想限制子域的域管理员只能在子域范围内创建用户及邮箱，应该给他什么样的exchange 2010权限？1。企业环境是父子域，比如contoso.com与jp.contoso.com，2.在父域上搭建邮件服务器负责contoso.com域邮件；子域上也部署了邮件服务器负责子域邮件，并且有单独的MX记录。

回答：根据您对问题的描述，您想知道限制想限制子域的域管理员只能在子域范围内创建用户及邮箱，但不知道应该给他什么样的 Exchange 2010权限。在Exchange 2010 中，Mailbox database 是属于Organization level的，要控制子域管理员只能在子域范围内创建邮箱，我们只能从Mailbox database 着手，而不能通过赋予某台服务器的权限来实现。要实现这个目标，我们需要做到以下几点：

1. 该子域管理员应该有创建AD用户的权限，既然是子域管理员，这个权限应该已经赋予。您看到的文章来自活动目录seo http://gnaw0725.blog.51cto.com/156601/d-3

2. 该子域管理员只能对Exchange 2010 中的某个Mailbox database 进行操作，而不能在其他 Mailbox database 上操作。这个需要子域和父域的邮箱分别在不同的Mailbox database 中。这也是必需的条件。

满足以上条件后，我们可以这样设置子域管理员的权限：

1. 确保该子域域管理员不属于 Organization Management, server Management, Exchange Trusted Subsystem ， Enterprise Admins,  这些组。

2. 打开ADSIEdit, 展开到下图所示的位置，在只储存子域用户邮箱的那个Database的 安全选项卡中给予所有的权限。

这样，该子域管理员就有在这个 Database 中创建修改用户的权限，但不能对其他 Database 进行操作。另外，等到Exchange 2010 SP1 出来后，我们可以用cmdlet来实现对Database 的权限分配， 以下信息供您参考：

RBAC Database Scopes in Exchange Server 2010 SP1 Beta
http://www.mikepfeiffer.net/2010/06/rbac-database-scopes-in-exchange-server-2010-sp1-beta

Tommy Xu