Exchange Shell - Vollständige Entfernung von ActiveSync-Geräten - 22.03.2014
von Thomas Windscheif / Microlinc
Exchange 2010
remove Exchange ActiveSync Device from user- AND global-context
Entfernen von ActiveSync-Geräten (aus dem Benutzerkontext & globalen Kontext)
getestet unter MS Exchange 2010 SP2 RU 6 & MS Exchange 2010 SP3 UR5
Wenn man die EAS Quarantäne verwendet um alle Geräte vom Administrator genehmigen zu lassen, gibt es bei einer bestimmten Situation ein Problem.
Mittels Exchange Control Panel kann man zwar ein Gerät Entfernen, wenn es aber einmal zugelassen wurde, wird es bei erneuter Verbindung wieder mit den entsprechenden Rechten wie zuvor ausgestattet und es erfolgt keine erneute Nachfrage beim Administrator.
Der Grund hierfür ist, dass Exchange in der Mailbox des Benutzers abfragt, ob das Gerät unter "ActiveSyncAllowedDeviceIDs" oder "ActiveSyncBlockedDeviceIDs" eingetragen ist.
Nur wenn das Gerät in keinem der beiden Felder eingetragen ist (und es noch nicht einen Gerätestatus über ActiveSyncDevice erhalten hat), wird die Quarantäne ausgelöst.
Grundsätzlich macht dieses Verhalten ja auch Sinn. Wenn z. B. eine EAS-Partnerschaft nicht mehr ordnungsgemäß funktioniert, kann der Benutzer das Geräte via OWA Entfernen und das Gerät kann dann ohne zusätzliche Bestätigung vom Administrator erneut eine Partnerschaft initiieren.
Was ist aber, wenn man einem Mitarbeiter explizit den Zugriff verweigern will? Wenn man z. B. ein BYOD eines Mitarbeiters welches gerootet wurde nicht mehr mittels Active-Sync synchronisieren lassen möchte oder ein Mitarbeiter das Gerät verloren hat bzw. der Mitarbeiter nicht mehr länger angestellt ist?
Man natürlich via ECP als Exchange-Administrator über die Benutzerkonfiguration das Gerät blockieren.
Aber nicht mehr vorhandene Geräte oder ungewollte Gerätepartnerschaften sollten der besseren Verwaltbarkeit halber gelöscht werden. Sonst sammeln Sie Geräteleichen, die bei späteren Prüfungen nicht mehr zugeordnet werden können.
Dieses Skript ermöglicht das vollständige Löschen einer Active-Sync-Partnerschaft aus Exchange.
Es fragt die ActiveSync-Partnerschaften eines Benutzers ab und listet diese mit Modellbezeichnung, Gerätestatus, Rufnummernendung auf. Sie können dann wählen ob alle Partnerschaften gelöscht werden sollen, oder nur eine bestimmte.
Das Skript verwendet die folgenden Exchange-CMDlets:
- Get-ActiveSyncDevice
- Set-CASMailbox
- Remove-ActiveSyncDevice
Zum Download
Zur Funktion des Skripts
- Es fragt zuerst den Benutzernamen ab.
- Dann listet es alle Gerätepartnerschaften des Benutzers auf
- DeviceAccesState beinhaltet den Parterschaftsstatus des Gerätes (Allowed, Blocked, Quarantined)
- Geben Sie die entsprechende Nummer die am Anfang der jweiligen Zeile steht an, um eine bestimmte Gerätepartnerschaft zu entfernen
- Oder wenn alle Gerätepartnerschaften entfernt werden sollen das Zeichen "a".
- Anschließend entfernt das Skript die GeräteID aus den Feldern "ActiveSyncAllowedDeviceIDs" & "ActiveSyncBlockedDeviceIDs" und aus dem globalen Kontext.
- Anschließend kann das Gerät nicht mehr mit Exchange synchronieren, die bis dahin synchronisierten Daten sind aber auf dem Gerät noch vorhanden. Bei einer Synchronisationsversuch wird das Gerät versuchen eine neue Partnerschaft zu erstellen. In dem hier verwendeten Beispielgerät mit Windows Mobile 6.1 war es aber nötig die Partnerschaft auf dem Gerät zu löschen und eine neue zu erstellen. Erst dann wurde das Gerät wieder ordnungsgemäß dem Administrator gemeldet.
Die gelbe Warnmeldung ist zu ignorieren.
Anwendung des Skripts
- Laden Sie das Skript als ZIP-Archiv herunter (siehe Ende des Textes)
- Vor der Extraktion klicken Sie mit der rechten Maustaste auf das ZIP-Archiv und wählen "Eigenschaften".
- Klicken Sie dann auf den Button "Zulassen".
INFO: Hierdurch wird die Internetzonen-Beschränkung aufgehoben und Sie werden beim Ausführen der Datei nicht nochmal auf das evtl. Gefährdungspotenzial von ausführbaren Dateien hingewiesen
- Extrahieren (!) Sie die beiden Dateien nun in einen beliebigen Ordner
- Öffnen Sie die Batchdatei "rem_AD_l.cmd" auf dem Exchange-Server (Sie müssen als Administrator angemeldet sein (Exchange Administrator)), alternativ können Sie das Skript auch direkt aus der Exchange Management Shell aufrufen
(Navigieren Sie hierzu via cd in den entsprechenden Ordner und geben Sie dann ".\rem_AD_l.ps1" ein.) - Die Batchdatei prüft wo die Exchange-Installation liegt (C:, D:), öffnet dann die Powershell mit Exchange-Modul und startet dann das eigentliche Skript
- Befolgen Sie die Bildschirmanweisungen
- Anpassung für Verwendung mit MSX2010 SP3
- FriendlyName in die Auflistung aufgenommen
Das Skript habe ich auf meinem Exchange-Server (2010 SP3 UR5) ausgiebig getestet und konnte keine Fehler feststellen. Sollten Sie Fehler feststellen oder Wünsche haben schreiben Sie mir bitte einen Kommentar. Sollten Sie das Skript erfolgreich (oder auch nicht erfolgreich) auf einer neueren Exchange-Umgebung getestet haben, würde ich mich über Feedback via Commentbox freuen.
Änderungen
v1.1 (2014-06-07):
aktuelle Downloads
| Download |
| -> rem_AD_l_v1.1.zip (Version 1.1) ~ 1,39 KB |
| rem_AD_l.zip (Version 1.0) ~ 1,35 KB |