Exchange Online における一般ユーザーの配布グループ作成を制御する方法

Exchange Online の配布グループでは、グループ所有者へメンバー管理を委任する運用を行うことができます。

運用によっては、以下のような要件が発生することがあります。

特定の担当者のみが配布グループを作成できるようにしたい
配布グループのメンバー管理は各グループ所有者に委任したい
一般ユーザーによる配布グループ作成は制御したい

今回、上記要件を満たす方法を検討する中で、Exchange Online の MyDistributionGroups が配布グループの作成にどのような影響を与えるのかを調査しました。

本記事では、既定設定での動作、発生した事象、その原因および解決方法についてJBSの検証結果をもとに紹介します。

配布グループとは
ユーザーの役割とは
現在の挙動
実現したいこと
実現できない理由
解消方法
動作確認
補足：運用要件に応じた権限制御
まとめ

配布グループとは

配布グループは、複数の利用者へメールを一斉配信するための Exchange Online の機能です。

利用者が配布グループアドレス宛てにメールを送信することで、所属するメンバーへメールを配信できます。

また、配布グループには所有者を設定でき、所有者はメンバーの追加や削除などのグループ管理を実施できます。

今回紹介する内容は、配布グループの管理を一般ユーザーへ委任する運用を前提としています。

ユーザーの役割とは

Exchange Online では、「ユーザーの役割（Role Assignment Policy）」を利用して、一般ユーザーが利用可能な機能を制御できます。

ユーザーの役割には複数の権限が含まれており、一般ユーザーが実施可能な操作は割り当てられた役割によって決まります。

既定でユーザーへ割り当てられる Default Role Assignment Policy には、代表的なものとして以下の役割が含まれています。

役割	説明
MyDistributionGroups	個々のユーザーが配布グループを作成、変更、および表示することと、自らが所有する配布グループでメンバーを変更、表示、削除、および追加することができる
MyDistributionGroupMembership	個々のユーザーは組織内にある配布グループの自分のメンバーシップを表示および変更できる。ただし、それらの配布グループで、グループメンバーシップの操作が許可されていることが前提
MyBaseOptions	個々のユーザーは、自分のメールボックスの基本的な構成と関連する設定を表示し変更できる
MyMailboxDelegation	管理者はメールボックスのアクセス許可を委任できる

今回確認した MyDistributionGroups は、一般ユーザーによる配布グループの作成および管理に関する権限を提供する役割です。

そのため、配布グループの管理を一般ユーザーへ委任したい場合によく利用されますが、配布グループ作成に関する権限も含まれています。

今回は、この MyDistributionGroups の動作について確認しました。

現在の挙動

既定のMyDistributionGroupsを割り当てた場合、以下の動作となります。

一般ユーザーは「所有しているグループ > 新しいグループの追加」から新規配布グループを作成できる
一般ユーザーは自身が所有する配布グループのメンバー管理を実施できる

表にまとめると以下の通りです。

操作	管理者	一般ユーザー
配布グループの作成	〇	〇
所有しているグループの管理（メンバー追加・削除等）	〇	〇

実現したいこと

今回実現したい運用は以下の通りです。

配布グループの作成は管理者のみが実施する
所有する配布グループの管理は一般ユーザーも実施できる

表にまとめると以下のようになります。

操作	管理者	一般ユーザー
配布グループの作成	〇	×
所有する配布グループの管理（メンバー改廃等）	〇	〇

つまり、既定のMyDistributionGroupsでは一般ユーザーへの配布グループ作成権限も付与されてしまうので、今回の要件を満たせない事になります。

実現できない理由

当初は、MyDistributionGroups を有効化することで、一般ユーザーが既存の配布グループのメンバー管理のみを実施できると考えていました。

しかし調査したところ、MyDistributionGroups には既存グループの管理機能だけでなく、配布グループの新規作成機能も含まれていることが分かりました。

MyDistributionGroups を有効化すると、配布グループに対して以下の操作が可能になります。

操作

配布グループ作成

配布グループ削除

メンバー追加

メンバー削除

グループ設定変更

つまり、一般ユーザーによる配布グループ管理機能だけでなく、配布グループ作成機能もあわせて付与される構成となっています。

そのため、以下のような状態になります。

MyDistributionGroups を有効化すると配布グループ作成も可能になる
MyDistributionGroups を無効化すると配布グループ所有者による管理もできなくなる

解消方法

MyDistributionGroups をベースとしたカスタムロールを作成し、配布グループ作成権限のみを除外することで実現可能です。

カスタムロール作成前の確認

1. Exchange Online管理センターにアクセスし「役割>ユーザーの役割」の順にクリックする

2. 「Default Role Assignment Policy」をクリックし、「アクセス許可の管理」をクリックする

3. 配布グループの項目に「MyDistributionGroups」のみが存在することを確認する

カスタムロールの作成

Exchange管理センターでは、標準で用意されている管理ロールの割り当ては実施できますが、ロールから特定の権限だけを削除したカスタムロールを作成することはできません。

そのため今回は、PowerShellを利用して MyDistributionGroups をベースとしたカスタムロールを作成します。

1. PowerShellを管理者で起動し、ExchangeOnlineに接続する

Connect-ExchangeOnline

2. MyDistributionGroupsをコピーしたカスタムロールを作成する

今回は、MyDistributionGroups をコピーした NewMyDistributionGroups というカスタムロールを作成します。

New-ManagementRole -Parent "MyDistributionGroups" -Name <新しい役割名>

3. 配布グループ作成権限を削除する

作成したカスタムロールから、配布グループ作成権限である New-DistributionGroup を削除します。

Remove-ManagementRoleEntry -Identity "NewMyDistributionGroups\New-DistributionGroup" -confirm:$false

カスタムロールの付与

1. 管理者アカウントにて Exchange 管理センターにアクセスする

2. 左側メニューから [役割]>[ユーザーの役割]>[Default Role Assignment Policy] をクリックする

3. [配布グループ:] 下の [MyDistributionGroups] にて、先ほど作成したカスタムロール [NewMyDistributionGroups] にチェックを入れる

※ [MyDistributionGroups] にはチェックを入れないようにする

4. [保存] をクリックする

動作確認

カスタムロールを適用した一般ユーザーでサインインし、既存の配布グループ管理は可能なまま、新規の配布グループ作成が制限されることを確認します。

1. 一般ユーザーでOWAにログインする

2. 「設定>全般>配布グループ」の順にクリックし、「このポータル」をクリックする

3. 「所有しているグループ」タブをクリックする

4. 「新しいグループの追加」をクリックする

5. 設定を進めていき、「グループ作成」をクリックする

6. エラーが表示され、グループの作成ができないことを確認する

補足：運用要件に応じた権限制御

今回の要件では、一般ユーザーによる配布グループ作成を制御しつつ、既存の配布グループ管理機能は維持したいという要件がありました。

そのため、MyDistributionGroups をベースとしたカスタムロールを作成し、New-DistributionGroup 権限を削除する対応を実施しました。

一方で、MyDistributionGroups に含まれる権限は個別に管理することも可能です。

運用要件によっては、今回とは異なる権限を制御することで、より柔軟な権限設計を行えます。

要件	対象となる権限
配布グループ作成を制御したい	New-DistributionGroup
配布グループ削除を制御したい	Remove-DistributionGroup
グループ設定変更を制御したい	Set-DistributionGroup
メンバー追加を制御したい	Add-DistributionGroupMember
メンバー削除を制御したい	Remove-DistributionGroupMember