Exchange: сервисная учётная запись с правами имперсонализации

Чтобы одно подключение UnSpot обслуживало календари всех переговорных на вашем сервере Exchange, нужна сервисная учётная запись с правом имперсонализации: она обращается к календарю каждой комнаты от имени этой комнаты, и права не приходится выдавать на каждый календарь отдельно. Эта статья — про подготовку на стороне Exchange; настройка самого подключения описана отдельно.

Что понадобится

• Права администратора Exchange: создать почтовый ящик и выполнить команду в Exchange Management Shell.
• Версия сервера из поддерживаемых: Exchange 2010, 2010 SP1, 2010 SP2, 2013, 2013 SP1, 2016. Exchange 2019 в списке версий UnSpot отсутствует.
• Возможность настроить сеть в обе стороны — от UnSpot к серверу и от сервера к UnSpot (подробности в шаге 4).
• Права в UnSpot для второго этапа: подключение создаёт Владелец.

Шаг 1. Проверьте ресурсные календари переговорных

У каждой переговорной должен быть ресурсный почтовый ящик с адресом электронной почты — именно этот адрес вводится при подключении календаря к переговорной в UnSpot. Списка комнат в этом варианте нет: Exchange его не отдаёт, поэтому адреса ресурсов нужно знать заранее. Выпишите их сразу — это сэкономит время на втором этапе.

Шаг 2. Создайте сервисную учётную запись

Учётная запись создаётся стандартными средствами Exchange. В панели ECP откройте «Получатели» → «Почтовые ящики», нажмите «+ Почтовый ящик пользователя» и создайте пользователя — например, app_impersonation.

Что учесть при создании:

• Пароль без срока действия либо процедура его плановой замены. В день смены пароля синхронизация остановится, пока новое значение не будет вписано в подключение.
• Учётная запись не должна требовать смены пароля при первом входе — UnSpot интерактивно войти не сможет.
• Многофакторная аутентификация для неё должна быть отключена: обращения идут по EWS, подтвердить второй фактор некому.
• Отдельная учётная запись именно под интеграцию — так понятнее, чей доступ отзывать, и чьи действия видны в журналах Exchange.

Шаг 3. Выдайте роль имперсонализации

На сервере Exchange запустите Exchange Management Shell и выполните команду, подставив имя созданной учётной записи:

New-ManagementRoleAssignment `
  -Name "UnSpotAppImpersonation" `
  -Role "ApplicationImpersonation" `
  -User "app_impersonation"

New-ManagementRoleAssignment `
  -Name "UnSpotAppImpersonation" `
  -Role "ApplicationImpersonation" `
  -User "app_impersonation"

Роль ApplicationImpersonation разрешает учётной записи выполнять запросы EWS от имени других ящиков. Именно она избавляет от выдачи прав на каждый календарь переговорной по отдельности.

Применение роли может занять несколько минут. Если UnSpot при сохранении подключения сообщает о недостатке прав сразу после выполнения команды — подождите и повторите попытку.

Ограничение области действия роли

Выданная без ограничений роль позволяет учётной записи обращаться к любому ящику сервера. Если это неприемлемо, ограничьте её областью, в которую входят только ресурсные ящики переговорных:

# удалить прежнее назначение (если роль уже выдавалась без ограничения)
Remove-ManagementRoleAssignment `
  -Identity "UnSpotAppImpersonation" `
  -Confirm:$false

# область, ограниченная ресурсными ящиками переговорных
New-ManagementScope `
  -Name "UnSpotResourceMailboxes" `
  -RecipientRestrictionFilter {RecipientTypeDetails -eq "RoomMailbox"}

# назначение роли с областью
New-ManagementRoleAssignment `
  -Name "UnSpotAppImpersonation" `
  -Role ApplicationImpersonation `
  -User "app_impersonation" `
  -CustomRecipientWriteScope "UnSpotResourceMailboxes"

# удалить прежнее назначение (если роль уже выдавалась без ограничения)
Remove-ManagementRoleAssignment `
  -Identity "UnSpotAppImpersonation" `
  -Confirm:$false

# область, ограниченная ресурсными ящиками переговорных
New-ManagementScope `
  -Name "UnSpotResourceMailboxes" `
  -RecipientRestrictionFilter {RecipientTypeDetails -eq "RoomMailbox"}

# назначение роли с областью
New-ManagementRoleAssignment `
  -Name "UnSpotAppImpersonation" `
  -Role ApplicationImpersonation `
  -User "app_impersonation" `
  -CustomRecipientWriteScope "UnSpotResourceMailboxes"

Если область окажется слишком узкой и в неё не попадёт ящик какой-то переговорной, подключение сохранится, а подключение календаря этой комнаты завершится ошибкой недостатка прав.

Шаг 4. Проверьте доступность EWS и сеть

Синхронизации нужны обе стороны соединения, и вторую часто забывают.

Дополнительно проверьте:

• Метод аутентификации. По умолчанию UnSpot использует доменную аутентификацию (NTLM). Если на EWS оставлена только базовая, в форме подключения включается тумблер «Использовать базовую авторизацию (Basic Auth)».
• Сертификат. Если сертификат сервера самоподписанный, в форме включается «Не проверять SSL-сертификат». Соединение при этом остаётся по HTTPS, но подлинность сервера не проверяется — по возможности лучше выпустить сертификат, которому доверяет UnSpot.
• Скорость ответа. UnSpot ждёт установления соединения до 15 секунд и ответа до 60 секунд. Перегруженный сервер или медленный канал дают ошибки подключения, которые выглядят как проблема с правами.

Что должно быть на руках перед настройкой в UnSpot

Дальше откройте «Настройка» → «Интеграции» → «Синхронизации» и в разделе «Синхронизация календарей» нажмите «Подключить» на карточке Microsoft Exchange:

Все эти значения вводятся в открывшемся окне «Подключение Microsoft Exchange»:

Частые ошибки

Связанные статьи

• Синхронизация календарей с Microsoft: какой вариант выбрать
• Локальный Exchange: как устроена синхронизация календарей
• Подключение Microsoft Exchange через сервисный аккаунт
• Предоставление прав на управление ресурсным календарем в Exchange