使现有的 Exchange 2003 环境对用户“只读”

Question

由于政治细节，我不会涉及当前的电子邮件迁移项目，从四个不同的遗留邮件系统到一个新的托管环境，在那里没有用户数据被迁移，用户被积极阻止从旧环境向新环境发送邮件，出现如下请求。

一旦新系统投入生产，我们希望方便用户访问旧环境。这将允许包含在电子邮件中的信息的连续性（例如，在新系统上的第一天，用户可以发送新消息作为对旧系统中可见消息的回复）。我们希望以只读方式执行此操作，以确保不会因用户在旧环境中的操作而发生更改。（旧环境的这种“​​锁定”与法律部门的电子发现问题有关。）

对于此问题，感兴趣的旧环境是 Exchange 2003 环境，可以访问 Outlook 和 OWA。如今，用户拥有适用于旧环境的 Outlook 2003 配置文件。

我们已经想到了一些黑客的答案——比如编写脚本来更改每个用户邮件文件夹的权限以防止更改——但不要认为这个问题有一个“好的”答案。具体来说，我们担心更改自己的信息（例如删除电子邮件）和组织内部电子邮件（例如，Exchange 组织中的用户向组织中的另一个用户发送电子邮件，尽管被告知不要这样做）。

目前环境大约为 15 TB，因此讨论了将所有内容导出到 PST 并让用户访问这些内容的想法，但由于不可行而被放弃。

有没有我们没有想到的“好”方法来做到这一点？我知道基本的潜在问题类似于问：“我们如何阻止这个邮件系统进行任何邮件通信？” 我并不是说这是一个合理的要求。我只是在做尽职调查，看看是否有可能以一种理智的方式。

谢谢！

ps 只是为了防止出现关于此的问题，我们不希望 100% 防止用户信息转发，因为它发生的方式太多了 - 我们只是尽可能地防止并声明他们不能的政策用其他方式做。不是我的决定——只是听从命令。提议的迁移计划不是此时此刻的讨论点 - 它只是找出其中的一部分是否完全合理可行。

pps 遗留系统也包括 Notes，所以我将再次以 Notes 作为来源提出同样的问题。把这两个问题合二为一，感觉不太对。

编辑：只是 100%，防止发送/接收是其中的一部分，但保持现有数据的完整性也是如此，例如防止删除现有项目。

第二次编辑：关于“你不能，让他们做任何事，只是告诉他们不要”的想法，我想知道我们是否可以将垃圾箱窗口放到他们可以访问遗产的窗口，然后知道一切都在某处存在，即使他们这样做然后删除它。来自法律方面的部分阻力是他们不想搜索大量备份。（不，旧系统中没有存档，是的，新系统有存档，是的，这意味着其中一些想法是愚蠢的，但正如我所说，我被迫提出问题。我我只是想确保这里没有人说“哦，这是一个简单的方法 - 等等等等”，并且技术实施团队不会被烧毁。尽职调查和有点 CYA。）

编辑 3：好的，所以我刚和我的老板谈过，提出了一个有趣的想法。如果我们按照下面其中一个答案中的讨论进行操作并获取预快照，然后阻止所有邮件流，则我们不关心删除，因为快照中包含所有有价值的内容。由于邮件流中断，无法“添加”可发现的内容。所以也许这已经足够接近了。如果我们禁用 MTA 服务，是否会停止数据库内邮件流？这是一个合理的攻击计划，可以在仍然允许数据访问的同时进入“已知良好”的发现状态吗？

Answer 1

没有“理智”的方法来完成您正在寻找的事情。您将需要更改所有邮箱的权限，以防止用户删除/修改项目等。

我认为，从电子数据展示的角度来看，您最终会得到一个更便宜、更值得信赖的解决方案，只需备份当前系统并在某些虚拟机上“在玻璃下”恢复它。您可以使虚拟机保持离线状态，除非出现发现请求。如果出现这种情况，您可以在任何必要的硬件上启动它们，以便以合理的速度促进发现。我会将邮箱数据库分成几个较小的“块”（例如，每个块几个 TB），这样您就可以将电子数据展示环境的一部分联机，而无需调出所有 15TB。

这样您就可以使用当前的旧版 Exchange 环境，用户可以在其中“疯狂”。您不必对其进行任何更改以防止用户进行修改。

如果您不需要旧环境中任何邮箱服务器之间的任何邮件流，您只需停止计算机上的 SMTP 服务即可。这将阻止邮件流。

编辑：

您在编辑中提到了垃圾箱，所以我将对此进行讨论（现在我的心态正确：您对遗留数据的保留和发现问题）。用户可以清空垃圾箱，因此将垃圾箱间隔设置为较长的​​时间间隔并没有帮助。（我已经让客户站点的许多用户弄清楚如何显示任意文件夹的垃圾箱，然后从垃圾箱中删除项目 - 然后请求从备份中恢复它们。好技巧，伙计们......）他们还可以修改项目并重新保存它们，而垃圾箱也对此无济于事。

您可以在每个邮箱存储上配置一个日记收件人，以便在“旧版共存”期间发送到组织内部的任何新邮件都会被记录下来。这仍然无助于用户修改邮箱中已有的项目。

编辑2（回复@MikeBaz编辑3）：

遗憾的是，停止 MTA 服务并不会停止信息存储中的电子邮件传送。更好的想法是阻止所有收件人接收来自任何其他有效收件人的电子邮件。您可以通过将authOrig每个收件人的属性设置为永远不会向他们发送电子邮件的某个对象（例如具有虚构电子邮件地址的“联系人”对象）的 DN 来实现此目的。这将阻止每个收件人接收来自任何其他收件人的电子邮件（除了这个伪造的“联系人”对象）。

在执行此操作和阻止任何出站 SMTP 流入或流出旧组织（通过停止 SMTP 虚拟服务器或对其进行防火墙）之间，您最终将得到一个完全隔离的旧组织。