管理哪些人可以建立Office 365組

部落格地址：http://blog.csdn.net/FoxDave

由於對使用者來說，建立Office 365組是相當容易的，所以我們不會被淹沒在代替其他人建立組的請求當中。然而基於我們的業務需求，我們可能會想要控制哪些人才可以建立組。

本文主要闡述如何在使用使用者組的所有Office 365服務中禁用建立組的能力：

• Outlook
• SharePoint
• Yammer
• Microsoft Teams: 管理員和普通使用者都不能建立團隊。
• StaffHub: 管理員和經理都不能建立團隊。
• Planner: 使用者不能在Planner的web應用程式和移動應用程式建立新的計劃。
• PowerBI

最好的方式是建立一個安全組，然後只有這個安全組中的人才可以在那些應用中建立Office 365組和團隊。本文會介紹這一系列的步驟。

控制哪些人可以建立Office 365組，我們使用Windows PowerShell去做。關於PowerShell的相關內容不再贅述了。

第一步：為需要建立Office 365組的使用者建立安全組

在組織中只有一個安全組可以用來控制誰能建立Office 365組。但是，我們可以通過巢狀其他安全組到該組的方式來變通實現通過多個安全組控制。例如我們可以將“允許組建立”這個安全組指定為控制許可權的安全組，然後將“Microsoft Planner Users”和“Exchange Online User”作為該組的成員。

1. 在Office 365管理中心，建立一個安全組型別的組，記住組的名稱，之後我們還要用到。
   
2. 新增使用者或其他的安全組到該組。

第二步：執行PowerShell命令

1. 以管理員身份執行Windows PowerShell。
2. 執行命令Import-Module AzureADPreview和Connect-AzureAD，在彈出的登入框中輸入我們的Office 365管理員賬戶密碼並點選登入。
3. 首先用命令Get-AzureADGroup -SearchString "<Name of your security group>"獲取我們在第一步中建立的安全組，由此我們可以得到獲取的安全組的ObjectID屬性，之後要用到它。
   
4. 執行命令$Template = Get-AzureADDirectorySettingTemplate | where {$_.DisplayName -eq 'Group.Unified'}
5. 執行命令$Setting = $Template.CreateDirectorySetting()
6. 執行命令New-AzureADDirectorySetting -DirectorySetting $Setting。如果碰到了如下圖的錯誤，直接跳到下一步。
   
7. 執行命令$Setting = Get-AzureADDirectorySetting -Id (Get-AzureADDirectorySetting | where -Property DisplayName -Value "Group.Unified" -EQ).id
8. 執行命令$Setting["EnableGroupCreation"] = $False
9. 執行命令$Setting["GroupCreationAllowedGroupId"] = (Get-AzureADGroup -SearchString "<Name of your security group>").objectid。注意對安全組的名稱進行替換。
10. Set-AzureADDirectorySetting -Id (Get-AzureADDirectorySetting | where -Property DisplayName -Value "Group.Unified" -EQ).id -DirectorySetting $Setting
11. 驗證我們的安全組能建立組，安全組外的其他人不能建立組，執行命令(Get-AzureADDirectorySetting).Values。顯示的結果為下圖的形式：
    

第三步：驗證是否正常工作

1. 用一個不在安全組的使用者登入Office 365。
2. 選擇Planner。
3. 在Planner中點選新建計劃。
4. 這時應該會收到一個資訊提示該使用者不能建立計劃。
   

移除指定使用者才能建立組的限制

如果想要取消以上我們所做的限制，執行命令$SettingId = Get-AzureADDirectorySetting -All $True | where-object {$_.DisplayName -eq "Group.Unified"} Remove-AzureADDirectorySetting –Id $SettingId.Id。