Office 365 Gruplarının oluşturulmasını engelle

Ben eski tarz bir BT uzmanıyım, benim dünyamda provizyon BT departmanı veya bir provizyon aracı aracılığıyla yapılıyor. İstemediğim şey, normal kullanıcıların ortamımda Active Directory, Azure Active Directory veya Office 365 olsun her türlü nesneyi oluşturmasıdır.

Office 365'te her şey farklıdır; birden çok hizmet (Outlook, Teams, Planner, SharePoint, PowerBI ve diğerleri) Office 365 Gruplarını kullanır. Böylece kullanıcılar Planner'da yeni bir plan veya Teams'te yeni bir ekip oluşturduğunda Azure Active Directory'de de bir Office 365 Grubu oluşturur.

Şu anda 12.000 kullanıcılı bir ortamda çalışıyorum ve olmasını isteyeceğim son şey, 12.000 kullanıcının rastgele her türden grup oluşturması, kimsenin bilgi bulamayacağı ve bilgi olmadan herhangi bir şeyi silmenin imkansız olduğu tam bir karmaşa ile sonuçlanmasıdır. diğer insanlara zarar vermek.

Bunun çözümü, yeni Office 365'in oluşturulmasını Azure Active Directory'deki bir güvenlik grubuna (bu bir bulut nesnesi veya senkronize edilmiş bir nesne olabilir) atamaktır. Azure Active Directory'de yeni bir güvenlik grubu oluşturmak için aşağıdaki PowerShell komutunu kullanabilirsiniz:

New-AzureADGroup -DisplayName "O365 Group Creators" -SecurityEnabled:$True -MailEnabled:$False -MailNickName "Nothing"

Not. Azure AD Portalında bir güvenlik grubu oluşturmak da mümkündür.

Bir sonraki adım, Office 365 Grupları oluşturma iznini bu yeni güvenlik grubuna atamaktır. Bu yalnızca aşağıdaki betiği kullanarak PowerShell ve Azure AD Önizleme Modülü kullanılarak gerçekleştirilebilir:

$GroupName = "O365 Group Creators"
$AllowGroupCreation = "False"
Connect-AzureAD
$settingsObjectID = (Get-AzureADDirectorySetting | Where-object -Property Displayname -Value "Group.Unified" -EQ).id
if(!$settingsObjectID)
{
  $template = Get-AzureADDirectorySettingTemplate | Where-object {$_.displayname -eq "group.unified"}
  $settingsCopy = $template.CreateDirectorySetting()
  New-AzureADDirectorySetting -DirectorySetting $settingsCopy
  $settingsObjectID = (Get-AzureADDirectorySetting | Where-object -Property Displayname -Value "Group.Unified" -EQ).id
}
$settingsCopy = Get-AzureADDirectorySetting -Id $settingsObjectID
$settingsCopy["EnableGroupCreation"] = $AllowGroupCreation
if($GroupName)
{
  $settingsCopy["GroupCreationAllowedGroupId"] = (Get-AzureADGroup -SearchString $GroupName).objectid
}
Set-AzureADDirectorySetting -Id $settingsObjectID -DirectorySetting $settingsCopy
(Get-AzureADDirectorySetting -Id $settingsObjectID).Values

Bu betiği çalıştırdığınızda benzer bir çıktı göreceksiniz:

İlk kutu, ilk adımda oluşturduğumuz güvenlik grubunun objectID'sine karşılık gelir, ilk ekran görüntüsünde gösterilen ObjectID ile karşılaştırmanız yeterlidir.

İkinci kutu, EnableGroupCreation özelliği için $false değerini gösterir; bu, başka hiçbir grubun Office 365 Grupları oluşturmasına izin verilmediğini belirtir.

Yeni oluşturduğumuz güvenlik grubunun tüm üyelerinin Office 365 grupları oluşturmasına izin veriliyor. Ancak bazı istisnalar vardır; Exchange yöneticileri, SharePoint yöneticileri, Teams yöneticileri ve Kullanıcı Yönetimi yöneticilerinin de Office 365 grupları oluşturmasına varsayılan olarak izin verilir, ancak bunlar genellikle normal kullanıcılar değildir.

Bu şekilde ortamınızda kimlerin Office 365 Grupları oluşturabileceğini kontrol edebilir ve kiracınızda grup oluşturmanın patlamadığından emin olabilirsiniz.

Daha fazla bilgi

  • Kimlerin Office 365 Grupları oluşturabileceğini yönetin - https://docs.microsoft.com/en-us/office365/admin/create-groups/manage-creation-of-groups?view=o365-worldwide
  • Yeni-AzureADGroup - https://docs.microsoft.com/en-us/powershell/module/azuread/new-azureadgroup?view=azureadps-2.0

İlgili makaleler