如何在Microsoft 365 Exchange管理中心创建仅能管理特定用户的管理员账户

针对你公司拆分后需要给收购方IT人员限定权限管理特定用户以完成CodeTwo邮件迁移的场景，完全可以通过Microsoft 365 Exchange管理中心的自定义角色组来实现最小权限的管控，具体操作步骤如下：

1. 先将目标用户归集到统一的安全组 #

首先要把所有要迁移到新公司的用户集中到一个安全组，后续基于这个组来精准限定管理范围：

• 登录Microsoft 365管理中心，进入「团队和组」>「活动组」
• 点击「新建组」，选择「安全」类型，设置组名称（比如To-Be-Migrated-Mailboxes），然后把所有目标用户添加到该组中
• 确认组创建完成，仔细核对成员列表，避免漏加或错加用户

2. 在Exchange管理中心创建自定义管理员角色组 #

这一步是核心，通过自定义角色组实现权限的精准管控：

• 登录Exchange管理中心（EAC），进入「权限」>「管理员角色」
• 点击「新建」按钮，为角色组命名（比如Limited Migration Admin），并补充描述（比如「仅用于管理待迁移用户邮箱，支持CodeTwo迁移操作」）
• 添加必要角色：遵循最小权限原则，根据CodeTwo迁移需求，至少添加以下核心角色：
  • Mailbox Import Export：支持邮箱导入导出操作，满足迁移核心需求
  • Recipient Management：允许管理收件人基础设置（如邮箱属性、权限配置等）
• 限定管理范围：确保该角色组仅能操作目标用户：
  1. 在「管理范围」下拉菜单中选择「自定义」
  2. 切换到「收件人范围」标签页，选择「指定组」
  3. 点击「浏览」，选择之前创建的To-Be-Migrated-Mailboxes安全组，确认添加
• 最后把收购方IT人员的Microsoft 365账户添加到该角色组的「成员」列表，点击「保存」完成创建

3. 验证权限有效性 #

完成设置后建议做权限测试，确保符合预期：

• 让收购方IT人员登录EAC，进入「收件人」>「邮箱」，确认仅能看到目标安全组内的用户
• 尝试访问非目标用户的邮箱设置，应提示权限不足
• 测试CodeTwo迁移工具的连接，确认可正常访问目标用户的邮箱数据

这样设置后，既满足了收购方的迁移操作需求，又能严格管控权限范围，保障你公司其他用户的数据安全。

备注：内容来源于stack exchange，提问作者abovecomputing