Búsqueda de sitios web

Impedir que los usuarios creen nuevos grupos en Microsoft 365 (Teams/Outlook)

De forma predeterminada, cualquier usuario de su arrendatario de Azure puede crear grupos de Microsoft 365. Cuando un usuario crea un nuevo grupo de Microsoft 365, se crean automáticamente recursos adicionales: un grupo de Teams, un buzón de correo y un calendario compartidos en Exchange Online, un sitio y una biblioteca de documentos en SharePoint Online, un grupo de Yammer, etc.

Este artículo cubre las formas de evitar que los usuarios comunes (no administradores) creen nuevos grupos en Microsoft 365 (Teams/Outlook y otros). Lo primero que debe hacer es restringir los permisos para crear Grupos Unificados en AzureAD. Tenga en cuenta que actualmente no es posible evitar que los usuarios creen solo grupos de Teams. La prohibición de crear nuevos grupos se aplicará a todos los servicios de Microsoft 365, incluidos SharePoint, Exchange, OneNote, Yammer, Planner, PowerBI, etc.

En esta captura de pantalla, puede ver que el usuario puede crear un nuevo grupo (equipo) o unirse a un grupo existente desde la interfaz de Teams.

En este caso, evitaremos que los usuarios normales creen nuevos grupos de Microsoft 365. Una vez hecho esto, usaremos el

GroupCreationAllowedGroupId

parámetro para permitir que solo los administradores creen nuevos grupos.

Instale los módulos AzureADPreview y AzureAD PowerShell en el equipo (el

Set-AzureADDirectorySetting

El cmdlet que necesitamos actualmente solo está disponible en AzureADPreview).

Install-Module AzureAD
Install-module AzureADPreview -AllowClobber -Force

Hay un módulo PowerShell separado para administrar MS Teams.

Conéctese a su arrendatario de Azure:

AzureADPreview\Connect-AzureAD

Ahora vamos a crear un grupo de administradores de Azure que puedan crear Grupos Unificados:

New-AzureADGroup -MailNickName "TeamsAdmins" -DisplayName "TeamsAdmins" -MailEnabled $false -SecurityEnabled $true  -Description "Members can create new Unified Groups (including Teams)"

Y agregue cuentas de administrador de Teams al grupo:

$Group = "TeamsAdmins"
$User = "max@a-d.onmicrosoft.com"
$GroupObj = Get-AzureADGroup -SearchString $Group
$UserObj = Get-AzureADUser -ObjectId $User
Add-AzureADGroupMember -ObjectId $GroupObj.ObjectId -RefObjectId $UserObj.ObjectId

Veamos los permisos actuales para crear grupos de Teams:

$settingsObjectID = (Get-AzureADDirectorySetting | Where-object -Property Displayname -Value "Group.Unified" -EQ).id
(Get-AzureADDirectorySetting -Id $settingsObjectID).Values

Aquí,

EnableGroupCreation = true

y

GroupCreationAllowedGroupID = not set

, lo que significa que los usuarios pueden crear grupos de Teams (Microsoft 365).

Si el cmdlet Get-AzureADDirectorySetting devuelve una matriz vacía (

Get-AzureADDirectorySetting : Cannot bind argument to parameter 'Id' because it is null

), primero debe configurar los ajustes como se describe en la guía https://learn.microsoft.com/en-us/azure/active-directory/enterprise-users/groups-settings-cmdlets (Pasos 1 a 6):

$TemplateId = (Get-AzureADDirectorySettingTemplate | where { $_.DisplayName -eq "Group.Unified" }).Id
$Template = Get-AzureADDirectorySettingTemplate | where -Property Id -Value $TemplateId -EQ
$Setting = $Template.CreateDirectorySetting()
$Setting["EnableMIPLabels"] = "True"
New-AzureADDirectorySetting -DirectorySetting $Setting

Ahora permitamos la creación de nuevos grupos en Microsoft 365 solo para el grupo TeamsAdmins:

$Setting = Get-AzureADDirectorySetting -Id (Get-AzureADDirectorySetting | where -Property DisplayName -Value "Group.Unified" -EQ).id
$Setting["EnableGroupCreation"] = $False
$Setting["GroupCreationAllowedGroupId"] = (Get-AzureADGroup -SearchString "TeamsAdmins").objectid
Set-AzureADDirectorySetting -Id (Get-AzureADDirectorySetting | where -Property DisplayName -Value "Group.Unified" -EQ).id -DirectorySetting $Setting

Y comprueba que se han cambiado los permisos de creación de grupos:

(Get-AzureADDirectorySetting).Values

Si desea restablecer la configuración a los valores predeterminados y permitir que todos los usuarios creen grupos de Microsoft 365, ejecute los siguientes comandos:

$Setting = Get-AzureADDirectorySetting -Id (Get-AzureADDirectorySetting | where -Property DisplayName -Value "Group.Unified" -EQ).id
$Setting["EnableGroupCreation"] = $True
$Setting["GroupCreationAllowedGroupId"] = $null
Set-AzureADDirectorySetting -Id (Get-AzureADDirectorySetting | where -Property DisplayName -Value "Group.Unified" -EQ).id -DirectorySetting $Setting

Ahora ejecute Teams como un usuario normal (no administrador) para verificar que la opción para crear un nuevo grupo de Teams ya no esté disponible. El usuario ahora solo puede conectarse a los grupos de Teams existentes.

Para permitir que un usuario cree grupos en Microsoft 365 (incluido Teams), debe agregar la cuenta de usuario al grupo TeamsAdmins.

Artículos relacionados