Exchange 2016: Verhindern das Benutzer ihr AD Konto verändern

Die folgende E-Mail hat mich erreicht und wer so nett fragt, dem bin ich auch eine Antwort schuldig:

Lieber Frank, ich hab folgendes Problem: User in unserer Exchange-Orga, sollen Ihren Adressbucheintrag nicht selbst anpassen können. Also die Bearbeitung von „Optionen – Allgemein – Mein Konto“, wo sie z.B. Adresse, Telefonnummer, etc. ändern könnten. Ich habe ganz dunkel in Erinnerung, dass man das über Policies unterbinden konnte, aber finde die Bohne keine Infos mehr dazu. :( Es wäre gaaaanz ganz ganz dolle lieb, wenn Du mir einen Tipp geben könntest

Gemeint ist folgendes: Benutzer können via OWA einige persönliche Einstellungen verändern, zum Beispiel Adresse, Telefon und Mobilfunknummer:

In manchen Umgebungen kann das Verändern der Daten durch den Benutzer allerdings Probleme verursachen. Etwa wenn die Adresse für automatische E-Mail Signaturen verwendet wird und der Benutzer anstatt seiner Firmenadresse, die private Adresse einträgt. Die Daten die ein Benutzer hier einträgt werden in das Active Directory Benutzerobjekt geschrieben, dies könnte daher auch andere Anwendungen verwirren, die auf das Active Directory zugreifen:

Das Ändern der eigenen Daten durch den Benutzer lässt sich allerdings einfach verhindern, dazu muss nur die “Default Role Assignment Policy” entsprechend geändert werden:

Innherhalb der “Default Role Assignment Policy” kann nun die Option “MyContactInformation” und deren Unterpunkte deaktiviert werden:

Die “” wirkt gilt für alle Benutzer. Wenn nun versucht wird, die eigenen Daten zu ändern, erscheint beim Speichern die Meldung, dass der Benutzer nicht berechtigt ist seine Daten zu ändern:

Wenn man schonmal dabei ist, kann auch das Hochladen oder Ändern des eines eigenen Fotos deaktiviert werden:

Damit Anwender nicht irgendwelche lustigen Fotos hochladen und diese in verschiedenen anderen Systemen ebenfalls angezeigt werden, kann auch diese Funktion abgeschaltet werden. Dazu kann der folgende Befehl verwendet werden:

Hier muss allerdings beachtet werden, dass die OwaMailboxPolicy auch den Postfächern zugewiesen wird. In der Standardeinstellung ist den Postfächern keine Policy zugewiesen:

Die folgende Befehl kann verwendet werden, um die OwaMailboxPolicy an ein einzelnen Postfach zu binden:

Mit dem folgenden Befehl lässt sich die Policy an alle Postfächer binden:

Bei neuen Postfächern muss also bedacht werden, dass auch die OwaMailboxPolicy zugewiesen wird.

Nachdem die Policy zugewiesen wurde, funktioniert die Schaltfläche zum Ändern des Fotos nicht mehr: