Принудительное применение политики именования в группах Microsoft 365 в идентификаторе Microsoft Entra

Статья
01/23/2024

Чтобы применить согласованные соглашения об именовании для групп Microsoft 365, созданных или редактируемых пользователями, настройте политику именования групп для организаций в идентификаторе Microsoft Entra. Например, можно использовать политику именования для обмена данными о функции группы, членства, географического региона или человека, создавшего группу. Можно также использовать политику именования, чтобы классифицировать группы в адресной книге. Политику можно использовать для запрещения конкретных слов в именах и псевдонимах групп.

Внимание

Использование политики именования идентификаторов Microsoft Entra для групп Microsoft 365 требует наличия, но не обязательно назначьте лицензию Microsoft Entra ID P1 или лицензию Microsoft Entra Basic EDU для каждого уникального пользователя, являющегося членом одной или нескольких групп Microsoft 365.

Политика именования применяется к созданию или редактированию групп, созданных в рабочих нагрузках, например Outlook, Microsoft Teams, SharePoint, Exchange или Планировщику, даже если изменения не вносятся. Он применяется как к имени группы, так и к псевдониму группы. Если вы настроили политику именования в идентификаторе Microsoft Entra ID и имеете существующую политику именования групп Exchange, политика именования идентификаторов Microsoft Entra применяется в вашей организации.

При настройке политики именования групп политика применяется к новым группам Microsoft 365, созданным пользователями. Политика именования не применяется к определенным ролям каталога, таким как глобальный Администратор istrator или user Администратор istrator. (Полный список ролей, исключенных из политики именования групп, см. в разделе "Роли и разрешения". Для существующих групп Microsoft 365 политика не применяется сразу во время настройки. После изменения имени группы для этих групп применяется политика именования, даже если изменения не внесены.

Возможности политики именования

Политику именования для групп можно применять двумя разными способами:

Политика именования префикса-суффикса: вы можете определить префиксы или суффиксы, которые затем добавляются автоматически для применения соглашения об именовании в группах. Например, в имени GRP_JAPAN_My Group_Engineeringгруппы префикс равен GRP_JAPAN_ суффиксу _Engineering.
Пользовательские заблокированные слова: вы можете отправить набор заблокированных слов, относящихся к вашей организации, для блокировки в группах, созданных пользователями. Например, можно использовать Payroll,CEO,HR.

Политика добавления префикса или суффикса

Общая структура соглашения об именовании .Prefix[GroupName]Suffix Хотя можно определить несколько префиксов и суффиксов, в параметре может быть только один экземпляр [GroupName] . Префиксы или суффиксы могут быть либо фиксированными строками, либо атрибутами пользователя, например [Department], заменяющимися на основе пользователя, создающего группу. Общее допустимое число символов для строк префикса и суффикса, включая имя группы, равно 63 символам.

Префиксы и суффиксы могут содержать специальные символы, поддерживаемые в имени группы и псевдониме группы. Все символы префикса или суффикса, которые не поддерживаются в псевдониме группы, по-прежнему применяются в имени группы, но удалены из псевдонима группы. Из-за этого ограничения префиксы и суффиксы, применяемые к имени группы, могут отличаться от тех, которые применяются к ее псевдониму.

Фиксированные строки

Строки можно использовать, чтобы упростить проверку и различать группы в глобальном списке адресов, а также в левой области навигации, содержащей ссылки на рабочие нагрузки групп. Некоторые распространенные префиксы являются ключевое слово, например Grp_Name, #Nameи _Name.

Атрибуты пользователя

Вы можете использовать атрибуты, которые помогут вам и пользователям определить отдел, офис или географический регион, для которого была создана группа. Например, если вы определяете политику именования как PrefixSuffixNamingRequirement = "GRP [GroupName] [Department]" и, то принудительное имя группы может быть "GRP My Group Engineering." поддерживаемым атрибутами \[Department\]Microsoft Entra: , , \[Office\]\[Company\], \[StateOrProvince\]и \[CountryOrRegion\]\[Title\].User's department = Engineering Неподдерживаемые атрибуты пользователя обрабатываются как фиксированные строки. Например, "\[postalCode\]". Атрибуты расширения и настраиваемые атрибуты не поддерживаются.

Рекомендуется использовать атрибуты, которые имеют значения, указанные для всех пользователей в вашей организации, и не использовать атрибуты с длинными значениями.

Настраиваемые запрещенные слова

Список запрещенных слов — это список разделенных запятыми фраз, которые запрещены в именах и псевдонимах групп. Поиск подстроки не выполняется. Для активации сбоя требуется, чтобы имя группы точно содержало одно или несколько настраиваемых запрещенных слов. Поиск подстроки не выполняется так, чтобы пользователи могли использовать распространенные слова, такие как Class, даже если "lass" является заблокированным словом.

Правила списка запрещенных слов:

Заблокированные слова не учитывает регистр.
Когда пользователь вводит запрещенное слово в имени группы, отображается сообщение об ошибке, содержащее запрещенное слово.
Ограничения знаков в запрещенных словах отсутствуют.
Существует верхний предел в 5000 фраз, которые можно настроить в списке заблокированных слов.

Роли и разрешения

Чтобы настроить политику именования, требуется одна из следующих ролей:

Глобальный администратор
Администратор группы
Редактор каталогов

Некоторые роли администратора исключены из этих политик во всех рабочих нагрузках и конечных точках группы, чтобы они могли создавать группы с помощью заблокированных слов и с собственными соглашениями об именовании. Ниже приведен список ролей администратора, исключенных из политики именования групп.

Глобальный администратор
Администратор пользователей

Настройка политики именования

Войдите в Центр администрирования Microsoft Entra как минимум группу Администратор istrator.
Выберите Microsoft Entra ID.
Выберите все группы и> выберите политику именования, чтобы открыть страницу политики именования.

Просмотр или изменение политики добавления префикса или суффикса

На странице Политика именования выберите Политика именования групп.
Текущие политики изменения префикса или суффикса можно просматривать и изменять по отдельности, выбрав атрибуты или строки, которые необходимо применить в рамках политики именования.
Чтобы удалить префикс или суффикс из списка, выберите префикс или суффикс, а затем нажмите кнопку "Удалить". Одновременно можно удалить несколько элементов.
Сохраните изменения в новой политике, чтобы они вступили в силу, нажав кнопку Сохранить.

Редактирование настраиваемых запрещенных слов

На странице Политика именования выберите Заблокированные слова.
Для просмотра или изменения текущего списка настраиваемых запрещенных слов выберите Загрузить. Необходимо добавить новые записи в существующие записи.
Отправьте новый список настраиваемых заблокированных слов, выбрав значок файла .
Сохраните изменения в новой политике, чтобы они вступили в силу, нажав кнопку Сохранить.

Установка командлетов PowerShell

Установите командлеты Microsoft Graph, как описано в разделе "Установка пакета SDK Microsoft Graph PowerShell".

Внимание

Azure AD PowerShell планируется на 30 марта 2024 г. Дополнительные сведения см. в обновлении об отмене. Рекомендуется перенести в Microsoft Graph PowerShell для взаимодействия с идентификатором Microsoft Entra (ранее — Azure AD). Microsoft Graph PowerShell разрешает доступ ко всем API Microsoft Graph и доступен в PowerShell 7. Ответы на распространенные запросы миграции см. в разделе "Вопросы и ответы о миграции".

Запустите приложение Windows PowerShell от имени администратора.
Установите командлеты Microsoft Graph.
```
Install-Module Microsoft.Graph -Scope AllUsers
```
Установите бета-командлеты Microsoft Graph.
```
Install-Module Microsoft.Graph.Beta -Scope AllUsers
```

Настройка политики именования в PowerShell

Откройте окно Windows PowerShell на компьютере. Его можно открыть без более высокого уровня привилегий.
Выполните следующую команду, чтобы подготовиться к выполнению командлетов.
```
Connect-MgGraph -Scopes "Directory.ReadWrite.All"
```
На открывшемся экране входа в учетную запись введите учетную запись администратора и пароль для подключения к службе.
Выполните действия, описанные в командлетах Microsoft Entra, чтобы настроить параметры группы для создания параметров группы для этой организации.

Просмотр текущих параметров

Получите текущую политику именования, чтобы просмотреть действующие настройки.

$Setting = Get-MgBetaDirectorySetting -DirectorySettingId (Get-MgBetaDirectorySetting | where -Property DisplayName -Value "Group.Unified" -EQ).id

Отобразите на экране текущие параметры групп.
```
$Setting.Values
```

Установка политики именования и настраиваемых запрещенных слов

Получите параметр.

$Setting = Get-MgBetaDirectorySetting -DirectorySettingId (Get-MgBetaDirectorySetting | where -Property DisplayName -Value "Group.Unified" -EQ).id

Задайте префиксы имени группы и суффиксы. Для правильной [GroupName] работы функции необходимо включить в параметр. Кроме того, задайте настраиваемые заблокированные слова, которые нужно ограничить.
```
$params = @{
   values = @(
      @{
         name = "PrefixSuffixNamingRequirement"
         value = "GRP_[GroupName]_[Department]"
      }
      @{
         name = "CustomBlockedWordsList"
         value = "Payroll,CEO,HR"
      }
   )
}
```
Обновите параметры новой политики, чтобы она вступила в силу, как показано в следующем примере.
```
Update-MgBetaDirectorySetting -DirectorySettingId $Setting.Id -BodyParameter $params
```

Вот и все. Вы задали политику именования и добавили заблокированные слова.

Экспорт или импорт настраиваемых заблокированных слов

Дополнительные сведения см . в командлетах Microsoft Entra для настройки параметров группы.

Ниже приведен пример скрипта PowerShell для экспорта нескольких заблокированных слов.

$Words = (Get-MgBetaDirectorySetting).Values | where -Property Name -Value CustomBlockedWordsList -EQ 
Add-Content "c:\work\currentblockedwordslist.txt" -Value $Words.value.Split(",").Replace("`"","")

Ниже приведен пример скрипта PowerShell для импорта нескольких заблокированных слов.

$BadWords = Get-Content "C:\work\currentblockedwordslist.txt"
$BadWords = [string]::join(",", $BadWords)
$Setting = Get-MgBetaDirectorySetting | where {$_.DisplayName -eq "Group.Unified"}
if ($Setting.Count -eq 0) {
   $Template = Get-MgBetaDirectorySettingTemplate | where {$_.DisplayName -eq "Group.Unified"}
   $Params = @{ templateId = $Template.Id }
   $Setting = New-MgBetaDirectorySetting -BodyParameter $Params 
   }
$params = @{
   values = @(
      @{
         name = "PrefixSuffixNamingRequirement"
         value = "GRP_[GroupName]_[Department]"
      }
      @{
         name = "CustomBlockedWordsList"
         value = "$BadWords"
      }
   )
}
Update-MgBetaDirectorySetting -DirectorySettingId $Setting.Id -BodyParameter $params

Удаление политики именования

Для удаления политики именования можно использовать портал Azure или Microsoft Graph PowerShell.

Удаление политики именования с помощью портал Azure

На странице Политика именования выберите Удалить политику.
После подтверждения удаления политика именования удаляется, включая все политики именования префикса-суффикса и любые пользовательские заблокированные слова.

Удаление политики именования с помощью Microsoft Graph PowerShell