Ngăn người dùng tạo nhóm mới trong Microsoft 365 (Nhóm/Outlook)

Theo mặc định, bất kỳ người dùng nào từ đối tượng thuê Azure của bạn đều có thể tạo nhóm Microsoft 365. Khi người dùng tạo một nhóm Microsoft 365 mới, các tài nguyên bổ sung sẽ tự động được tạo: nhóm Teams, hộp thư dùng chung và lịch trong Exchange Online, site và thư viện tài liệu trong SharePoint Online, nhóm Yammer, v.v.

Bài viết này đề cập đến các cách ngăn người dùng thông thường (không phải quản trị viên) tạo nhóm mới trong Microsoft 365 (Nhóm/Outlook và các nhóm khác). Điều đầu tiên bạn cần làm là hạn chế quyền tạo Nhóm hợp nhất trong AzureAD. Lưu ý rằng hiện tại không thể ngăn người dùng chỉ tạo các nhóm Nhóm. Việc cấm tạo nhóm mới sẽ áp dụng cho tất cả các dịch vụ Microsoft 365, bao gồm SharePoint, Exchange, OneNote, Yammer, Planner, PowerBI, v.v.

Trong ảnh chụp màn hình này, bạn có thể thấy rằng người dùng có thể tạo một nhóm (nhóm) mới hoặc tham gia một nhóm hiện có từ giao diện Nhóm.

Trong trường hợp này, chúng tôi sẽ ngăn người dùng thông thường tạo nhóm Microsoft 365 mới. Khi đã xong, chúng ta sẽ sử dụng

GroupCreationAllowedGroupId

tham số để chỉ cho phép quản trị viên tạo nhóm mới.

Cài đặt các mô-đun AzureADPreview và AzureAD PowerShell trên máy tính (phần

Set-AzureADDirectorySetting

cmdlet mà chúng tôi cần hiện chỉ khả dụng trong AzureADPreview).

Install-Module AzureAD
Install-module AzureADPreview -AllowClobber -Force

Có một mô-đun PowerShell riêng để quản lý Nhóm MS.

Kết nối với đối tượng thuê Azure của bạn:

AzureADPreview\Connect-AzureAD

Bây giờ, hãy tạo một nhóm quản trị viên Azure có thể tạo Nhóm hợp nhất:

New-AzureADGroup -MailNickName "TeamsAdmins" -DisplayName "TeamsAdmins" -MailEnabled $false -SecurityEnabled $true  -Description "Members can create new Unified Groups (including Teams)"

Và thêm tài khoản quản trị viên Teams vào nhóm:

$Group = "TeamsAdmins"
$User = "max@a-d.onmicrosoft.com"
$GroupObj = Get-AzureADGroup -SearchString $Group
$UserObj = Get-AzureADUser -ObjectId $User
Add-AzureADGroupMember -ObjectId $GroupObj.ObjectId -RefObjectId $UserObj.ObjectId

Hãy xem các quyền hiện tại để tạo nhóm Teams:

$settingsObjectID = (Get-AzureADDirectorySetting | Where-object -Property Displayname -Value "Group.Unified" -EQ).id
(Get-AzureADDirectorySetting -Id $settingsObjectID).Values

Đây,

EnableGroupCreation = true

Và

GroupCreationAllowedGroupID = not set

, có nghĩa là người dùng có thể tạo các nhóm Nhóm (Microsoft 365).

Nếu lệnh ghép ngắn Get-AzureADDirectorySetting trả về một mảng trống (

Get-AzureADDirectorySetting : Cannot bind argument to parameter 'Id' because it is null

), trước tiên bạn cần định cấu hình cài đặt như được mô tả trong hướng dẫn https://learn.microsoft.com/en-us/azure/active-directory/enterprise-users/groups-settings-cmdlets (Bước 1 đến 6):

$TemplateId = (Get-AzureADDirectorySettingTemplate | where { $_.DisplayName -eq "Group.Unified" }).Id
$Template = Get-AzureADDirectorySettingTemplate | where -Property Id -Value $TemplateId -EQ
$Setting = $Template.CreateDirectorySetting()
$Setting["EnableMIPLabels"] = "True"
New-AzureADDirectorySetting -DirectorySetting $Setting

Bây giờ, hãy cho phép tạo nhóm mới trong Microsoft 365 chỉ dành cho nhóm TeamsAdmins:

$Setting = Get-AzureADDirectorySetting -Id (Get-AzureADDirectorySetting | where -Property DisplayName -Value "Group.Unified" -EQ).id
$Setting["EnableGroupCreation"] = $False
$Setting["GroupCreationAllowedGroupId"] = (Get-AzureADGroup -SearchString "TeamsAdmins").objectid
Set-AzureADDirectorySetting -Id (Get-AzureADDirectorySetting | where -Property DisplayName -Value "Group.Unified" -EQ).id -DirectorySetting $Setting

Và kiểm tra xem quyền tạo nhóm đã được thay đổi chưa:

(Get-AzureADDirectorySetting).Values

Nếu bạn muốn đặt lại cấu hình về mặc định và cho phép tất cả người dùng tạo nhóm Microsoft 365, hãy chạy các lệnh sau:

$Setting = Get-AzureADDirectorySetting -Id (Get-AzureADDirectorySetting | where -Property DisplayName -Value "Group.Unified" -EQ).id
$Setting["EnableGroupCreation"] = $True
$Setting["GroupCreationAllowedGroupId"] = $null
Set-AzureADDirectorySetting -Id (Get-AzureADDirectorySetting | where -Property DisplayName -Value "Group.Unified" -EQ).id -DirectorySetting $Setting

Bây giờ, hãy chạy Teams với tư cách là người dùng bình thường (không phải quản trị viên) để kiểm tra xem tùy chọn tạo nhóm Teams mới không còn khả dụng nữa. Người dùng hiện chỉ có thể kết nối với các nhóm Nhóm hiện có.

Để cho phép người dùng tạo nhóm trong Microsoft 365 (bao gồm cả Nhóm), bạn cần thêm tài khoản người dùng vào nhóm TeamsAdmins.

Ngăn người dùng tạo nhóm mới trong Microsoft 365 (Nhóm/Outlook)

Bài viết liên quan