Gedeelde mailboxen: wie mag lezen en wie mag namens het team mailen?

Een recht toevoegen is meestal snel gedaan. Belangrijker is dat je ook weet hoe je het later weer intrekt.

1. 1Open het Exchange-beheercentrum en ga naar Recipients > Mailboxes.
2. 2Kies de gedeelde mailbox en dan Manage mailbox delegation.
3. 3Kies Edit bij Read and manage (Full Access) of bij Send as, voeg de gebruikers toe en sla op.
4. 4Send on Behalf staat hier niet. Dat geef je met PowerShell.

Connect-ExchangeOnline

# Full Access, met automapping (standaard)
Add-MailboxPermission -Identity "planning@bedrijf.nl" -User "jan.jansen@bedrijf.nl" -AccessRights FullAccess -InheritanceType All

# Send As
Add-RecipientPermission -Identity "planning@bedrijf.nl" -Trustee "jan.jansen@bedrijf.nl" -AccessRights SendAs -Confirm:$false

# Send on Behalf, zonder bestaande namen te overschrijven
Set-Mailbox -Identity "planning@bedrijf.nl" -GrantSendOnBehalfTo @{ Add = "jan.jansen@bedrijf.nl" }

Remove-MailboxPermission -Identity "planning@bedrijf.nl" -User "jan.jansen@bedrijf.nl" -AccessRights FullAccess -InheritanceType All -Confirm:$false
Remove-RecipientPermission -Identity "planning@bedrijf.nl" -Trustee "jan.jansen@bedrijf.nl" -AccessRights SendAs -Confirm:$false
Set-Mailbox -Identity "planning@bedrijf.nl" -GrantSendOnBehalfTo @{ Remove = "jan.jansen@bedrijf.nl" }

Kan iemand na het toekennen niet verzenden en krijgt hij "You do not have the permission to send the message on behalf of the specified user", wacht dan. Volgens Microsoft is dat een replicatievertraging die na ongeveer een uur verdwijnt.

Een medewerker heeft de juiste rechten, maar ziet de mailbox niet. Dat hoeft geen fout in de toestemming te zijn.

Geef je een gebruiker Full Access, dan zet Outlook de gedeelde mailbox vanzelf in zijn profiel. Dat heet automapping en het staat standaard aan. Outlook gebruikt daarvoor Autodiscover, en Autodiscover kijkt alleen naar gebruikers die zelf Full Access hebben. Leden van een groep met Full Access ziet het niet. Geef je Full Access via een groep, dan hebben de leden wel toegang, maar moeten ze de mailbox zelf toevoegen in Outlook, of ze openen hem in Outlook op het web.

Wil je automapping juist uitzetten, bijvoorbeeld voor iemand met toegang tot twintig mailboxen die Outlook traag maken, dan kan dat alleen bij het toekennen. Voor iemand die al Full Access heeft, haal je het recht eerst weg en geef je het opnieuw:

Remove-MailboxPermission -Identity "planning@bedrijf.nl" -User "jan.jansen@bedrijf.nl" -AccessRights FullAccess -InheritanceType All -Confirm:$false

Add-MailboxPermission -Identity "planning@bedrijf.nl" -User "jan.jansen@bedrijf.nl" -AccessRights FullAccess -InheritanceType All -AutoMapping $false

Als meerdere collega’s dezelfde mailbox gebruiken, is het logisch om rechten via een groep te beheren. Daar zit wel een praktische beperking aan.

Rechten per persoon toekennen is overzichtelijk tot je tien mailboxen en vijftig collega's hebt. Een groep scheelt werk: je wijzigt één lidmaatschap in plaats van drie rechten op elke mailbox. Daarvoor gebruik je een mail-enabled securitygroep. Een gewone securitygroep kun je in de lijst wel kiezen, maar volgens Microsoft werkt het recht dan niet.

$groep = "MB-Planning"

Add-MailboxPermission -Identity "planning@bedrijf.nl" -User $groep -AccessRights FullAccess -InheritanceType All
Add-RecipientPermission -Identity "planning@bedrijf.nl" -Trustee $groep -AccessRights SendAs -Confirm:$false
Set-Mailbox -Identity "planning@bedrijf.nl" -GrantSendOnBehalfTo @{ Add = $groep }

Dat laatste is de echte beperking. Een dynamische groep op afdeling of functie, zoals in dynamische groepen op basis van HR-attributen, kun je in Entra ID maken van een gewone securitygroep of een Microsoft 365-groep. Een mail-enabled securitygroep beheer je in Exchange of het Microsoft 365-beheercentrum, met de hand. Hoe de groepstypen verder verschillen, lees je in het verschil tussen security groups en Microsoft 365 groups.

Juist bij gedeelde mailboxen groeit de lijst met mensen die ooit toegang kregen ongemerkt mee.

Die vraag komt bij elke audit, en het antwoord staat op drie plekken: Full Access en Send As zijn permissies met hun eigen cmdlet, Send on Behalf is een eigenschap van de mailbox. Dit script zet het per gedeelde mailbox op een rij, zonder de systeemregels (NT AUTHORITY\SELF) en overgeërfde rechten.

Connect-ExchangeOnline

Get-Mailbox -RecipientTypeDetails SharedMailbox -ResultSize Unlimited | ForEach-Object {
  $mb = $_.PrimarySmtpAddress

  Get-MailboxPermission -Identity $mb |
    Where-Object { -not $_.IsInherited -and $_.User -notlike "NT AUTHORITY\*" } |
    ForEach-Object { [pscustomobject]@{ Mailbox = $mb; Wie = $_.User; Recht = "FullAccess" } }

  Get-RecipientPermission -Identity $mb -AccessRights SendAs |
    Where-Object { $_.Trustee -notlike "NT AUTHORITY\*" } |
    ForEach-Object { [pscustomobject]@{ Mailbox = $mb; Wie = $_.Trustee; Recht = "SendAs" } }

  $_.GrantSendOnBehalfTo |
    ForEach-Object { [pscustomobject]@{ Mailbox = $mb; Wie = $_; Recht = "SendOnBehalf" } }
} | Export-Csv ".\gedeelde-mailboxen.csv" -NoTypeInformation -Encoding UTF8

Staat er een groep tussen, dan zie je de groepsnaam en niet de mensen; die vraag je op met Get-DistributionGroupMember. Leg het resultaat naast je personeelslijst. Wat je meestal vindt: oud-medewerkers die nog op een mailbox staan omdat hun account alleen werd uitgeschakeld, mensen die van team wisselden en de mailbox van hun oude team nog hebben, en groepen waarvan niemand de leden kent.

• Geen licentie nodig tot 50 GB. Wie de mailbox opent, heeft wel zelf een Exchange Online-licentie nodig.
• Blokkeer het aanmelden op het account van de gedeelde mailbox, en houd het geblokkeerd. Microsoft bedoelt de mailbox niet voor direct aanmelden.
• Maximaal 25 gebruikers. Werken er meer mensen tegelijk in, dan kunnen ze verbindingsfouten of dubbele berichten zien. Voor een grotere groep raadt Microsoft een Microsoft 365-groep aan.
• Alleen interne gebruikers. Externen kun je geen toegang geven.
• Verwijderen kun je niet tegenhouden. Iedereen met Full Access kan berichten weggooien.
• Versleutelen vanuit de gedeelde mailbox kan niet, omdat de mailbox geen eigen aanmeldgegevens heeft.
• Overplaatsing. Bij een nieuwe functie komt de mailbox van het nieuwe team er meestal wel bij. Een recht op de oude mailbox verdwijnt niet vanzelf.

Gaat de mailbox van een vertrekkende medewerker over in een gedeelde mailbox, dan gelden er nog een paar extra voorwaarden. Die staan in licentie intrekken bij uitdienst.