So verhindern Sie, dass Benutzer in Microsoft 365 (Teams/Outlook) neue Gruppen erstellen

Standardmäßig kann praktisch jeder in Ihrem Azure-Mandanten neue Microsoft 365-Gruppen erstellen. Das bedeutet, dass Teams, freigegebene Postfächer, SharePoint-Websites, Yammer-Gruppen und alles andere, was mit diesen Gruppen verknüpft ist, erstellt werden kann. Wenn Sie es leid sind, dass Ihre Benutzer versehentlich (oder absichtlich) alles mit neuen Gruppen überladen, könnte Ihnen dieser Artikel helfen. Das Hauptziel ist, die Berechtigungen zum Erstellen von Gruppen einzuschränken, sodass nur wenige ausgewählte Benutzer – beispielsweise Administratoren – neue Ressourcen erstellen können, während alle anderen bestehenden Gruppen beitreten können. Das ist nicht ganz einfach, insbesondere aufgrund der vielen miteinander verbundenen Dienste, aber machbar. Nach der Konfiguration können normale Benutzer nur noch bestehenden Gruppen beitreten und keine neuen mehr erstellen. Dadurch wird die Übersichtlichkeit verbessert. Beachten Sie jedoch, dass diese Einschränkung nicht nur für Teams gilt, sondern die Gruppenerstellung für alle Microsoft 365-Anwendungen blockiert.

So schränken Sie die Gruppenerstellung in Microsoft 365 (mithilfe von AzureAD) ein

Methode 1: Verwendung von PowerShell zum Sperren der Gruppenerstellung

Warum ist das hilfreich? Im Grunde genommen wird dadurch eingeschränkt, wer neue Gruppen erstellen darf. Denn manchmal klicken Benutzer einfach unüberlegt auf „Gruppe erstellen“, was zu einer unübersichtlichen Gruppenlandschaft führt. Wird dies nicht kontrolliert, kann es auch die Verwaltung und Sicherheit beeinträchtigen. Wenn niemand dies überwacht, könnten Benutzer Gruppen mit sensiblen Informationen erstellen oder Ressourcenpools überlasten. Mithilfe von PowerShell können Sie daher festlegen, dass nur bestimmte Personen (z. B.Ihre Administratoren) neue Microsoft 365-Gruppen, einschließlich Teams-Gruppen, erstellen dürfen. In manchen Konfigurationen kann dies beim ersten Mal fehlschlagen, oder Sie müssen PowerShell neu starten oder die Verbindung wiederherstellen, da die Module von Microsoft manchmal etwas unzuverlässig sind.

Folgendes benötigen Sie: Installieren Sie das AzureADPreview-Modul, das die notwendigen Cmdlets zum Festlegen der Einstellungen enthält:

Install-Module AzureADPreview -AllowClobber -Force

Um eine Verbindung zu Ihrem Mandanten herzustellen, führen Sie Folgendes aus:

Connect-AzureADoder, falls Sie es direkt per Skript programmieren,

AzureADPreview\Connect-AzureAD

Hier werden Sie zur Eingabe Ihrer Administrator-Anmeldedaten aufgefordert. Stellen Sie daher sicher, dass Sie über die entsprechenden Berechtigungen verfügen. Anschließend erstellen Sie eine Gruppe, die Ihre Administratoren enthält, welche wiederum Gruppen erstellen können.

New-AzureADGroup -MailNickName "TeamsAdmins" -DisplayName "TeamsAdmins" -MailEnabled $false -SecurityEnabled $true -Description "Members can create new groups"

Als Nächstes fügen Sie Ihre Administratoren dieser Gruppe hinzu. Angenommen, die E-Mail-Adresse Ihres Administrators lautet [email protected]. Führen Sie folgenden Befehl aus:

$Group = "TeamsAdmins" $UserEmail = "[email protected]" $GroupObj = Get-AzureADGroup -SearchString $Group $UserObj = Get-AzureADUser -ObjectId $UserEmail Add-AzureADGroupMember -ObjectId $GroupObj. ObjectId -RefObjectId $UserObj. ObjectId

Dieser Schritt ist manchmal etwas knifflig, insbesondere weil die ObjectId-Zeilen korrekt sein müssen. Im schlimmsten Fall sollten Sie die Gruppen- und Benutzer-IDs mit den Befehlen Get-AzureADGroup und Get-AzureADUser überprüfen.

Überprüfen Sie als Nächstes die aktuellen Berechtigungen zur Gruppenerstellung:

$settingsObjectID = (Get-AzureADDirectorySetting | Where-Object -Property DisplayName -Value "Group. Unified" -EQ).id (Get-AzureADDirectorySetting -Id $settingsObjectID).Values

Suchen Sie nach „ EnableGroupCreationund“ GroupCreationAllowedGroupId. Wenn EnableGroupCreation„true“ ist und keine spezifische Gruppen-ID festgelegt wurde, kann jeder Gruppen erstellen. Um dies einzuschränken, müssen Sie „ EnableGroupCreationauf false“ setzen und Ihre Administratorgruppe angeben:

$TemplateId = (Get-AzureADDirectorySettingTemplate | Where-Object { $_. DisplayName -eq "Group. Unified" }).Id $Template = Get-AzureADDirectorySettingTemplate -Id $TemplateId $Setting = $Template. CreateDirectorySetting() $Setting["EnableMIPLabels"] = "True" New-AzureADDirectorySetting -DirectorySetting $Setting

Wenn die Rückgabe leer ist oder Fehler anzeigt, sollten Sie die offizielle Anleitung [hier](https://learn.microsoft.com/en-us/azure/active-directory/enterprise-users/groups-settings-cmdlets) durchgehen – die Schritte zum Erstellen und Festlegen der Vorlagen sind aufgrund der Art und Weise, wie AzureAD Standardeinstellungen handhabt, unerlässlich.

Sobald die Einstellungen vorgenommen sind, sollten Sie Folgendes tun, um die Gruppenerstellung auf Ihre Administratorgruppe zu beschränken:

$Settings = Get-AzureADDirectorySetting -Id (Get-AzureADDirectorySetting | Where-Object -Property DisplayName -Value "Group. Unified" -EQ).id $Settings["EnableGroupCreation"] = $False $Settings["GroupCreationAllowedGroupId"] = (Get-AzureADGroup -SearchString "TeamsAdmins").ObjectId Set-AzureADDirectorySetting -Id $Settings. Id -DirectorySetting $Settings

Prüfen Sie noch einmal bei

(Get-AzureADDirectorySetting).Values

Wenn Sie dies später rückgängig machen und allen erneut die Möglichkeit geben möchten, Gruppen zu erstellen, führen Sie einfach Folgendes aus:

$Settings = Get-AzureADDirectorySetting -Id (Get-AzureADDirectorySetting | Where-Object -Property DisplayName -Value "Group. Unified" -EQ).id $Settings["EnableGroupCreation"] = $True $Settings["GroupCreationAllowedGroupId"] = $null Set-AzureADDirectorySetting -Id $Settings. Id -DirectorySetting $Settings

Testen Sie nun, indem Sie sich als normaler Benutzer in Teams oder Outlook anmelden und prüfen, ob die Schaltfläche „Gruppe erstellen“ deaktiviert ist. Wenn alles korrekt eingestellt ist, können Benutzer nur bestehenden Gruppen beitreten, aber keine neuen erstellen.

Wenn Sie mit PowerShell nicht vertraut sind oder eine GUI-Option bevorzugen, sei darauf hingewiesen, dass die Festlegung von Berechtigungen im Azure-Portal für Gruppen und Teams ebenfalls hilfreich sein kann. Diese Methode ist jedoch der direkteste Weg, die Einschränkung global für alle Dienste durchzusetzen.

Methode 2: Durchführung über das Azure-Portal (falls zutreffend)

Microsoft scheint für solche Aufgaben PowerShell zu bevorzugen. Das Portal bietet einfach nicht die gleiche detaillierte Kontrolle über die Berechtigungen zur Gruppenerstellung. Trotzdem lohnt es sich, unter Azure Active Directory > Gruppen > Einstellungen nachzusehen, ob es dort eine Option für Gruppenrichtlinien in der Benutzeroberfläche gibt, da neuere Updates diese Funktionen manchmal enthalten.

Bei manchen Mandantenkonfigurationen finden Sie die Einstellung für „Berechtigungen zur Gruppenerstellung“ unter „ Externe Identitäten“ oder „Gruppeneinstellungen“. Falls vorhanden, passen Sie die Berechtigungen entsprechend an, um die Gruppenerstellung einzuschränken oder zuzulassen. Beachten Sie jedoch: Die detaillierte Steuerung erfolgt in der Regel über PowerShell.