Microsoft 365 (Teams/Outlook) でユーザーが新しいグループを作成できないようにする方法

そのため、既定では、Azure テナント内のほぼすべてのユーザーが新しい Microsoft 365 グループを作成できます。つまり、Teams、共有メールボックス、SharePoint サイト、Yammer グループなど、それらのグループにリンクされているものは何でも作成できます。ユーザーが誤って (または意図的に) 新しいグループですべてを乱雑にすることにうんざりしている場合は、この記事が役立つかもしれません。ここでの主な目標は、グループ作成のアクセス許可を制限して、管理者など、少数のユーザーのみが新しいリソースを作成できるようにし、他のすべてのユーザーは既存のリソースに参加することです。特に相互接続されているサービスの数が多いため、100% 簡単ではありませんが、実行可能です。構成が完了すると、一般ユーザーは既存のグループへの参加のみが可能になり、新しいグループを作成できなくなるため、混乱が多少は抑えられると想定してください。ただし、これは細かいことを気にするものではなく、Teams だけでなく、すべての Microsoft 365 アプリでグループの作成をブロックすることを覚えておいてください。

Microsoft 365 でグループの作成を制限する方法 (AzureAD を使用)

方法1: PowerShellを使用してグループの作成をロックダウンする

まず、これがなぜ役立つのかをご説明します。基本的に、新しいグループを作成できるユーザーを制限します。なぜなら、ユーザーが「グループの作成」を無意識にクリックしてしまい、混乱を招くことがあるからです。これが適切に管理されていない場合、ガバナンスとセキュリティも複雑化する可能性があります。誰も監視していないと、機密情報を含むグループを追加したり、リソースプールを飽和させたりする可能性があります。そこで、PowerShellを使用することで、特定のユーザー（管理者グループなど）のみが新しいMicrosoft 365グループ（Teamsを含む）を作成できるように設定できます。設定によっては、この設定が初回で失敗するか、PowerShellの再起動や再接続が必要になる場合があります。これは、MSのモジュールが不安定なためです。

必要なものは次のとおりです。設定に必要なコマンドレットが含まれる AzureADPreview モジュールをインストールします。

Install-Module AzureADPreview -AllowClobber -Force

テナントに接続するには、次のコマンドを実行します。

Connect-AzureADまたは、直接スクリプトを記述する場合は、

AzureADPreview\Connect-AzureAD

管理者ログイン画面が表示されるので、適切な権限があることを確認してください。次に、グループを作成できる管理者をメンバーとするグループを作成します。

New-AzureADGroup -MailNickName "TeamsAdmins" -DisplayName "TeamsAdmins" -MailEnabled $false -SecurityEnabled $true -Description "Members can create new groups"

次に、管理者ユーザーをこのグループに追加します。管理者のメールアドレスが[email protected]だとします。以下のコマンドを実行してください。

$Group = "TeamsAdmins" $UserEmail = "[email protected]" $GroupObj = Get-AzureADGroup -SearchString $Group $UserObj = Get-AzureADUser -ObjectId $UserEmail Add-AzureADGroupMember -ObjectId $GroupObj. ObjectId -RefObjectId $UserObj. ObjectId

この手順は、特にObjectId行を正しく取得する必要があるため、少々面倒な場合があります。最悪の場合、Get-AzureADGroupコマンドとGet-AzureADUserコマンドを使用して、グループIDとユーザーIDを再確認してください。

次に、現在のグループ作成権限を確認します。

$settingsObjectID = (Get-AzureADDirectorySetting | Where-Object -Property DisplayName -Value "Group. Unified" -EQ).id (Get-AzureADDirectorySetting -Id $settingsObjectID).Values

EnableGroupCreationとを探してくださいGroupCreationAllowedGroupId。EnableGroupCreationがtrueで、特定のグループIDが設定されていない場合、誰でもグループを作成できます。これを制限するには、 をfalseに設定し、管理者グループを指定する必要がありますEnableGroupCreation。

$TemplateId = (Get-AzureADDirectorySettingTemplate | Where-Object { $_. DisplayName -eq "Group. Unified" }).Id $Template = Get-AzureADDirectorySettingTemplate -Id $TemplateId $Setting = $Template. CreateDirectorySetting() $Setting["EnableMIPLabels"] = "True" New-AzureADDirectorySetting -DirectorySetting $Setting

返される値が空であるか、エラーが発生する場合は、[こちら](https://learn.microsoft.com/en-us/azure/active-directory/enterprise-users/groups-settings-cmdlets) の公式ガイドを確認してください。AzureAD がデフォルトを処理する方法のため、テンプレートの作成と設定に関する手順は重要です。

設定が完了したら、グループの作成を管理者グループのみに制限するために、次の操作を実行します。

$Settings = Get-AzureADDirectorySetting -Id (Get-AzureADDirectorySetting | Where-Object -Property DisplayName -Value "Group. Unified" -EQ).id $Settings["EnableGroupCreation"] = $False $Settings["GroupCreationAllowedGroupId"] = (Get-AzureADGroup -SearchString "TeamsAdmins").ObjectId Set-AzureADDirectorySetting -Id $Settings. Id -DirectorySetting $Settings

再度ご確認ください

(Get-AzureADDirectorySetting).Values

後で元に戻して、全員が再度グループを作成できるようにしたい場合は、次のコマンドを実行します。

$Settings = Get-AzureADDirectorySetting -Id (Get-AzureADDirectorySetting | Where-Object -Property DisplayName -Value "Group. Unified" -EQ).id $Settings["EnableGroupCreation"] = $True $Settings["GroupCreationAllowedGroupId"] = $null Set-AzureADDirectorySetting -Id $Settings. Id -DirectorySetting $Settings

次に、Teams または Outlook に通常のユーザーとしてサインインし、「グループを作成」ボタンが無効になっているかどうかを確認します。すべてが正しく設定されていれば、既存のグループへの参加のみが可能で、新しいグループの作成はできません。

PowerShell に慣れていない場合や GUI オプションが必要な場合は、Azure ポータルでグループとチームのアクセス許可を設定することも役立つ可能性がありますが、この方法はすべてのサービスにわたって制限をグローバルに適用する最も直接的な方法です。

方法 2: Azure ポータル経由で実行する (該当する場合)

正直なところ、Microsoftはこうした用途にはPowerShellを好んでいるようです。ポータルではグループ作成権限を細かく制御できません。それでも、「Azure Active Directory >グループ>設定」でグループ作成ポリシーのUIオプションがあるかどうか確認してみる価値はあります。新しいアップデートにはこれらの機能が含まれている場合があるからです。

一部のテナント構成では、 「外部ID」または「グループ設定」の下に「グループ作成権限」の設定が表示される場合があります。この設定が表示されている場合は、グループ作成を制限または許可するように設定してください。ただし、多くの場合、詳細な制御はPowerShellで行われるため、ご注意ください。