#はじめに
ExchangeOnlineでは、RBAC(ユーザーベースのアクセス制御)と呼ばれるアクセス許可モデルを用いて、ユーザーの権限(役割)の制御を行っている。ユーザーには、既定で各種権限(役割)が付与されているが、管理者はユーザーに権限(役割)を追加/削除するといった形で、ユーザーがどういった操作ができて/できないかを制御することが可能である。ここでは、特定の権限を削除する方法について検証をし、RBACの仕組み、実装方法について理解を深めた。

#RBACの仕組み
ユーザーに役割が割り当たる仕組みは以下ような構成によって成り立っている。

番号	コンポーネント	説明	関連コマンド
①	役割割り当てポリシー	ポリシーには複数の役割を紐づけることが可能。 1ユーザーにつき、1つのポリシーのみ割り当ていることができる。既定でDefault Role Assignment Policyという名前の役割ポリシーがユーザーに割り当てっている。	get-roleassignmentpolicy set-roleassingnmentpolicy new-roleassignmentpolicy remove-roleassignmentpolicy
②	役割の割り当て	役割割り当てポリシーと役割を紐づける役割を担っている。	get-managemenoleassignment set-managementroleassignment new-managementoroleassignment remove-managementroleassignment
③	役割	複数の役割エントリ(権限の単位)をグループ化する。	get-managementrole set-managementrole new-managementrole remove-managementrole
④	役割エントリ	ユーザーが実行できる操作がコマンド・パラメータ単位で定義されている。	get-managementroleentry set-managementorolseentry remove-managementroleentry

#既定のユーザー役割
既定でユーザーに割り当たるDefault Role Assignment Policyには以下の役割が割り当たっている。

役割	説明
MyContactInformation	個々のユーザーは、住所と電話番号を含めた自分の連絡先情報を変更できる。
MyProfileInformation	個々のユーザーは自分の名前を変更できまる。
MyDistributionGroups	個々のユーザーは配布グループを作成、変更、および表示することと、自らが所有する配布グループでメンバーを変更、表示、削除、および追加することができる。
MyDistributionGroupMembership	個々のユーザーは組織内にある配布グループの自分のメンバーシップを表示および変更できる。ただし、それらの配布グループで、グループメンバーシップの操作が許可されていることが前提。
My Custom Apps	ユーザーはカスタムアプリケーションへの接続を表示して変更できる。
My Marketplace Apps	ユーザーはマーケットプレースアプリケーションへの接続を表示して変更できる。
My ReadWriteMailbox Apps	ReadWriteMailbox のアクセス許可を持つユーザーはアプリをインストールできる。
MyBaseOptions	個々のユーザーは、自分のメールボックスの基本的な構成と関連する設定を表示し変更できる。
MyMailSubscriptions	個々のユーザーは、メッセージの形式およびプロトコルの既定値のような、電子メールサブスクリプションの設定を表示および変更できる。
MyMailboxDelegation	この役割により、管理者はメールボックスのアクセス許可を委任できる。
MyRetentionPolicies	個々のユーザーは保持タグの表示や、保持タグ設定と既定値の表示および変更を実行できる。
MyTeamMailboxes	個々のユーザーはサイトメールボックスを作成して SharePoint サイトに接続できるようになる。
MyTextMessaging	個々のユーザーはテキストメッセージング設定の作成、表示、および変更を実行できる。
MyVoiceMail	個々のユーザーは自分のボイスメールの設定を表示および変更できます。

#カスタムの役割割り当てポリシーと役割を作成

今回はMyDistributionGroupsの役割(配布グループの作成、変更)からメーリングリスト(配布グループ)の作成権限を削除したカスタムの役割を作成し、それを別途作成するカスタムの役割割り当てポリシーに紐づけをする。
(その他の役割はそのままの状態でカスタムの役割割り当てポリシーに紐づけを行う。)

###MyDistributionGroupsの役割をカスタマイズ
MyDistributionGroupsには既定で以下の役割エントリが紐づいている。

PS C:\WINDOWS\system32> Get-ManagementRoleEntry "MyDistributionGroups\*"

Name                           Role                      Parameters
----                           ----                      ----------
Update-DistributionGroupMember MyDistributionGroups      {Confirm, ErrorAction, ErrorVariable, Identity...}
Set-Group                      MyDistributionGroups      {DisplayName, ErrorAction, ErrorVariable, Identity...}
Set-DynamicDistributionGroup   MyDistributionGroups      {ErrorAction, ErrorVariable, Identity, MailTip...}
Set-DistributionGroup          MyDistributionGroups      {AcceptMessagesOnlyFrom, AcceptMessagesOnlyFromDLMembers, A...
Remove-DistributionGroupMember MyDistributionGroups      {Confirm, ErrorAction, ErrorVariable, Identity...}
Remove-DistributionGroup       MyDistributionGroups      {Confirm, ErrorAction, ErrorVariable, Identity...}
New-DistributionGroup          MyDistributionGroups      {Alias, Confirm, CopyOwnerToMember, DisplayName...}
Get-Recipient                  MyDistributionGroups      {Anr, AuthenticationType, BookmarkDisplayName, ErrorAction...}
Get-Group                      MyDistributionGroups      {Anr, ErrorAction, ErrorVariable, Filter...}
Get-EligibleDistributionGro... MyDistributionGroups      {ErrorAction, ErrorVariable, Identity, ManagedBy...}
Get-DistributionGroupMember    MyDistributionGroups      {ErrorAction, ErrorVariable, Identity, IncludeSoftDeletedOb...
Get-DistributionGroup          MyDistributionGroups      {Anr, ErrorAction, ErrorVariable, Filter...}
Get-AcceptedDomain             MyDistributionGroups      {Identity}
Add-DistributionGroupMember    MyDistributionGroups      {Confirm, ErrorAction, ErrorVariable, Identity...}

ここから、New-DistributionGroupの管理エントリを削除したカスタムの役割を作成する。

役割は新規に作成することができないため、既存の役割を親としてまずはコピーを作成し、必要な変更を行う。
MyDistributionGroups役割を親として、MyDistributionGroupsCustom役割を作成。

new-managementrole -parent MyDistributionGroups -name MyDistributionGroupsCustom

作成したカスタムの役割から特定の役割エントリ(New-DistributionGroup)を削除する。

remove-managementroleentry MyDistributionGroupsCustom\New-DistributionGroup

作成したMyDistributionGroupsCustom役割に紐づく役割エントリを確認する。

PS C:\WINDOWS\system32> Get-ManagementRoleEntry "MyDistributionGroupsCustom\*"

Name                           Role                      Parameters
----                           ----                      ----------
Add-DistributionGroupMember    MyDistributionGroupsCu... {Confirm, ErrorAction, ErrorVariable, Identity...}
Get-AcceptedDomain             MyDistributionGroupsCu... {Identity}
Get-DistributionGroup          MyDistributionGroupsCu... {Anr, ErrorAction, ErrorVariable, Filter...}
Get-DistributionGroupMember    MyDistributionGroupsCu... {ErrorAction, ErrorVariable, Identity, IncludeSoftDeletedOb...
Get-EligibleDistributionGro... MyDistributionGroupsCu... {ErrorAction, ErrorVariable, Identity, ManagedBy...}
Get-Group                      MyDistributionGroupsCu... {Anr, ErrorAction, ErrorVariable, Filter...}
Get-Recipient                  MyDistributionGroupsCu... {Anr, AuthenticationType, BookmarkDisplayName, ErrorAction...}
Remove-DistributionGroup       MyDistributionGroupsCu... {Confirm, ErrorAction, ErrorVariable, Identity...}
Remove-DistributionGroupMember MyDistributionGroupsCu... {Confirm, ErrorAction, ErrorVariable, Identity...}
Set-DistributionGroup          MyDistributionGroupsCu... {AcceptMessagesOnlyFrom, AcceptMessagesOnlyFromDLMembers, A...
Set-DynamicDistributionGroup   MyDistributionGroupsCu... {ErrorAction, ErrorVariable, Identity, MailTip...}
Set-Group                      MyDistributionGroupsCu... {DisplayName, ErrorAction, ErrorVariable, Identity...}
Update-DistributionGroupMember MyDistributionGroupsCu... {Confirm, ErrorAction, ErrorVariable, Identity...}

New-DistributionGroupの役割エントリが一覧にないことを確認できた。

###カスタムの役割割り当てポリシーを作成

Custom Role Assignmment Policyというカスタムの役割割り当てポリシーを作成し、役割の割り当てを行う。
ここに、上で作成したMyDistributionGroupsCustomの役割に加え、MyDistributionGroupを除く、デフォルトのDefaul Role Assignment Policyと同じ役割を割り当てる。

PS C:\WINDOWS\system32> New-RoleAssignmentPolicy -Name "Custom Role Assignment Policy" -Roles "MyContactInformation", "MyProfileInformation", "MyDistributionGroupsCustom", "MyDistributionGroupMembership", "My Custom Apps", "My Marketplace Apps", "My ReadWriteMailbox Apps", "MyBaseOptions", "MyMailSubscriptions", "MyMailboxDelegation", "MyRetentionPolicies", "MyTeamMailboxes", "MyTextMessaging", "MyVoiceMail"

###作成した役割割り当てポリシーをユーザーメールボックスに割り当てる

ここではExchange管理センターから、ユーザーメールボックスに対して、上で作成した役割割り当てポリシー(Custom Role Assignment Policy)を割り当てる。

#ユーザーの操作を確認する

それぞれのポリシーをユーザーに割り当てた場合の、ユーザー操作について確認。メーリングリスト(配布グループ)の作成権限を削除した、Custom Role Assignment Policyを割り当てると、メーリングリスト作成ボタン「＋」が非表示になることが確認できた。(WebのOutlookで確認)