Bearbeiten von Verteilergruppen - Exchange 2010, Outlook 2010 auf 2008er Terminalserver

Hallo,

ich bin ganz frisch hier und habe gleich mal eine Frage an die Community.

Folgendes Szenario:
Es wurde seitens unserer Exchange-User (ca 50 Personen) angefragt, ob diese selbst im globalen Adressbuch Verteilergruppen erstellen und pflegen können.
Das Erstellen würden wir als Domainadmins selbst übernehmen (müssen), die Pflege würde ich aber gern dedizierten Usern überlassen wollen.
Wenn ich einen Domain-User als Verwalter der Verteilergruppe deklariere und eine entsprechende Policy in der rollenbasierten Zugriffssteuerung erstelle, kann dieser User (allerdings nur im OWA) die Verteilergruppen bearbeiten.

Den OWA wollen wir aber hierbei außer Acht lassen, die Arbeit mit Outlook/Exchange erfolgt fast ausschließlich in dem jeweiligen User-Account auf dem Terminalserver.

Ich habe heute herausgefunden, dass, wenn man Mitglied der Gruppe "Organization Management" in den AD-Microsoft Exchange Security Groups ist, eben diese Verwaltung der Verteilergruppen im Outlook - > Adressbuch tätigen kann, selbst wenn man kein Mitglied der Administratoren bzw. Domainadmins ist.

Meine Frage ist: Welche Auswirkung hat diese Gruppenmitgliedschaft für normale Domainbenutzer, wenn sie aufgrund ihrer diesbezüglichen Einschränkungen keinerlei Zugriffe auf z.B. alle relevanten Server und die Exchange-GUI haben, außer dem positiven Effekt, dass sie -wie gewünscht- Verteilergruppen bearbeiten können?

Bestehen dadurch potenzielle Sicherheitsrisiken für unsere Organisationsstruktur?


Danke schonmal im Voraus
Tilo