[Nota: Estas necessidades são demandas externas do cliente e podem / não serão alteradas. Por favor, tenha isso em mente ao responder]
Temos uma pequena equipe de administração do Windows de 2.5 homens sobrecarregados (2 veterinários, 1 júnior). Como um I.T. grupo de infra-estrutura, fomos solicitados a implementar o seguinte:
SEGURANÇA: Se uma pessoa tiver permissão para enviar para uma dist. grupo, então:
EM NENHUMA FORMA, FORMA OU FORMA, É "TREINAMENTO DE USUÁRIO" PERMITIDO. As pessoas que enviam para essas listas são extremamente não-tech-savvy, extremamente poderoso dentro da organização politicamente, e não vão mudar seus hábitos de forma alguma. Isso significa que não podemos sugerir que eles usem o campo "Bcc:". Isso também significa que não podemos sugerir "Não clique no botão '+' para expandir o grupo ou perder a segurança".
Lembrete - você não pode alterar os fatos acima.
Em uma escala de 1 a 10, com 1 sendo 'trivial' e 10 sendo 'uma impossibilidade factual', onde este projeto é avaliado? Nós temos um gerente que está quebrando o chicote, sem entender que os requisitos, como dito acima, são bastante conflitantes. Mesmo com uma quantidade razoável de tempo, não creio que isso possa ser feito sem inconvenientes e riscos substanciais para a infraestrutura geral do AD. (Permissões extremas de segurança para que os usuários não consigam cavar objetos.)
Eu não estou tão preocupado com a coragem e tecnologia. detalhes de como você implementaria tal coisa, mas sinta-se à vontade para compartilhá-los. Estou mais curioso quanto à viabilidade do que foi dito acima e quanto tempo levaria, se é viável.
Ao considerar sua resposta, tenha em mente os requisitos rigorosos. Nós confirmamos três vezes que eles não podem dobrar, nem mesmo uma palavra. Por exemplo, "Você poderia usar um cliente de email personalizado". Errado. O Outlook é o cliente obrigatório. "Você poderia apenas esconder os grupos". Errado. Alguém no AD ainda pode cavar e encontrá-los. Etc etc.
OBRIGADO !!! Eu sou um cara do Unix que está strongmente envolvido porque eu tenho um bom conhecimento com o Powershell e tenho cerca de 1.000 linhas de código para ajudar a construir e manter esses (milhares de) contatos e grupos.
EDIT: Eu sei que há muitas boas respostas sobre este tópico, mas por favor, mantenha seus pensamentos próximos. Eu preciso da maior munição possível para levar de volta ao negócio. Cinco pessoas dizendo que isso é quase impossível é ótimo. Dez pessoas dizendo que é ainda melhor. Obrigado a todos.
Aqui está minha sugestão. Embora não responda à sua pergunta, você tem uma orientação a seguir para:
Faça isso
Refutam, de forma não refutável, a sua viabilidade
Abra um caso de suporte com a equipe de suporte do Microsoft Exchange Server. Isso custará menos de US $ 300,00 e ajudará você a conseguir isso ou a provar ao PHB que isso não é possível.
10.
Digamos que sou um usuário autorizado. Eu envio um email para um grupo super-secreto, e copie alguém que não deveria saber sobre isso (ou a mensagem será encaminhada para eles); "segurança" derrotada. Este cenário é praticamente garantido quando não há treinamento permitido.
Uma ideia terrivelmente feia que eu descartaria seria escrever um agente de transporte personalizado para impor algumas das regras de confidencialidade malucas, já que as regras normais de transporte não são flexíveis o suficiente.
O Usuário Autorizado 1 tem uma conversa de corredor com o Usuário Autorizado 2 sobre o envio de um e-mail para o Grupo Super Secreto X. O Usuário Não Autorizado 3 ouve. Nome do grupo comprometido.
O tratamento de grupos de distribuição com o nível de sensibilidade dos segredos nucleares é basicamente destinado a falhas. Como discutimos em algumas de suas perguntas anteriores, existem alguns meios de esconder grupos do lado do Exchange com muita discussão, mas quando você está tentando impor a política completamente do lado técnico e não do lado humano tudo, não vai funcionar.
Na sua escala, atendendo às suas necessidades, eu daria 9.
Fora de quantidades significativas de código, plug-ins de Exchange / Outlook, etc. O Exchange / Outlook simplesmente não foi projetado para atender às suas necessidades. Existem muitas das suas necessidades que são teoricamente possíveis, mas o que quebra isso para mim é:
It must be 100.000% guaranteed they are NEVER, IN ANY CONCEIVABLE WAY
Fazer muitas dessas coisas seria, na melhor das hipóteses, "plataformas", então eu nunca estaria disposto a apoiar essa afirmação.
Parece basicamente impossível. Especificamente ...
It must be 100.000% guaranteed they are NEVER, IN ANY CONCEIVABLE WAY, able to dig and determine what individual members are in a group, even if they are an internal AD user.
e
They must easily be able to determine who is in the group
Não se alinhem muito bem. Como recomendado por @joequerty, eu usava MS no telefone (parece que você é provavelmente uma grande loja e provavelmente tem um contrato de suporte) e veja o que eles dizem sobre tudo isso. Eles podem ter alguns hacks super secretos que podem usar para fazer isso acontecer e que não são publicados para o mundo exterior.
Este é o e-mail de que estamos falando - no final, é inseguro por design. Obtenha um documento secreto / sistema de comunicações.
Por que a criptografia e o gerenciamento de direitos digitais do conteúdo da mensagem real não são parte do requisito? Isso não seria muito mais importante? ^^
tl; dr: Mate-o, mate-o com fogo.
Eu também daria 9,5. Outra idéia maluca (também em uma escala de 9,5 provavelmente) é implantar um servidor Exchange para cada grupo e fazer com que todos trabalhem juntos. Ou até mesmo um servidor Exchange para cada um dos usuários.
Dado um milhão de monke- .. err, desenvolvedores, isso pode ser feito.
Uma nota lateral. Você deve deixar claro para os negócios que isso pode ser viável a um custo extremo (milhares ou dezenas ou centenas de milhares de dólares, dependendo de quem está fazendo) tecnicamente . O aspecto social (cópia carbono, vazamentos no corredor) garante que alguns dos requisitos falhem.
Editar: além do aspecto social, você tem usuários externos que podem ter < strikethrough > spyware < / strikethrough > entre em contato com o aplicativo de gerenciamento que vazará os nomes dos grupos.