防止 Exchange 通讯组的用户“单击扩展”？

Question

我是一名 Unix 人员，最近使用 powershell 帮助我的 Exchange 管理员同事在 Exchange 2010 中实施一个具有挑战性的项目。（我们得到的要求即使不是不可能满足也是具有挑战性的。）

我会尽量保持简单。这是我的第一个问题。

我们被要求必须限制某些 DL，以便只有某些内部 AD 用户可以发送到 DL。此外，这些 DL 必须在通讯簿中保持可见。将 'HiddenFromAddressBookEnabled' 属性设置为 $true 是不可接受的。领导表示，“唯一应该被允许看到谁在组中的人是可以发送到组中的人。此外，唯一应该能够看到通讯录中的DL条目的人是人谁被允许发送到DL。” 我不认为这是可行的，因为：

• 我可以通过调用地址簿中的（可见）条目，将其放入收件人：字段，然后单击 Outlook 中的“+”将其扩展到个人，然后绕过组安全性来绕过发件人安全限制. （我已经证实了这一点。）
• 我认为不可能有选择地只对某些用户隐藏地址簿条目，而不能对其他用户隐藏。

所以这里是我的问题：

• 我的理解似乎大部分正确吗？如果没有，请随时提供更正
• 有没有办法只对特定的一组用户隐藏地址簿中的 DL？
• 有没有办法阻止用户单击 Outlook 中的“+”号来绕过限制谁可以发送到组的安全限制？从技术上讲，您不再发送到一个组 - 只是该组中的一组确切的个人。

请 - 鼓励任何额外的启发或评论。我认为我们必须回到业务中并告诉他们他们的要求无法实现。（我还有另外两个讨厌的要求，我将开始单独提问。）

谢谢大家！

Answer 1

你的理解已经死了。您可能会根据用户的访问级别维护许多不同的默认地址列表（如果他们获得授权，只允许他们在他们的列表中拥有给定的组），但这非常难看，几乎不可能维护。

摆脱可扩展性的一种方法是使用动态通讯组 - 它们基于传输过程中的查询进行扩展，因此无法在 Outlook 中扩展。

这可以防止访问好奇的人，而不是确定的/知识渊博的人 - 请记住，如果没有一些令人讨厌的权限更改，任何具有查看它们所需的工具和知识的域用户都可以读取许多有问题的用户和组属性。