Posso ter uma senha que funcione somente para o Exchange (não para o domínio)?

Question

Eu migrei recentemente um cliente para o Exchange 2010 do Postfix / Dovecot. De acordo com a configuração antiga, um usuário com um BlackBerry precisaria digitar seu nome de usuário / senha, que é "conhecido" para um terceiro (ou seja, BlackBerry). Eu sempre me sentia desconfortável com isso, mas pelo menos se a senha caísse em mãos erradas, eles só teriam acesso a uma única conta de e-mail e a outros recursos.

Agora, um usuário que tenha acesso ao nosso RDS Gateway também tem um BlackBerry, que exige o nome de usuário e a senha do seu domínio para passar pelas mãos de terceiros. Isso me deixa mais desconfortável do que antes.

Qual é o caminho mais fácil? Idealmente, gostaria que os usuários tivessem uma segunda senha que funcionasse apenas para o IMAP.

    

Answer 1

A maneira segura e "apropriada" de fazer isso é implantar um BES, mas isso é muito dinheiro para um único funcionário.

E, claro, há a correção não técnica - banir o Blackberry e transformá-lo em algo que suporte o ActiveSync. Novamente, isso pode ser difícil para o cliente.

Então você provavelmente terá que recorrer a algum hack feio. Há um que eu costumava usar nos dias do Exchange 2003, antes de conseguir banir o IMAP e o POP; não há garantias de que ainda funcione, mas o truque principal do qual depende depende do protocolo IMAP, então vale a pena tentar.

Primeiro, crie uma segunda conta de domínio para ela e conceda a ela permissões completas de acesso ao e-mail, mas nada mais. Em seguida, configure-o para usar um nome de login IMAP de domain / username / mailboxname, em que "username" é a credencial "falsa" e "mailbox name" é a "real".

por exemplo. se seu nome de usuário atual for CONTOSO/sjsmith e a nova conta restrita que você criou for CONTOSO/sjsbb , ela fará login no IMAP com o nome de usuário CONTOSO/sjsbb/sjsmith e a senha da conta sjsbb.

    

Answer 2

Seu RDS Gateway deve permitir apenas usuários / grupos específicos, não todos os usuários do domínio.
Se você seguiu instruções semelhantes a esta ( link , talvez tenha autorizado o Grupo de usuários do domínio Você deseja criar um novo grupo no AD para RDSusers, conceder acesso ao RDS somente a esse grupo e apenas colocar usuários que precisam de acesso nesse grupo.

Você pode bloquear ainda mais o usuário somente de email criando uma UO AD e especificando restrições de política de grupo.

Para melhor controle e funcionalidade do Blackberry, o Blackberry Express Server é gratuito e compatível com execução direta no servidor do Exchange 2010 em pequenas implantações. link