创建本地Exchange用户并迁移至Office 365所需的最小权限咨询

针对你的需求，我整理了本地Exchange和Office 365两端所需的最小权限配置，尽量避免授予不必要的高权限，分环境说明如下：

本地Exchange服务器（创建用户阶段） #

要创建带Exchange邮箱的本地用户，需要兼顾AD和Exchange两层权限：

• Active Directory层面：给帮助台账号分配目标OU的精细权限，具体是「创建用户对象」和「写入用户属性」权限；或者直接将账号加入Account Operators组（这个组默认拥有创建/修改普通用户的权限，不过仅限非受保护的OU）。
• Exchange层面：将账号添加到内置的Recipient Management角色组。这个组的权限刚好覆盖收件人管理（包括启用邮箱、修改邮箱属性），完全不需要Exchange服务器管理员这类高权限。如果追求极致精细化，也可以自定义一个角色，仅授予Mail Recipients管理角色，但用内置组更省心。

Office 365环境（迁移阶段） #

迁移操作主要依赖Exchange Online的权限配置：

• 首先需要给账号分配Exchange Online的Recipient Management角色组，确保能管理云端的收件人对象（比如创建对应的云端用户条目）。
• 核心迁移权限需要Mailbox Import Export角色，这个角色允许发起邮箱迁移批次、管理迁移任务。注意这个角色默认不会分配给任何内置组，需要手动将帮助台账号添加到该角色，或者创建一个包含该角色的自定义角色组。
• 如果是通过Exchange Hybrid部署进行迁移，本地端不需要额外添加高权限（之前的Recipient Management权限已经足够），云端的权限配置同上即可。

额外注意事项 #

• 建议先创建一个测试账号，分配上述权限后模拟完整流程（创建本地用户→发起迁移），验证是否存在权限缺口。
• 全程不需要授予全局管理员权限，这些最小权限已经能覆盖所需操作，尽可能降低权限风险。
• 如果使用PowerShell执行操作，分配上述角色组后默认会获得对应的Exchange PowerShell访问权限，无需额外配置。

备注：内容来源于stack exchange，提问作者user245321