我们有一台 Exchange 服务器，上面有 50 个邮箱。
公司的高级主管（大约 5 个邮箱）希望他们的邮箱超级安全，因此不希望管理员能够控制他们的邮箱来查看任何电子邮件等。
有什么想法我们可以怎样做？
答案1
我不知道您是否可以锁定管理员。如果邮箱损坏，您将如何修复？
系统管理员之所以是系统管理员，部分原因是对高级系统管理员有一层隐含的信任。系统管理员可以读取服务器上的任何数据、阅读电子邮件、嗅探流量、重置密码……本质上他们是网络和服务器中的神。
如果您不信任系统管理员，则会出现问题。
这是人力资源和政策问题，而不是技术问题。您需要明确说明哪些行为可以容忍，哪些行为不能容忍。否则，他们需要知道，即使邮箱是安全的，系统管理员也可以使用数据包嗅探、屏幕截图等……如果您设法以某种方式锁定管理员，那么就很难检索邮件、诊断这些机器上的问题，并找出是否有其他人在这些工作站上安装了恶意软件并正在阅读这些消息！
答案2
正如已经说过的，这实际上是不可能的。
当然，我们可以做的是审核这些邮箱上的事件，并保护 Exchange 服务器上的事件日志。正如 Erik 指出的那样，如果系统管理员将备份磁带带回家并进行恢复，那么即使这样做也无济于事。
不过，如果董事们不信任系统管理员，那么企业要么需要不那么偏执的董事，要么需要更多值得信赖的系统管理员，这取决于董事们的担心是否有道理。
答案3
唯一可行的方法是不将电子邮件保存在 Exchange 中，这反过来又使它们免受任何电子邮件存档系统的约束。根据您所处的监管环境，这可能是一个非常糟糕的主意。
但最终还是要归结为信任问题。如果他们不能相信他们自己的最高级别管理员不会插手他们没有被邀请的领域（也许他们读了太多的 BOFH 故事），那么该管理员就不需要在那里工作。这就是所谓的职业道德，系统管理员最重要的道德之一就是不要出于好奇去寻找信息。这就是为什么我为这份工作和我上一份系统管理员工作做了严格的背景调查。
话虽如此，我也见过一些例子，顶级用户有专门的 IT 人员为他们服务。他们维护单独的电子邮件环境，并负责为高管处理桌面 IT。其余普通 IT 人员必须通过这个人来工作。如果这个人是个好人，愿意与公司其他人合作，那么这确实可以奏效。如果这个人让权力冲昏了头脑，开始我行我素，那就太邪恶了。
答案4
这是不可能的。微软对安全性的立场一直是，管理员可以访问一切，甚至是他们无法访问的东西（无论是通过更改权限还是取得对象的所有权）。
现在，Novell 等其他公司已经采取了不同的方法，管理员可以删除对象的访问权限，并且无法恢复。这种方法的最大缺点是，文件系统、目录存储或邮箱的某些部分很容易变得完全无法访问，并且无法追回。
因此，除非您的高管想要管理自己的 Exchange 服务器（和域），否则您必须遵守 Microsoft 的规定。