管理可创建 Microsoft 365 组的人员

项目
07/03/2024

默认情况下，所有用户都可以创建Microsoft 365 个组。这是建议的方法，因为它允许用户开始协作，而无需 IT 人员协助。

如果业务要求限制谁可以创建组，则可以将Microsoft 365 组创建限制为特定Microsoft 365 组或安全组的成员。

如果你担心用户创建不符合业务标准的团队或组，请考虑要求用户完成培训课程，然后将他们添加到允许的用户组。

限制可以创建组的人员时，会影响依赖于组进行访问的所有服务，包括：

Outlook
SharePoint
Viva Engage
Microsoft Teams
Planner
Power BI (经典)
Web 项目/路线图

本文中的步骤不会阻止某些角色的成员创建组。 Microsoft 365 个全局管理员可以通过 Microsoft 365 管理中心、Planner、Exchange 和 SharePoint 创建组，但不能通过 Teams 等其他位置创建组。其他角色可以通过有限方式创建Microsoft 365 组，如下所示。

Exchange 管理员：Exchange 管理中心，Microsoft Entra ID
合作伙伴第 1 层支持：Microsoft 365 管理中心、Exchange 管理中心Microsoft Entra ID
合作伙伴第 2 层支持：Microsoft 365 管理中心、Exchange 管理中心Microsoft Entra ID
目录编写器：Microsoft Entra ID
组管理员：Microsoft Entra ID
SharePoint 管理员：SharePoint 管理中心，Microsoft Entra ID
Teams 服务管理员：Teams 管理中心，Microsoft Entra ID
用户管理员：Microsoft 365 管理中心，Microsoft Entra ID

如果你是其中一个角色的成员，可以为受限用户创建Microsoft 365 组，然后将该用户分配为组的所有者。

许可要求

若要管理创建组的人员，以下人员需要Microsoft Entra ID P1 或 P2 许可证，或者Microsoft分配给他们的 Entra 基本 EDU 许可证：

配置这些组创建设置的管理员
允许创建组的组成员

注意

有关如何分配 Azure 许可证的更多详细信息，请参阅在 Microsoft Entra 管理中心分配或删除许可证。

以下人员不需要Microsoft Entra ID P1、P2 或Microsoft分配给他们的 Entra Basic EDU 许可证：

Microsoft 365 个组的成员，并且无法创建其他组的人员。

步骤 1：为需要创建Microsoft 365 个组的用户创建组

组织中只能使用一个组来控制谁能够创建Microsoft 365 个组。但是，可以将其他组嵌套为此组的成员。

上面列出的角色中的管理员不需要是此组的成员：他们保留创建组的能力。

在管理中心，转到 “组”页。
单击“ 添加组”。
选择所需的组类型。请记住该组的名称！稍后需要用到该名称。
完成组设置，添加希望能够创建组的人员或其他组作为成员 (而不是所有者) 。

有关详细说明，请参阅在 Microsoft 365 管理中心中创建、编辑或删除安全组。

步骤 2：运行 PowerShell 命令

你将使用 Microsoft Graph PowerShellBeta 模块更改组级来宾访问设置：

如果已安装 Beta 版本，请运行 Update-Module Microsoft.Graph.Beta 以确保它是此模块的最新版本。

将以下脚本复制到文本编辑器（如记事本或 Windows PowerShell ISE）中。

将 GroupName> 替换为<创建的组的名称。例如：

$GroupName = "Group Creators"

将文件另存为 GroupCreators.ps1。

在 PowerShell 窗口中，导航到保存文件的位置， (键入“CD <FileLocation>”) 。

通过键入以下内容运行脚本：

.\GroupCreators.ps1

并在出现提示时使用管理员帐户登录。

Import-Module Microsoft.Graph.Beta.Identity.DirectoryManagement
Import-Module Microsoft.Graph.Beta.Groups

Connect-MgGraph -Scopes "Directory.ReadWrite.All", "Group.Read.All"

$GroupName = ""
$AllowGroupCreation = "False"

$settingsObjectID = (Get-MgBetaDirectorySetting | Where-object -Property Displayname -Value "Group.Unified" -EQ).id

if(!$settingsObjectID)
{
    $params = @{
	  templateId = "62375ab9-6b52-47ed-826b-58e47e0e304b"
	  values = @(
		    @{
			       name = "EnableMSStandardBlockedWords"
			       value = "true"
		     }
	 	     )
	     }
	
    New-MgBetaDirectorySetting -BodyParameter $params
	
    $settingsObjectID = (Get-MgBetaDirectorySetting | Where-object -Property Displayname -Value "Group.Unified" -EQ).Id
}

 
$groupId = (Get-MgBetaGroup | Where-object {$_.displayname -eq $GroupName}).Id

$params = @{
	templateId = "62375ab9-6b52-47ed-826b-58e47e0e304b"
	values = @(
		@{
			name = "EnableGroupCreation"
			value = $AllowGroupCreation
		}
		@{
			name = "GroupCreationAllowedGroupId"
			value = $groupId
		}
	)
}

Update-MgBetaDirectorySetting -DirectorySettingId $settingsObjectID -BodyParameter $params

(Get-MgBetaDirectorySetting -DirectorySettingId $settingsObjectID).Values

脚本的最后一行将显示更新的设置：

PowerShell 脚本输出的屏幕截图。