在 Microsoft Entra ID 中針對 Microsoft 365 群組強制執行命名原則

發行項
07/08/2024

若要對使用者所建立或編輯的 Microsoft 365 群組強制執行一致的命名慣例，在 Microsoft Entra ID 中針對組織設定群組命名原則。例如，您可以使用命名原則來傳達群組的功能、成員資格、地理區域或建立群組的人員。您也可以使用命名原則將通訊錄中的群組分類。您可以使用原則來防止群組名稱和別名中使用特定字組。

重要

針對 Microsoft 365 群組使用 Microsoft Entra ID 命名原則，需要您擁有但不一定要為每個作為一或多個 Microsoft 365 群組成員的唯一使用者指派 Microsoft Entra ID P1 授權或 Microsoft Entra Basic EDU 授權。

命名原則會套用至跨工作負載 (例如 Outlook、Microsoft Teams、SharePoint、Exchange 或 Planner) 建立或編輯所建立的群組，即使未進行任何編輯變更也是一樣。其會套用至群組名稱和群組別名。如果您在 Microsoft Entra ID 中設定命名原則，而且您目前有 Exchange 群組命名原則，即會在組織中強制執行 Microsoft Entra ID 命名原則。

設定群組命名原則之後，會將原則套用至使用者所建立的新 Microsoft 365 群組。命名原則不會套用至特定目錄角色，例如全域管理員或使用者管理員。 (如需已從群組命名原則中豁免之角色的完整清單，請參閱＜角色和權限＞一節)。針對現有 Microsoft 365 群組，不會在設定時立即套用原則。當群組擁有者針對這些群組編輯群組名稱之後，即使未進行任何變更，也會強制執行命名原則。

命名原則功能

您可以透過兩種不同方式來對群組強制執行命名原則：

前置詞後置詞命名原則：您可以定義前置詞或後置詞，接著自動將其新增來針對群組強制執行命名慣例。例如，在群組名稱 GRP_JAPAN_My Group_Engineering 中，前置詞為 GRP_JAPAN_，後置詞為 _Engineering。
自訂封鎖字組：您可以上傳一組貴組織專屬的封鎖字組，以便在使用者建立的群組中加以封鎖。例如，您可能使用 Payroll,CEO,HR。

前置詞後置詞命名原則

一般的命名慣例結構是 Prefix[GroupName]Suffix。雖然您可以定義多個前置詞和後置詞，但設定中只能有一個 [GroupName] 執行個體。前置詞或後置詞可以是固定字串，也可以是 [Department] 之類的使用者屬性，其會根據建立群組的使用者進行替換。前置詞和後置詞字串 (含群組名稱) 的允許字元總數是 63 個字元。

前置詞和後置詞可以包含群組名稱和群組別名所支援的特殊字元。前置詞或後置詞中群組別名不支援的任何字元仍適用於群組名稱，但會從群組別名中移除。由於有此限制，群組名稱和群組別名所套用的前置詞和後置詞可能會不同。

固定字串

您可以使用字串來方便掃描和區分全域通訊清單中與群組工作負載左側導覽連結中的群組。一些常見的前置詞是 Grp_Name、#Name 及 _Name 等關鍵字。

使用者屬性

您可以使用屬性來協助您和使用者識別所建立的群組適用於哪個部門、辦公室或地理區域。例如，如果您將命名原則定義為 PrefixSuffixNamingRequirement = "GRP [GroupName] [Department]" 和 User's department = Engineering，則強制執行的群組名稱可能是 "GRP My Group Engineering."。支援的 Microsoft Entra 屬性為 \[Department\]、\[Company\]、\[Office\]、\[StateOrProvince\]、\[CountryOrRegion\] 及 \[Title\]。不支援的使用者屬性會被視為固定字串。例如 "\[postalCode\]"。擴充屬性和自訂屬性則不受支援。

我們對您的建議是，使用已為組織中的所有使用者填入值的屬性，而不要使用具有長值的屬性。

自訂封鎖字組

封鎖字組清單是要在群組名稱和別名中封鎖之片語的逗號分隔清單。系統不會執行子字串搜尋。群組名稱必須和一或多個自訂封鎖字組完全相符，才會觸發失敗。由於不會執行子字串搜尋，因此，即便 "lass" 是封鎖字組，使用者仍可使用 "Class" 之類的常見字組。

封鎖字組清單規則：

封鎖字組不區分大小寫。
使用者在輸入封鎖字組來作為群組名稱的一部分時，會看到附上封鎖字組的錯誤訊息。
封鎖字組沒有字元限制。
您可以在封鎖字組清單中設定的片語上限為 5,000 個。

角色和權限

若要設定命名原則，需要下列其中一個角色：

全域系統管理員
群組管理員
目錄寫入者

某些管理員角色已從這些原則中豁免 (範圍橫跨所有群組工作負載和端點)，因此，他們可以使用封鎖字組搭配自己的命名慣例來建立群組。以下是不受群組命名原則限制的管理員角色：

全域系統管理員
使用者管理員

設定命名原則

至少以群組管理員的身分登入 Microsoft Entra 系統管理中心。
選取 [Microsoft Entra ID]。
選取 [所有群組]>[群組]，然後選取 [命名原則] 以開啟 [命名原則] 頁面。

檢視或編輯前置詞後置詞命名原則

在 [命名原則] 頁面上，選取 [群組命名原則]。
您可以選取您想要在命名原則時強制執行的屬性或字串，以個別檢視或編輯目前的前置詞或後置詞命名原則。
若要從清單中移除前置詞或後置詞，選取該前置詞或後置詞，然後選取 [刪除]。您可以同時刪除多個項目。
選取 [儲存] 來儲存變更，以讓新原則生效。

編輯自訂封鎖字組

在 [命名原則] 頁面上，選取 [封鎖的字組]。
選取 [下載] 可檢視或編輯目前的自訂封鎖字組清單。您必須將新項目新增至現有項目。
選取 [檔案] 圖示，以上傳新的自訂封鎖字組清單。
選取 [儲存] 來儲存變更，以讓新原則生效。

安裝 PowerShell Cmdlets

安裝 Microsoft Graph Cmdlet，如安裝 Microsoft Graph PowerShell SDK 中所述。

注意

自 2024 年 3 月 30 日起，Azure AD 和 MSOnline PowerShell 模組已被淘汰。若要深入了解，請閱讀淘汰更新。在此日期之後，對這些模組的支援僅限於對 Microsoft Graph PowerShell SDK 的移轉協助和安全性修正。淘汰的模組將繼續運作至 2025 年 3 月 30 日。

我們建議移轉至 Microsoft Graph PowerShell 以與 Microsoft Entra ID (以前稱為 Azure AD) 互動。如需了解常見的移轉問題，請參閱移轉常見問題。 注意：MSOnline 1.0.x 版可能會在 2024 年 6 月 30 日之後發生中斷。

以系統管理理員身分開啟 Windows PowerShell 應用程式。

安裝 Microsoft Graph Cmdlet。

Install-Module Microsoft.Graph -Scope AllUsers

安裝 Microsoft Graph Beta Cmdlet。

Install-Module Microsoft.Graph.Beta -Scope AllUsers

在 PowerShell 中設定命名原則

在電腦上開啟 Windows PowerShell 視窗。不需較高的權限即可將它開啟。
執行下列命令來準備執行 Cmdlet。
```
Connect-MgGraph -Scopes "Directory.ReadWrite.All"
```
在開啟的 [登入您的帳戶] 畫面中，輸入管理員帳戶和密碼以連線到服務。
遵循用於設定群組設定的 Microsoft Entra Cmdlet 中的步驟，來建立適用於此組織的群組設定。

檢視目前的設定

擷取目前的命名原則，以檢視目前的設定。

$Setting = Get-MgBetaDirectorySetting -DirectorySettingId (Get-MgBetaDirectorySetting | where -Property DisplayName -Value "Group.Unified" -EQ).id

顯示目前的群組設定。
```
$Setting.Values
```

設定命名原則和自訂封鎖字組

取得設定。

$Setting = Get-MgBetaDirectorySetting -DirectorySettingId (Get-MgBetaDirectorySetting | where -Property DisplayName -Value "Group.Unified" -EQ).id

設定群組名稱前置詞和後置詞。若要此功能正常運作，設定中必須包含 [GroupName]。此外，設定您想要限制的自訂封鎖字組。

$params = @{
   values = @(
      @{
         name = "PrefixSuffixNamingRequirement"
         value = "GRP_[GroupName]_[Department]"
      }
      @{
         name = "CustomBlockedWordsList"
         value = "Payroll,CEO,HR"
      }
   )
}

更新設定以讓新原則生效，如下列範例所示。

Update-MgBetaDirectorySetting -DirectorySettingId $Setting.Id -BodyParameter $params

這樣就大功告成了。您已設定命名原則並新增封鎖字組。

匯出或匯入自訂封鎖字組

如需詳細資訊，請參閱用於設定群組設定的 Microsoft Entra Cmdlet (部分機器翻譯)。

以下 PowerShell 指令碼範例可匯出多個封鎖字組。

$Words = (Get-MgBetaDirectorySetting).Values | where -Property Name -Value CustomBlockedWordsList -EQ 
Add-Content "c:\work\currentblockedwordslist.txt" -Value $Words.value.Split(",").Replace("`"","")

以下 PowerShell 指令碼範例可匯入多個封鎖字組。

$BadWords = Get-Content "C:\work\currentblockedwordslist.txt"
$BadWords = [string]::join(",", $BadWords)
$Setting = Get-MgBetaDirectorySetting | where {$_.DisplayName -eq "Group.Unified"}
if ($Setting.Count -eq 0) {
   $Template = Get-MgBetaDirectorySettingTemplate | where {$_.DisplayName -eq "Group.Unified"}
   $Params = @{ templateId = $Template.Id }
   $Setting = New-MgBetaDirectorySetting -BodyParameter $Params 
   }
$params = @{
   values = @(
      @{
         name = "PrefixSuffixNamingRequirement"
         value = "GRP_[GroupName]_[Department]"
      }
      @{
         name = "CustomBlockedWordsList"
         value = "$BadWords"
      }
   )
}
Update-MgBetaDirectorySetting -DirectorySettingId $Setting.Id -BodyParameter $params

移除命名原則

您可以使用 Azure 入口網站或 Microsoft Graph PowerShell 來移除命名原則。

使用 Azure 入口網站移除命名原則

在 [命名原則] 頁面上，選取 [刪除原則]。
確認刪除之後，即會移除命名原則，包括所有前置詞後置詞命名原則及任何自訂封鎖字組。

使用 Microsoft Graph PowerShell 移除命名原則