ExtendedRights“ms -Exch-SMTP-Accept-Any-Recipient”

更多信息可以在这里find: http : //help.globalscape.com/help/me3/configuring_authenticated_access_to_exchange.htm