Durchsetzen einer Benennungsrichtlinie für Microsoft 365-Gruppen in Microsoft Entra ID

Artikel
08/23/2024

Wenn Sie einheitliche Namenskonventionen für Microsoft 365-Gruppen erzwingen möchten, die von Ihren Benutzer*innen erstellt oder bearbeitet werden, richten Sie eine Gruppenbenennungsrichtlinie für Ihre Organisationen in Microsoft Entra ID ein, das Teil von Microsoft Entra ist. Beispielsweise können Sie mithilfe der Benennungsrichtlinie die Funktion einer Gruppe, die Mitgliedschaft, die geografische Region oder den Ersteller der Gruppe kommunizieren. Sie können mit der Benennungsrichtlinie auch die Kategorisierung von Gruppen im Adressbuch unterstützen. Es ist auch möglich, die Richtlinie zu verwenden, um bestimmte Wörter in Gruppennamen und Aliasen zu verhindern.

Wichtig

Zur Verwendung der Microsoft Entra ID-Benennungsrichtlinie für Microsoft 365-Gruppen müssen Sie für jede*n einzelne*n Benutzer*in, die*der Mitglied einer oder mehrerer Ihrer Microsoft 365-Gruppen ist, über eine Microsoft Entra P1-Lizenz oder eine Microsoft Entra Basic EDU-Lizenz verfügen. Sie müssen diese Lizenzen aber nicht unbedingt zuweisen.

Die Benennungsrichtlinie wird bei der Erstellung oder Bearbeitung von Gruppen aller Workloads (z. B. Outlook, Microsoft Teams, SharePoint, Exchange oder Planner) angewendet (auch dann, wenn keine Änderungen bei der Bearbeitung vorgenommen wurden). Sie wird sowohl auf Gruppennamen als auch auf Gruppenaliase angewandt. Wenn Sie Ihre Benennungsrichtlinie in Microsoft Entra ID einrichten und bereits über eine Benennungsrichtlinie für Exchange-Gruppen verfügen, wird die Microsoft Entra ID-Benennungsrichtlinie für Ihr gesamtes Unternehmen erzwungen.

Nachdem die Benennungsrichtlinie für Gruppen konfiguriert wurde, wird sie auf neue Microsoft 365-Gruppen angewendet, die von Endbenutzern erstellt wurden. Eine Benennungsrichtlinie gilt nicht für bestimmte Verzeichnisrollen, z. B. globaler Administrator oder Benutzeradministrator. (Die vollständige Liste der rollen, die von einer Gruppenbenennungsrichtlinie ausgenommen sind, finden Sie im Abschnitt "Rollen und Berechtigungen".) Bei vorhandenen Microsoft 365-Gruppen wird die Richtlinie zum Zeitpunkt der Konfiguration nicht sofort angewendet. Nachdem der Gruppenbesitzer den Gruppennamen für diese Gruppen bearbeitet hat, wird die Benennungsrichtlinie erzwungen (auch dann, wenn keine Änderungen vorgenommen wurden).

Features für Benennungsrichtlinien

Sie können Benennungsrichtlinien für Gruppen auf zwei unterschiedliche Arten erzwingen:

Benennungsrichtlinie: für Präfixe: Sie können Präfixe oder Suffixe definieren, die dann automatisch hinzugefügt werden, um eine Benennungskonvention für Ihre Gruppen zu erzwingen. Beispiel: Im Gruppennamen GRP_JAPAN_My Group_Engineeringlautet GRP_JAPAN_ das Präfix und das Suffix _Engineering.
Benutzerdefinierte blockierte Wörter: Sie können eine Reihe von blockierten Wörtern festlegen, die in Ihrer Organisation bei Gruppen, die von Benutzern erstellt werden, nicht verwendet werden dürfen (z. B. CEO, Gehalt, Personal). Hierzu können Sie beispielsweise folgenden Befehl einsetzen Payroll,CEO,HR.

Präfix-Suffix-Benennungsrichtlinie

Die allgemeine Struktur der Namenskonvention lautet Prefix[GroupName]Suffix. Sie können zwar mehrere Präfixe und Suffixe definieren, es darf jedoch nur eine Instanz von [GroupName] in der Einstellung geben. Die Präfixe und Suffixe können feste Zeichenfolgen oder Benutzerattribute wie z.B. [Department] sein, die basierend auf dem Benutzer, der die Gruppe erstellt, ersetzt werden. Die zulässige Gesamtanzahl von Zeichen für die Präfix- und Suffixzeichenfolgen beträgt inklusive Gruppenname 63 Zeichen.

Präfixe und Suffixe können alle Sonderzeichen enthalten, die bei Gruppennamen und Gruppenaliasen unterstützt werden. Alle Zeichen im Präfix oder Suffix, die beim Gruppenalias nicht unterstützt werden, werden zwar weiterhin auf den Gruppennamen angewandt, aber aus dem Gruppenalias entfernt. Aufgrund dieser Einschränkung können sich die Präfixe und Suffixe, die auf den Gruppennamen angewendet werden, von den auf den Gruppenalias angewendeten unterscheiden.

Feste Zeichenfolgen

Sie können Zeichenfolgen verwenden, damit Gruppen in der globalen Adressliste und in den Navigationslinks auf der linken Seite der Gruppenworkloads einfacher überprüft und unterschieden werden können. Einige der üblichen Präfixe sind Schlüsselwörter wie Grp_Name, #Name, und _Name.

Benutzerattribute

Anhand von Attributen können Sie und Ihre Benutzer einfacher erkennen, für welche Abteilung, welches Büro oder welche geografische Region die Gruppe erstellt wurde. Wenn Sie beispielsweise Ihre Benennungsrichtlinie als PrefixSuffixNamingRequirement = "GRP [GroupName] [Department]" und User's department = Engineering, dann kann "GRP My Group Engineering." ein erzwungener Gruppenname unterstützte Microsoft Entra-Attribute sind \[Department\], , \[Company\], , \[Office\], \[StateOrProvince\], \[CountryOrRegion\]und \[Title\]. Nicht unterstützte Benutzerattribute werden wie feste Zeichenfolgen behandelt Zeichenketten. z. B. "\[postalCode\]". Erweiterungsattribute und benutzerdefinierte Attribute werden nicht unterstützt.

Es wird empfohlen, Attribute zu verwenden, die Werte für alle Benutzer in Ihrer Organisation enthalten, aber keine langen Werte aufweisen.

Benutzerdefinierte blockierte Wörter

Eine Liste der blockierten Wörter ist eine durch Trennzeichen getrennte Liste von Ausdrücken, die in Gruppennamen und Aliasen nicht verwendet werden dürfen. Es wird keine Suche nach Teilzeichenfolgen durchgeführt. Eine genaue Übereinstimmung zwischen dem Gruppennamen und mindestens einem der benutzerdefinierten blockierten Wörter löst einen Fehler aus. Da keine Suche nach Teilzeichenfolgen durchgeführt wird, können Benutzer häufig auftretende Wörter wie "Klasse" auch dann verwenden, wenn "Lasse" ein blockiertes Wort ist.

Regeln für die Liste blockierter Wörter:

Bei blockierten Wörtern wird die Groß-/Kleinschreibung nicht berücksichtigt.
Wenn ein Benutzer ein blockiertes Wort als Teil eines Gruppennamens eingibt, wird diesem eine Fehlermeldung mit dem blockierten Wort angezeigt.
Es gibt keine Zeichenbegrenzung für blockierte Wörter.
Es gibt eine Obergrenze von 5.000 Ausdrücken, die in der Liste der blockierten Wörter konfiguriert werden können.

Rollen und Berechtigungen

Zum Konfigurieren der Benennungsrichtlinie ist eine der folgenden Rollen erforderlich:

Globaler Administrator
Gruppenadministrator
Verzeichnis schreiben

Einige Administratorrollen können von diesen Richtlinien für alle Gruppenworkloads und Endpunkte ausgenommen werden, sodass sie Gruppen mit blockierten Wörtern und ihren eigenen Namenskonventionen erstellen können. Die folgenden Administratorrollen sind von der Benennungsrichtlinie für Gruppen ausgenommen:

Globaler Administrator
Benutzeradministrator

Konfigurieren einer Benennungsrichtlinie

Melden Sie sich beim Microsoft Entra Admin Center mindestens als Gruppenadministrator an.
Wählen Sie Microsoft Entra ID aus.
Wählen Sie Alle Gruppen>Gruppen aus, und wählen Sie dann Benennungsrichtlinie aus, um die Seite Benennungsrichtlinie zu öffnen.

Anzeigen und Bearbeiten von Präfix-/Suffixbenennungsrichtlinien

Wählen Sie auf der Seite Benennungsrichtlinie die Option Benennungsrichtlinie für Gruppen aus.
Sie können die aktuellen Präfix- oder Suffixbenennungsrichtlinien einzeln anzeigen oder bearbeiten, indem Sie die Attribute oder Zeichenfolgen auswählen, die Sie als Teil der Benennungsrichtlinie erzwingen möchten.
Um ein Präfix oder Suffix aus der Liste zu entfernen, wählen Sie das Präfix oder Suffix aus, und wählen Sie dann Löschen aus. Es können mehrere Elemente gleichzeitig gelöscht werden.
Speichern Sie Ihre Änderungen für die neue Richtlinie, damit diese wirksam werden, indem Sie auf Speichern klicken.

Bearbeiten benutzerdefinierter blockierter Wörter

Wählen Sie auf der Seite Benennungsrichtlinie die Option Blockierte Wörter aus.
Wählen Sie Herunterladen aus, um die aktuelle Liste der benutzerdefinierten blockierten Wörter anzuzeigen oder zu bearbeiten. Neue Einträge müssen den vorhandenen Einträgen hinzugefügt werden.
Laden Sie die neue Liste der benutzerdefinierten blockierten Wörter durch Auswählen des Dateisymbols hoch.
Speichern Sie Ihre Änderungen für die neue Richtlinie, damit diese wirksam werden, indem Sie auf Speichern klicken.

Installieren von PowerShell-Cmdlets

Installieren Sie die Microsoft Graph-Cmdlets wie unter Installieren des Microsoft Graph PowerShell SDK beschrieben.

Hinweis

Azure AD- und MSOnline PowerShell-Module sind ab dem 30. März 2024 veraltet. Weitere Informationen finden Sie im Update zur Unterstützungseinstellung. Nach diesem Datum wird die Unterstützung für diese Module auf die Migrationsunterstützung für das Microsoft Graph PowerShell-SDK und Sicherheitskorrekturen beschränkt. Die veralteten Module funktionieren weiterhin bis zum 30. März 2025.

Es wird empfohlen, für die Interaktion mit Microsoft Entra ID (früher Azure AD) zu Microsoft Graph PowerShell zu migrieren. Informationen zu allgemeinen Migrationsfragen finden Sie in den häufig gestellten Fragen zur Migration. Hinweis: Bei der Version 1.0.x von MSOnline können nach dem 30. Juni 2024 Unterbrechungen auftreten.

Führen Sie die Windows PowerShell-App als Administrator aus.

Installieren Sie die Microsoft Graph-Cmdlets.

Install-Module Microsoft.Graph -Scope AllUsers

Installieren Sie die Microsoft Graph Beta-Cmdlets.

Install-Module Microsoft.Graph.Beta -Scope AllUsers

Konfigurieren von Benennungsrichtlinien in PowerShell

Öffnen Sie ein Windows PowerShell-Fenster auf Ihrem Computer. Sie können es ohne erhöhte Rechte öffnen.
Führen Sie den folgenden Befehl aus, um die Ausführung der Cmdlets vorzubereiten.
```
Connect-MgGraph -Scopes "Directory.ReadWrite.All"
```
Geben Sie auf dem angezeigten Bildschirm Bei Ihrem Konto anmelden Ihr Administratorkonto und das zugehörige Kennwort ein, um eine Verbindung mit Ihrem Dienst herzustellen.
Um Gruppeneinstellungen für diese Organisation zu erstellen, führen Sie die Schritte in Microsoft Entra-Cmdlets zum Konfigurieren von Gruppeneinstellungen aus.

Anzeigen der aktuellen Einstellungen

Rufen Sie die aktuelle Benennungsrichtlinie ab, um die derzeitigen Einstellungen anzuzeigen.

$Setting = Get-MgBetaDirectorySetting -DirectorySettingId (Get-MgBetaDirectorySetting | where -Property DisplayName -Value "Group.Unified" -EQ).id

Zeigen Sie die aktuellen Gruppeneinstellungen an.
```
$Setting.Values
```

Festlegen von Benennungsrichtlinie und benutzerdefinierten blockierten Wörtern

Rufen Sie die Einstellung ab.

$Setting = Get-MgBetaDirectorySetting -DirectorySettingId (Get-MgBetaDirectorySetting | where -Property DisplayName -Value "Group.Unified" -EQ).id

Legen Sie die Präfixe und Suffixe für Gruppennamen fest. Für die ordnungsgemäße Funktion des Features muss, [GroupName] in der Einstellung enthalten sein. Legen Sie außerdem die benutzerdefinierten blockierten Wörter fest, deren Verwendung Sie einschränken möchten.
```
$params = @{
   values = @(
      @{
         name = "PrefixSuffixNamingRequirement"
         value = "GRP_[GroupName]_[Department]"
      }
      @{
         name = "CustomBlockedWordsList"
         value = "Payroll,CEO,HR"
      }
   )
}
```
Aktualisieren Sie die Einstellungen wie im folgenden Beispiel gezeigt, damit die neue Richtlinie angewendet wird.
```
Update-MgBetaDirectorySetting -DirectorySettingId $Setting.Id -BodyParameter $params
```

Das ist alles. Sie haben Ihre Benennungsrichtlinie festgelegt und eigene blockierte Wörter hinzugefügt.

Exportieren oder Importieren benutzerdefinierter blockierter Wörter

Weitere Informationen finden Sie Microsoft Entra-Cmdlets zum Konfigurieren von Gruppeneinstellungen.

Dies ist ein PowerShell-Beispielskript zum Exportieren mehrerer blockierter Wörter.

$Words = (Get-MgBetaDirectorySetting).Values | where -Property Name -Value CustomBlockedWordsList -EQ 
Add-Content "c:\work\currentblockedwordslist.txt" -Value $Words.value.Split(",").Replace("`"","")

Dies ist ein PowerShell-Beispielskript zum Importieren mehrerer blockierter Wörter.

$BadWords = Get-Content "C:\work\currentblockedwordslist.txt"
$BadWords = [string]::join(",", $BadWords)
$Setting = Get-MgBetaDirectorySetting | where {$_.DisplayName -eq "Group.Unified"}
if ($Setting.Count -eq 0) {
   $Template = Get-MgBetaDirectorySettingTemplate | where {$_.DisplayName -eq "Group.Unified"}
   $Params = @{ templateId = $Template.Id }
   $Setting = New-MgBetaDirectorySetting -BodyParameter $Params 
   }
$params = @{
   values = @(
      @{
         name = "PrefixSuffixNamingRequirement"
         value = "GRP_[GroupName]_[Department]"
      }
      @{
         name = "CustomBlockedWordsList"
         value = "$BadWords"
      }
   )
}
Update-MgBetaDirectorySetting -DirectorySettingId $Setting.Id -BodyParameter $params

Entfernen der Benennungsrichtlinie

Sie können das Azure-Portal oder Microsoft Graph PowerShell verwenden, um eine Benennungsrichtlinie zu entfernen.

Entfernen der Benennungsrichtlinie im Azure-Portal

Wählen Sie auf der Seite Benennungsrichtlinie die Option Richtlinie löschen aus.
Nach dem Bestätigen des Löschvorgangs wird die Benennungsrichtlinie einschließlich aller Präfix-/Suffixbenennungsrichtlinien und benutzerdefinierten blockierten Wörter entfernt.

Entfernen der Benennungsrichtlinie mithilfe von Microsoft Graph PowerShell