在 Microsoft Entra 識別碼的 Microsoft 365 群組上強制執行命名原則

發行項
01/23/2024

若要為使用者建立或編輯的 Microsoft 365 群組強制執行一致的命名慣例，請在 Microsoft Entra ID 中為您的組織設定群組命名原則。例如，您可以使用命名原則來傳達群組、成員資格、地理區域或建立群組的人員的功能。您也可以使用命名原則來協助分類通訊錄中的群組。您可以使用原則來封鎖特定字組在組名和別名中使用。

重要

針對 Microsoft 365 群組使用 Microsoft Entra ID 命名原則需要您擁有，但不一定為屬於一或多個 Microsoft 365 群組成員的每個唯一使用者指派 Microsoft Entra ID P1 授權或 Microsoft Entra Basic EDU 授權。

命名原則會套用至建立或編輯跨工作負載建立的群組，例如 Outlook、Microsoft Teams、SharePoint、Exchange 或 Planner，即使沒有進行編輯變更也一樣。它同時套用至組名和群組別名。如果您在 Microsoft Entra ID 中設定命名原則，而且您有現有的 Exchange 群組命名原則，則會在您的組織中強制執行 Microsoft Entra ID 命名原則。

設定群組命名原則時，原則會套用至使用者所建立的新 Microsoft 365 群組。命名原則不適用於特定目錄角色，例如 Global 管理員 istrator 或 User 管理員 istrator。（如需免除群組命名原則之角色的完整清單，請參閱一節。針對現有的 Microsoft 365 群組，原則不會在設定時立即套用。群組擁有者編輯這些群組的組名之後，即使未進行任何變更，仍會強制執行命名原則。

命名原則功能

您可以透過兩種不同的方式，為群組強制執行命名原則：

前置詞後綴命名原則：您可以定義前置詞或後綴，然後自動新增這些前置詞或後綴，以在您的群組上強制執行命名慣例。例如，在組名 GRP_JAPAN_My Group_Engineering中，前置詞為 GRP_JAPAN_ ，後綴為 _Engineering。
自定義封鎖字組：您可以上傳組織特定的一組封鎖字組，以在使用者建立的群組中封鎖。例如，您可以使用 Payroll,CEO,HR。

前置詞後綴命名原則

命名慣例的一般結構為 Prefix[GroupName]Suffix。雖然您可以定義多個前置詞和後綴，但在設定中只能有一個實例 [GroupName] 。前置詞或後綴可以是固定字串或用戶屬性，例如 [Department]，會根據建立群組的使用者來取代。前置詞和後綴字串的允許字元總數為63個字元。

前置詞和後綴可以包含組名和群組別名中支援的特殊字元。群組別名中不支援的前置詞或後綴中的任何字元，仍會套用在組名中，但已從群組別名中移除。由於這項限制，套用至組名的前置詞和後綴可能與套用至群組別名的前置詞和後綴不同。

固定字串

您可以使用字串，更輕鬆地在全域通訊清單和群組工作負載的左側導覽連結中掃描和區分群組。一些常見的前置詞是關鍵詞，例如 Grp_Name、 #Name和 _Name。

使用者屬性

您可以使用可協助您和使用者識別群組建立所在的部門、辦公室或地理區域的屬性。例如，如果您將命名原則 PrefixSuffixNamingRequirement = "GRP [GroupName] [Department]" 定義為和 User's department = Engineering，則強制執行的組名可能是 "GRP My Group Engineering." 支援的 Microsoft Entra 屬性為 \[Department\]、、 \[Company\]、 \[Office\]、 \[StateOrProvince\]、 \[CountryOrRegion\]和 \[Title\]。不支援的使用者屬性會被視為固定字串。例如 "\[postalCode\]"。不支援擴充屬性和自定義屬性。

建議您使用已填入組織中所有使用者值的屬性，且不要使用具有長值的屬性。

自定義封鎖字組

封鎖的字組清單是組名和別名中要封鎖的片語逗號分隔清單。不會執行子字串搜尋。需要組名與一或多個自定義封鎖字組之間的完全相符，才能觸發失敗。不會執行子字串搜尋，因此即使「lass」是封鎖的字組，使用者也可以使用類似「Class」的通用字組。

封鎖的欄位清單規則：

封鎖字組不區分大小寫。
當使用者輸入封鎖字組做為組名的一部分時，他們會看到含有封鎖字組的錯誤訊息。
封鎖字組沒有字元限制。
您可以在封鎖字組清單中設定的5,000個片語上限。

角色和權限

若要設定命名原則，需要下列其中一個角色：

全域管理員
群組管理員
目錄寫入器

某些系統管理員角色會從這些原則中豁免於所有群組工作負載和端點，以便他們可以使用封鎖的字組和自己的命名慣例來建立群組。下列系統管理員角色不受群組命名原則的豁免：

全域管理員
使用者管理員

設定命名原則

以至少群組管理員 istrator 身分登入 Microsoft Entra 系統管理中心。
選取 [Microsoft Entra ID]。
選取 [所有群組群組>]，然後選取 [命名原則] 以開啟 [命名原則] 頁面。

檢視或編輯前置詞後綴命名原則

在 [ 命名原則] 頁面上，選取 [群組命名原則]。
您可以選取您想要在命名原則中強制執行的屬性或字串，以個別檢視或編輯目前的前置詞或後綴命名原則。
若要從清單中移除前置詞或後綴，請選取前置詞或後綴，然後選取 [ 刪除]。您可以同時刪除多個專案。
選取 [儲存]，以儲存新原則的變更生效。

編輯自定義封鎖字組

在 [ 命名原則] 頁面上，選取 [封鎖的字組]。
選取 [下載]，以檢視或編輯目前自定義封鎖字組清單。您必須將新專案新增至現有的專案。
選取檔案圖示來上傳自定義封鎖字組的新清單。
選取 [儲存]，以儲存新原則的變更生效。

安裝 PowerShell Cmdlets

安裝 Microsoft Graph Cmdlet，如安裝 Microsoft Graph PowerShell SDK 中所述。

重要

Azure AD PowerShell 計劃於 2024 年 3 月 30 日淘汰。若要深入瞭解，請閱讀淘汰更新。建議您移轉至 Microsoft Graph PowerShell ，以與 Microsoft Entra ID （先前稱為 Azure AD）互動。 Microsoft Graph PowerShell 允許存取所有 Microsoft Graph API，並可在 PowerShell 7 上使用。如需常見移轉查詢的解答，請參閱移轉常見問題。

以系統管理員身分開啟 Windows PowerShell 應用程式。

安裝 Microsoft Graph Cmdlet。

Install-Module Microsoft.Graph -Scope AllUsers

安裝 Microsoft Graph Beta Cmdlet。

Install-Module Microsoft.Graph.Beta -Scope AllUsers

在 PowerShell 中設定命名原則

在您的電腦上開啟 Windows PowerShell 視窗。您可以開啟它，而不需提高許可權。
執行下列命令以準備執行 Cmdlet。
```
Connect-MgGraph -Scopes "Directory.ReadWrite.All"
```
在開啟的 [登入您的帳戶 ] 畫面上，輸入您的系統管理員帳戶和密碼以連線到您的服務。
請遵循 Microsoft Entra Cmdlet 中的步驟來設定群組設定，以建立此組織的群組設定。

檢視目前的設定

擷取目前的命名原則，以檢視目前的設定。

$Setting = Get-MgBetaDirectorySetting -DirectorySettingId (Get-MgBetaDirectorySetting | where -Property DisplayName -Value "Group.Unified" -EQ).id

顯示目前的群組設定。
```
$Setting.Values
```

設定命名原則和自定義封鎖字組

取得設定。

$Setting = Get-MgBetaDirectorySetting -DirectorySettingId (Get-MgBetaDirectorySetting | where -Property DisplayName -Value "Group.Unified" -EQ).id

設定組名前置詞和後綴。若要讓功能正常運作， [GroupName] 必須包含在設定中。此外，設定您想要限制的自定義封鎖字組。

$params = @{
   values = @(
      @{
         name = "PrefixSuffixNamingRequirement"
         value = "GRP_[GroupName]_[Department]"
      }
      @{
         name = "CustomBlockedWordsList"
         value = "Payroll,CEO,HR"
      }
   )
}

更新新原則生效的設定，如下列範例所示。

Update-MgBetaDirectorySetting -DirectorySettingId $Setting.Id -BodyParameter $params

這樣就大功告成了。您可以設定命名原則，並新增封鎖的字組。

匯出或匯入自定義封鎖字組

如需詳細資訊，請參閱設定群組設定的 Microsoft Entra Cmdlet。

以下是導出多個封鎖字組的PowerShell腳本範例。

$Words = (Get-MgBetaDirectorySetting).Values | where -Property Name -Value CustomBlockedWordsList -EQ 
Add-Content "c:\work\currentblockedwordslist.txt" -Value $Words.value.Split(",").Replace("`"","")

以下是匯入多個封鎖字組的PowerShell腳本範例。

$BadWords = Get-Content "C:\work\currentblockedwordslist.txt"
$BadWords = [string]::join(",", $BadWords)
$Setting = Get-MgBetaDirectorySetting | where {$_.DisplayName -eq "Group.Unified"}
if ($Setting.Count -eq 0) {
   $Template = Get-MgBetaDirectorySettingTemplate | where {$_.DisplayName -eq "Group.Unified"}
   $Params = @{ templateId = $Template.Id }
   $Setting = New-MgBetaDirectorySetting -BodyParameter $Params 
   }
$params = @{
   values = @(
      @{
         name = "PrefixSuffixNamingRequirement"
         value = "GRP_[GroupName]_[Department]"
      }
      @{
         name = "CustomBlockedWordsList"
         value = "$BadWords"
      }
   )
}
Update-MgBetaDirectorySetting -DirectorySettingId $Setting.Id -BodyParameter $params

拿掉命名原則

您可以使用 Azure 入口網站或 Microsoft Graph PowerShell 來移除命名原則。

使用 Azure 入口網站移除命名原則

在 [ 命名原則] 頁面上，選取 [ 刪除原則]。
確認刪除之後，會移除命名原則，包括所有前置詞後綴命名原則和任何自定義封鎖字組。

使用 Microsoft Graph PowerShell 移除命名原則