Поиск по сайту:

Запретить пользователям создавать новые группы в Microsoft 365 (Teams/Outlook)

По умолчанию любой пользователь вашего клиента Azure может создавать группы Microsoft 365. Когда пользователь создает новую группу Microsoft 365, автоматически создаются дополнительные ресурсы: группа Teams, общий почтовый ящик и календарь в Exchange Online, сайт и библиотека документов в SharePoint Online, группа Yammer и т. д.

В этой статье описаны способы запретить обычным пользователям (не администраторам) создавать новые группы в Microsoft 365 (Teams/Outlook и другие). Первое, что вам нужно сделать, — это ограничить разрешения на создание унифицированных групп в AzureAD. Обратите внимание, что в настоящее время невозможно запретить пользователям создавать только группы Teams. Запрет на создание новых групп будет распространяться на все службы Microsoft 365, включая SharePoint, Exchange, OneNote, Yammer, Planner, PowerBI и т. д.

На этом снимке экрана видно, что пользователь может создать новую группу (команду) или присоединиться к существующей группе из интерфейса Teams.

В этом случае мы запретим обычным пользователям создавать новые группы Microsoft 365. Как только это будет сделано, мы будем использовать

GroupCreationAllowedGroupId

параметр, позволяющий только администраторам создавать новые группы.

Установите на компьютер модули AzureADPreview и AzureAD PowerShell (файл

Set-AzureADDirectorySetting

нужный нам командлет в настоящее время доступен только в AzureADPreview).

Install-Module AzureAD
Install-module AzureADPreview -AllowClobber -Force

Для управления MS Teams существует отдельный модуль PowerShell.

Подключитесь к своему клиенту Azure:

AzureADPreview\Connect-AzureAD

Теперь давайте создадим группу администраторов Azure, которые смогут создавать унифицированные группы:

New-AzureADGroup -MailNickName "TeamsAdmins" -DisplayName "TeamsAdmins" -MailEnabled $false -SecurityEnabled $true  -Description "Members can create new Unified Groups (including Teams)"

И добавьте в группу учетные записи администратора Teams:

$Group = "TeamsAdmins"
$User = "max@active-directory.onmicrosoft.com"
$GroupObj = Get-AzureADGroup -SearchString $Group
$UserObj = Get-AzureADUser -ObjectId $User
Add-AzureADGroupMember -ObjectId $GroupObj.ObjectId -RefObjectId $UserObj.ObjectId

Давайте посмотрим текущие разрешения на создание групп Teams:

$settingsObjectID = (Get-AzureADDirectorySetting | Where-object -Property Displayname -Value "Group.Unified" -EQ).id
(Get-AzureADDirectorySetting -Id $settingsObjectID).Values

Здесь,

EnableGroupCreation = true

и

GroupCreationAllowedGroupID = not set

Это означает, что пользователи могут создавать группы Teams (Microsoft 365).

Если командлет Get-AzureADDirectorySetting возвращает пустой массив (

Get-AzureADDirectorySetting : Cannot bind argument to parameter 'Id' because it is null

), сначала необходимо настроить параметры, как описано в руководстве https://learn.microsoft.com/en-us/azure/active-directory/enterprise-users/groups-settings-cmdlets (шаги с 1 по 6):

$TemplateId = (Get-AzureADDirectorySettingTemplate | where { $_.DisplayName -eq "Group.Unified" }).Id
$Template = Get-AzureADDirectorySettingTemplate | where -Property Id -Value $TemplateId -EQ
$Setting = $Template.CreateDirectorySetting()
$Setting["EnableMIPLabels"] = "True"
New-AzureADDirectorySetting -DirectorySetting $Setting

Теперь разрешим создание новых групп в Microsoft 365 только для группы TeamsAdmins:

$Setting = Get-AzureADDirectorySetting -Id (Get-AzureADDirectorySetting | where -Property DisplayName -Value "Group.Unified" -EQ).id
$Setting["EnableGroupCreation"] = $False
$Setting["GroupCreationAllowedGroupId"] = (Get-AzureADGroup -SearchString "TeamsAdmins").objectid
Set-AzureADDirectorySetting -Id (Get-AzureADDirectorySetting | where -Property DisplayName -Value "Group.Unified" -EQ).id -DirectorySetting $Setting

И проверьте, что права на создание группы были изменены:

(Get-AzureADDirectorySetting).Values

Если вы хотите сбросить конфигурацию до значений по умолчанию и разрешить всем пользователям создавать группы Microsoft 365, выполните следующие команды:

$Setting = Get-AzureADDirectorySetting -Id (Get-AzureADDirectorySetting | where -Property DisplayName -Value "Group.Unified" -EQ).id
$Setting["EnableGroupCreation"] = $True
$Setting["GroupCreationAllowedGroupId"] = $null
Set-AzureADDirectorySetting -Id (Get-AzureADDirectorySetting | where -Property DisplayName -Value "Group.Unified" -EQ).id -DirectorySetting $Setting

Теперь запустите Teams от имени обычного пользователя (не администратора), чтобы убедиться, что возможность создания новой группы Teams больше не доступна. Теперь пользователь может подключаться только к существующим группам Teams.

Чтобы разрешить пользователю создавать группы в Microsoft 365 (включая Teams), вам необходимо добавить учетную запись пользователя в группу TeamsAdmins.

Статьи по данной тематике