一、先把几个对象分开#

因此口语里的“组邮箱”很模糊：需要先确认对方说的是通讯组地址，还是共享邮箱。本文讨论的 authOrig 场景主要是前者。

二、authOrig 是什么#

authOrig 是 Exchange 使用的收件限制相关 AD 属性，对应 Exchange 的 AcceptMessagesOnlyFrom：这个收件对象允许哪些具体发件人给它发信。它可以出现在通讯组或邮箱等收件对象上；Exchange 在处理邮件时读取相关设置并决定是否接受，而不是由 AD 本身投递邮件。

这里有个容易漏掉的关键区别：

因此，“允许 B 组成员给 B 通讯组发邮件”不等于只往 authOrig 填 B 组 DN。组成员许可对应 dLMemSubmitPerms；应该通过 Exchange 的“传递管理 / Delivery management”或 Exchange PowerShell 配置，而不是直接猜 AD 属性该填什么。

“在 AD 属性编辑器中没有注册的编辑器能处理此类型”也不等于你没有权限，或者此功能只能在图形界面设置。AD 属性编辑器不适合作为管理这些 Exchange 收件限制的主要入口；用 Exchange 管理工具更容易看到真实的配置语义、做校验并避免覆盖已有允许列表。

如果只是想从 AD 侧只读核对，可以查询原始属性；返回值通常是对象 DN，未设置时可能为空：

1
Get-ADGroup -Identity 'Org-B' -Properties authOrig,dLMemSubmitPerms |
2
    Select-Object Name,authOrig,dLMemSubmitPerms

这里使用的是 AD 模块，适合辅助观察；真正修改、验证“谁能发给该组”时，仍以 Exchange 管理工具展示的收件限制为准。

另一个常见设置是 RequireSenderAuthenticationEnabled：只接受组织内经过身份验证的发件人。它与“只允许指定的 B 组成员发送”不是同一个条件；勾了“仅组织内”并不等于已经隔离 B、C 两个部门。

三、把“B 组内互发”拆成两件事#

假设 B 和 C 各有一个通讯组地址，成员的个人邮箱分别是 B1、B2、C1；管理者 A1 可能需要发送通知。

第一件事：谁能发给 B 的通讯组地址？

• B 通讯组的允许发件人可以包含 B 组成员；如果管理者要给 B 组群发，再额外允许 A1。
• C 通讯组同理，可以允许 C 组成员，按需额外允许 A1。
• 这限制的是发送到 B组@...、C组@... 这些组地址的邮件。

第二件事：B1 的个人邮箱可以给谁发？

• B1 → B2 是发给 B2 的个人邮箱，不会因为 B 通讯组设置了收件白名单就自动受限。
• B1 → C1 也是发给 C1 的个人邮箱；如果只限制两个通讯组的收件人，B1 仍可能直接发给 C1。
• 要让“B1、B2 只能给 B 成员发邮件”成为完整政策，还得在 **Exchange 邮件流规则（Transport Rule）**层面约束发件人和收件人，或者按业务需求配置每个个人邮箱的收件限制。后一种是“每个邮箱分别管谁能给它发”，维护成本通常更高，不是统一的发件人策略。

四、如何通过 Exchange 管理，而不是直接改 AD 属性#

查看一个通讯组当前允许谁发信（在 Exchange 管理 Shell 中）：

1
# 只读查询；Org-B 是示意名称
2
Get-DistributionGroup -Identity 'Org-B' |
3
    Format-List Name,PrimarySmtpAddress,RequireSenderAuthenticationEnabled,AcceptMessagesOnlyFrom,AcceptMessagesOnlyFromDLMembers,AcceptMessagesOnlyFromSendersOrMembers

如果确实要让 B 组成员向 B 的组地址发信，以下是示意性配置；执行前必须先核对真实对象、已有白名单和变更审批：

1
# 示例：将 Org-B 的组成员加入 Org-B 组地址的允许发件人
2
Set-DistributionGroup -Identity 'Org-B' -AcceptMessagesOnlyFromDLMembers @{Add='Org-B'}
3

4
# 示例：如需额外允许管理者 A1 给 Org-B 的组地址发信
5
Set-DistributionGroup -Identity 'Org-B' -AcceptMessagesOnlyFrom @{Add='A1'}

上述示例也可以在 Exchange 管理中心的组“传递管理”中配置。@{Add=...} 用于追加；如果直接给属性赋完整的新列表，可能覆盖原有允许项。本文没有执行这些修改。

1
$group = Get-ADGroup -Identity 'Org-B' -Properties authOrig,dLMemSubmitPerms
2
$sender = Get-ADUser -Identity 'A1'
3

4
$group | Select-Object Name,DistinguishedName,authOrig,dLMemSubmitPerms
5
$sender | Select-Object Name,DistinguishedName

1
$senderDn = $sender.DistinguishedName
2

3
# 预演：不会写入 AD
4
Set-ADGroup -Identity $group.DistinguishedName -Add @{authOrig=$senderDn} -WhatIf
5

6
# 真正追加一个具体发件人；本文没有执行
7
Set-ADGroup -Identity $group.DistinguishedName -Add @{authOrig=$senderDn}
8

9
# 重新读取验证；Set-ADGroup 成功时通常没有输出
10
Get-ADGroup -Identity $group.DistinguishedName -Properties authOrig |
11
    Select-Object Name,authOrig

1
Set-ADGroup -Identity $group.DistinguishedName -Remove @{authOrig=$senderDn} -WhatIf
2

3
# 审核后才执行；本文没有执行
4
Set-ADGroup -Identity $group.DistinguishedName -Remove @{authOrig=$senderDn}

五、与另外几个概念的边界#

这篇笔记最需要记住的一句话是：收件对象上的白名单，只约束“谁能发给它”；要限制某个人“只能发给谁”，必须另设针对邮件流的策略。