建立或刪除管理單位
重要
受限制的管理管理單位目前處於預覽狀態。 如需適用於 Beta、預覽版或尚未發行至正式運作的 Azure 功能的法律條款，請參閱產品條款。
管理員 單位可讓您將組織細分為您想要的任何單位，然後指派只能管理該單位成員的特定系統管理員。 例如，您可以使用系統管理單位，將許可權委派給大型大學每個學校的系統管理員，以便他們只能控制存取權、管理使用者，以及只在工程學院設定原則。
本文說明如何建立或刪除管理單位，以限制 Microsoft Entra 標識符中的角色許可權範圍。
必要條件
- 每個系統管理單位系統管理員的 Microsoft Entra ID P1 或 P2 授權
- 管理單位成員的 Microsoft Entra ID 免費授權
- 特殊許可權角色 管理員 istrator 角色
- 使用 Microsoft Graph PowerShell 時的 Microsoft.Graph 模組
- 使用 PowerShell 時，Azure AD PowerShell 模組
- 使用 PowerShell 和受限制的管理單位時，AzureADPreview 模組
- 使用適用於 Microsoft Graph API 的 Graph 總管時 管理員 同意
如需詳細資訊，請參閱 使用PowerShell或 Graph 總管的必要條件。
建立管理單位
您可以使用 Microsoft Entra 系統管理中心、PowerShell 或 Microsoft Graph 來建立新的系統管理單位。
Microsoft Entra 系統管理中心
提示
本文中的步驟可能會根據您從開始的入口網站稍有不同。
以至少 [特殊權限角色管理員] 身分登入 Microsoft Entra 系統管理中心。
流覽至 [身分>識別角色與系統管理員> 管理員 單位]。
選取 [新增]。
在 [ 名稱] 方塊中，輸入管理單位的名稱。 選擇性地新增管理單位的描述。
如果您不想讓租用戶層級系統管理員能夠存取此管理單位，請將 [受限制的管理管理單位 ] 切換為 [ 是]。 如需詳細資訊，請參閱 受限制的管理管理單位。
或者，在 [ 指派角色] 索引標籤上，選取角色，然後選取要使用此系統管理單位範圍將角色指派給的使用者。
在 [ 檢閱 + 建立] 索引卷標上，檢閱管理單位和任何角色指派。
選取建立按鈕。
PowerShell
使用 連線-MgGraph 命令登入您的租使用者，並同意所需的許可權。
Connect-MgGraph -Scopes "AdministrativeUnit.ReadWrite.All"
使用 New-MgDirectory 管理員 istrativeUnit 命令來建立新的管理單位。
$params = @{
DisplayName = "Seattle District Technical Schools"
Description = "Seattle district technical schools administration"
Visibility = "HiddenMembership"
}
$adminUnitObj = New-MgDirectoryAdministrativeUnit -BodyParameter $params
使用 New-MgBetaDirectory 管理員 istrativeUnit 命令來建立新的受限制管理管理單位。 將 IsMemberManagementRestricted 屬性設為 $true。
$params = @{
DisplayName = "Contoso Executive Division"
Description = "Contoso Executive Division administration"
Visibility = "HiddenMembership"
IsMemberManagementRestricted = $true
}
$restrictedAU = New-MgBetaDirectoryAdministrativeUnit -BodyParameter $params
Microsoft Graph API
使用建立 administrativeUnit API 來建立新的系統管理單位。
要求
POST https://graph.microsoft.com/v1.0/directory/administrativeUnits
Body
{
"displayName": "North America Operations",
"description": "North America Operations administration"
}
使用建立 administrativeUnit （beta） API 來建立新的受限制管理管理單位。 將 isMemberManagementRestricted 屬性設為 true。
要求
POST https://graph.microsoft.com/beta/administrativeUnits
Body
{
"displayName": "Contoso Executive Division",
"description": "This administrative unit contains executive accounts of Contoso Corp.",
"isMemberManagementRestricted": true
}
刪除管理單位
在 Microsoft Entra ID 中，您可以刪除不再需要作為系統管理角色範圍單位的系統管理單位。 刪除管理單位之前，您應該移除具有該管理單位範圍的任何角色指派。
Microsoft Entra 系統管理中心
以至少 [特殊權限角色管理員] 身分登入 Microsoft Entra 系統管理中心。
流覽至 [身分>識別角色與系統管理員> 管理員 單位]。
選取您想要刪除的系統管理單位。
選取 [ 角色和系統管理員]，然後開啟角色以檢視角色指派。
拿掉具有管理單位範圍的所有角色指派。
流覽至 [身分>識別角色與系統管理員> 管理員 單位]。
在您要刪除的系統管理單位旁邊新增複選標記。
選取 [刪除]。
若要確認您想要刪除管理單位，請選取 [ 是]。
PowerShell
使用 Remove-MgDirectory 管理員 istrativeUnit 命令來刪除管理單位。
$adminUnitObj = Get-MgDirectoryAdministrativeUnit -Filter "DisplayName eq 'Seattle District Technical Schools'"
Remove-MgDirectoryAdministrativeUnit -AdministrativeUnitId $adminUnitObj.Id
Microsoft Graph API
使用 Delete administrativeUnit API 刪除管理單位。
DELETE https://graph.microsoft.com/v1.0/directory/administrativeUnits/{admin-unit-id}