保护Exchange邮箱

我不知道你是否可以lockingpipe理员。 如果有损坏，你将如何修复邮箱？

系统pipe理员是系统pipe理员的一部分，因为对高级系统pipe理员有一层隐含的信任。 系统pipe理员可以读取服务器上的任何数据，读取电子邮件，嗅探stream量，重置密码…本质上，它们是networking和服务器中的神。

如果您不信任系统pipe理员，则说明您有问题。

这是一个人力资源和政策问题，而不是技术问题。 你需要清楚地说出决定什么可以和不可以容忍的政策。 否则，他们需要知道，即使邮箱是安全的，系统pipe理员可以使用数据包嗅探，屏幕截图等…如果你设法以某种方式lockingpipe理员，祝你好运检索邮件，诊断这些机器上的问题，并找出是否有其他人在这些工作站上安装恶意软件，并正在阅读这些消息！

如前所述，这是不可能的。

当然，可以做的事情就是审计这些邮箱上的事件，并保护Exchange服务器上的事件日志。 正如Erik所指出的那样，即使系统pipe理员把备份磁带带回家并恢复，这也无济于事。

尽pipe如此，如果董事们不信任系统pipe理员，那么业务或者需要较less的偏执型董事或者更可靠的系统pipe理员，这取决于董事是否有权担心。

唯一可行的方法就是不要将电子邮件保留在Exchange中，这样可以免除任何电子邮件归档系统。 根据你所处的监pipe环境，这可能是一个非常糟糕的主意。

但最终归结为信任问题。 如果他们不能相信自己的最高级别的pipe理员不在他们没有被邀请进去的地方（也许他们读了太多的BOFH故事），那么pipe理员不需要在那里工作。 这就是所谓的职业道德，而系统pipe理员最重要的职业道德之一就是不要去寻找好奇心的信息。 这就是为什么我得到了一个坚实的背景检查这个和我最后的系统pipe理员工作。

也就是说，我看到一些例子，顶级用户只有他们自己的IT人才。 他们维护独立的电子邮件环境，并为C-suite处理桌面IT人员。 信息技术的其他部分必须通过这个人来完成。 当一个人是一个好人，并且愿意与公司其他人一起工作的时候，这真的可以工作。 当一个人让权力走到他们的头上，他们开始走自己的路，走自己的路，这可能是彻头彻尾的邪恶。

无论是通过交换服务器，通过OWA，通过第三方垃圾邮件过滤设备，还是从备份还原（甚至可以逃避标准审计），pipe理员都可以通过某种方式进入用户的邮箱。login交换服务器）。 这不仅仅是一个技术问题，更是一个信任问题。

唯一真正安全的方法是让高级主pipe使用密码保护密钥对其所有邮件使用客户端encryption。 不过，我很难相信他们会同意跳过必要的环节来做到这一点。

这不可能。 微软坚持安全一直是pipe理员可以访问所有内容，甚至是无法访问的东西（无论是通过更改权限还是获取对象的所有权）。

现在，像Novell这样的其他公司在过去也采取了一种不同的方式，即pipe理员可以从对象中删除无法获取的对象。 最大的缺陷就是文件系统，目录存储或邮箱的某些部分可能很容易变得完全无法访问而无法追索。

所以，除非你的pipe理人员想pipe理他们自己的Exchange服务器（和域），否则你将不得不在微软的范围内生活。

那么如果真正的pipe理员（从事日常工作的人）从域pipe理员和Exchange组织单位组中被删除呢？ 我的理解是这些是查看邮箱所需的必要权限。

然后，“真实”pipe理员帐户（仍具有域pipe理员和Exchange OU成员资格）的密码只有公司主pipe知道。

当然这会限制实际pipe理员的debugging和configuration能力; 但是当需要额外的访问时，其中一名董事将不得不参与其中。

我对原来的海报深表同情：我公司的负责人坚持同样的政策。 他的组织经过精心devise，将行政权力分散在不同的个人之间。 这是令人沮丧的，但业主的业主可以制定规则。

请注意，这个build议忽略了一旦电子邮件被拦截的能力。

大声明：我只是在学习这个东西，所以请带上一大粒盐。