На днях потребовалась запретить доступ к почте через OWA администраторам домена,
делается это через консоль:

Set-CASMailbox sysadmin@domain.local -OWAEnabled $false