Для делегирования полномочий вам достаточно включить юзера в одну из этих групп.

• Delegated Setup – Члены этой группы получают возможность запускать программу установки Exchange 2010, и, следовательно, развертывать, но не устанавливать новый сервер Exchange 2010. Развертывание можно осуществлять только на тех серверах, которые уже получили разрешения от администратора с дополнительными полномочиями.

• Discovery Management – Участник группы Discovery Management имеет возможность выполнять поиски по всем почтовым ящикам в организации Exchange, а также включать функцию Legal Hold в Exchange 2010. 

• Help Desk – Члены группы Help Desk получают полномочия, обычно нужные для службы техподдержки, например, модификация данных о пользователях, такие как: адрес и номер телефона.

• Hygiene Management – Эта группа используется для обеспечения полномочиями, связанными с управлением и настройкой антивирусного и антиспамового элементов в Exchange 2010.

• Organization Management – Группа аналогична административной роли Exchange Full Administrator в Exchange 2003 и роли Exchange Organization Administrator в Exchange 2007. По сути, членство в этой группе дает пользователю право почти любую задачу в Exchange 2010 за исключением некоторых, основной среди которых является возможность осуществлять поиск по почтовым ящикам; которую можно получить через группу Discovery Management.

• Public Folder Management – Эта группа дает возможность своим членам управлять средой общих папок.

• Recipient Management – Участник этой группы может создавать и модифицировать получателей Exchange.

• Records Management – Группа дает возможность своим членам контролировать и настраивать функции соответствия в Exchange 2010. Примеры подобных функций включают транспортные правила, настроенные на сервере Hub Transport, а также классификации сообщений в Outlook.

• Server Management – Эта группа предоставляет возможность управлять всеми серверами Exchange в организации. Полномочия, получаемые участниками этой группы работают, таким образом, на уровне конфигурации сервера, находящейся в консоли Exchange Management Console, и не работают, скажем, на организационном уровне, находящемся в консоли Exchange Management Console.

• UM Management – Согласно своему наименованию, данная группа дает возможность управлять всеми аспектами среды Unified Messaging.

• View-Only Organization Management – группа позволяет своим членам просматривать конфигурацию любого элемента в организации Exchange.

​

У этих групп есть недостатки:

1. Полномочия, даваемые в рамках этих групп, выдаются на всю организацию целиком. К примеру, если у вас 10 серверов и вы включает юзера в Recipient Management, то он может создавать ящики на каждом сервере.

2. Полномочия в группах достаточно шаблонны, т.е. если вы хотите что-то своё, то реализовать у вас ничего не получится. 

​

Вывод. Если у вас одна организация Exchange и немного серверов, то вам вполне подойдёт стандартный вариант с использованием перечисленных групп. Если у вас сложная структура и вы хотите вручную заниматься полномочиями, то поможет вам в этом RBAC (Role Based Access Control, Управление доступом на основе ролей). 

​

RBAC (Role Based Access Control, Управление доступом на основе ролей). 

Для начала нужно определиться и ответить на следующие вопросы.

Какой функционал мы будем передавать? Делегирование полномочий в Exchange 2010 осуществляется через передачу полномочий на выполнение конкретных командлетов, т.к. все действия выполняют командлеты. Используется для этого одна из Management Role (управляющая роль). Management Role - это группировка командлетов вместе. Наберите get-ManagementRole и посмотрите на список. Каждая из этих Management ролей является