网站搜索
掌握 Microsoft Azure：释放 PowerShell 的强大功能以实现无缝云管理
掌握在 Microsoft Azure 中使用 PowerShell 的 7 个步骤
作为一名软件工程师，您可能使用过 PowerShell，这是一种强大且多功能的 Windows 脚本语言。但您是否考虑过*在 Microsoft Azure 中使用 PowerShell* 的可能性？想象一下，通过将这种多功能命令行 shell 的功能与 Azure 的云计算能力相结合，可以释放出无限的潜力。
为了帮助您轻松整合这两个世界，我将引导您完成一个现实生活场景。将您自己想象为一名 IT 管理员，负责管理不断扩展的服务器、应用程序和基础设施网络。借助*Azure PowerShell*的高级功能，您可以简化这些复杂的任务，并将其转变为一个有凝聚力的高效工作流程。
按照以下 7 个步骤，成为在 Microsoft Azure 中使用 PowerShell 的真正大师：
1. 安装并设置 Azure PowerShell
在我们深入探讨 PowerShell 和 Azure 的激动人心的世界之前，请确保您的计算机上安装了必要的工具。首先，通过运行以下命令安装*Azure PowerShell 模块*：
阅读更多 →如何将 Azure B2B 来宾用户转换为成员，同时保持用户协作
今天的挑战
跨租户迁移和集成项目越来越多地使用 Azure B2B 来宾用户作为 Microsoft 企业对企业 (B2B) 帐户功能的一部分，以便在迁移项目的共存阶段提供更丰富的协作体验。
在并购 (M&A) 活动期间，企业组织将分配一些用户作为 B2B 访客帐户，以便两个组织的团队可以在业务和技术集成期间共享和管理信息。
在这些活动期间，管理员或内部用户将邀请被收购组织中的不同人员参与讨论、安排会议并共享来自 Microsoft Teams、Groups 和 SharePoint 网站的数据。这些现在在其目录中拥有 B2B 来宾帐户的外部用户最终需要迁移。但在此之前，需要许可证才能在 SharePoint 中创建邮箱和 OneDrive 容器，然后才能迁移任何数据。
这对于 B2B 来宾帐户来说是一个问题，因为它们无法识别已获得许可，并且无法在 Exchange Online 中拥有邮箱。 可以删除来宾帐户，并创建一个新帐户并获得许可，但之前分配给文件和共享资源的所有权限都将丢失，这会导致电子邮件回复能力和缓存身份的其他问题。如果重新创建帐户，如果最终用户想要继续与收购组织中的团队成员协作，他们将被迫管理两组凭据，直到完全迁移为
阅读更多 →Microsoft 强制从 Azure AD Cmdlet 迁移到许可证管理
部分 Cmdlet 将于 2022 年停止工作
有时，即使在科技领域，幸运的机缘也会爆发。在我关于使用 Microsoft Graph 管理 Office 365 租户（在线提供）的 TEC 2021 会议上讨论 Microsoft Graph PowerShell SDK 时，情况就是如此。组织团队提前录制了 TEC 会议，以确保会议顺利进行，因此我无法使用当 Microsoft 宣布用于许可证管理的 Azure AD cmdlet 将在 2022 年 6 月 30 日停止工作时落在我腿上的示例。（ 2022 年 3 月 15 日更新：Microsoft 已将停用日期推迟至 2022 年 8 月 26 日）。
这是 Microsoft 在 6 月份就 Azure AD Graph 的未来进行的预告的后续内容。简而言之，Azure AD Graph 是一个独立于 Microsoft Graph 的旧组件，即将停用。依赖于 Azure AD Graph 的 Azure AD 和 Microsoft Online Services 模块将于 2022 年进入不受支持状态。模块中的大多数 cmdlet 将继续工作，但许可证管理 cmdlet 将在 2022 年 6 月 30 日停
阅读更多 →使用 Azure 自动化通过 PowerShell 处理 Exchange Online 数据
Runbook 在某些情况下很有用
更新：这篇标语现在有点过时了。 Azure 自动化不再支持 RunAs 帐户，并且 Exchange Online 管理 PowerShell 模块现在支持托管标识。
Practical365.com 文章通常包含 PowerShell 代码，以说明使用 Microsoft 365 数据来自动执行常见管理操作的原理。有时，读者会询问是否可以将代码与 Azure 自动化 Runbook 一起使用。对于顾问的经典回答，我的回答是“视情况而定”。依赖项包括代码的用途、涉及的 PowerShell 模块以及脚本是否是交互式的。 Sean McAvinue 在他的文章中介绍了有关在 Exchange Online 传输规则中实施定时免责声明的基础知识，但我想完成该过程并记录如何创建 Azure 自动化帐户和一些运行手册。这是我的发现。
更新：请参阅本文，了解有关将 Exchange Online 与 Azure 自动化和托管标识结合使用的详细信息。
Azure 自动化帐户的作用
Azure 自动化是使用虚拟机运行工作的功能。要使用 A
阅读更多 →将适用于 PowerShell 的 Microsoft Graph SDK 与 Azure 自动化结合使用
从操作手册到电子邮件
在上一篇有关将 Azure 自动化帐户和 Runbook 与 Exchange Online 管理 PowerShell 模块一起使用的文章中，我还解释了如何在 Runbook 中执行的 PowerShell 脚本中使用图形 API 查询。自然的后续问题是询问 Microsoft Graph PowerShell SDK 是否支持 Runbook。我可以报告说，该 SDK 可以使用基于证书的身份验证或托管标识与 Azure 自动化一起使用。当然，一个简单的陈述可能隐藏着一堆复杂性，所以让我们来探讨一下细节。
作为可能性的实际示例，在本文中，我将转换脚本以将电子邮件发送到此处描述的新邮箱，以便在 Runbook 中执行。
Azure 自动化设置
正如上一篇文章中所讨论的，我们将使用 Azure 自动化帐户（与 Azure 订阅绑定）在沙箱服务器上运行脚本。 Azure 自动化支持托管标识，我将在以后的文章中深入探讨该主题。目前，经过尝试和测试的技术可以完成这项工作。
更新：Azure 自动化不再支持 Runbook 帐户。请改用托管身份。请参阅本文了解更多信息。
阅读更多 →Microsoft将对Azure AD Graph API的支持延长六个月
Azure AD 和 MSOL PowerShell 模块获得扩展
微软已将日期推迟到 2022 年底，这反映出客户对 Azure AD Graph API 即将于 2022 年 6 月 30 日弃用的前景感到不安。有趣的是，微软表示，多年来 Microsoft 365 内部的变更管理一直是一个问题，“我们从客户那里得知，管理这些变更变得越来越困难，因此从今天开始，我们正在简化 Azure AD 的变更管理。” 很高兴 Azure AD 团队现在意识到了这个问题。
公平地说，微软在 2020 年 6 月首次宣布打算终止对 Azure AD Graph API 的支持。不幸的是，其他压力（例如 Microsoft 365 中的更改数量）不可避免地意味着人们并没有给予太多关注。也许是因为很少有人了解 Azure AD Graph API 是 Azure AD 和 Microsoft Online Services (MSOL) PowerShell 模块的技术基础。
Graph SDK 是前进的方向
进一步的指导于 2021 年 6 月发布，当时 Microsoft 确认 Microsoft
阅读更多 →将 Azure 自动化托管标识与 Exchange Online 结合使用
Exchange Online 和 Azure 自动化
更新于 2024 年 2 月 15 日
在上一篇文章中，我探讨了如何将 Microsoft Teams 和 Microsoft Graph PowerShell SDK 模块与 Azure 自动化托管标识结合使用。当时，我注意到 Exchange Online 不支持托管身份。当 Microsoft 发布 Exchange Online Management 模块 V3.0 并提供对托管标识的支持时，这个问题就消失了。使用托管标识连接到 Exchange Online 需要指定要连接的组织，仅此而已。
属于托管标识的服务主体需要执行 Exchange Online 管理操作的权限。我确实注意到，无法使用 New-UnifiedGroup cmdlet 创建新的 Microsoft 365 组。这可能是暂时的故障，或者此 cmdlet 可能尚无法使用托管标识。
更新：始终使用
阅读更多 →使用 Azure 自动化检测和报告 Microsoft 365 审核事件
检测和报告重要审计事件
对于那些担心 Exchange 安全的人来说，这是一段忙碌的时光。在本地方面，两个新的零日漏洞的出现再次令人不快地提醒人们，当攻击者找到新方法来渗透管理良好的服务器时，互联网上潜伏着危险。管理不善的本地服务器很容易成为坏人的目标，而且此类服务器仍然有太多。
由于为保护 Microsoft 365 而设置的障碍，Exchange Online 通常不会受到此类攻击。但是，正如我们之前介绍的，受损的 Azure AD 管理员帐户可能会导致攻击者劫持租户中的 Exchange Online。 Microsoft 安全副总裁 Alex Weinert 所说的使用 MFA 保护所有 Azure AD 帐户的重要性对于拥有受感染租户的人来说一定具有特殊意义。
所有这些让我想起了 Microsoft 网络安全团队 (DART) 撰写的一篇文章，他们在其中审查了调查取证信息的重要来源。 DART 喜欢查看 Azure AD 审核日志、Azure AD 登录和 Office 365 审核日志（也称为统一审核日志）以查找恶意活动的痕迹。这引发了撰写有关如何使用 Exchange Online 管理模块 (V3) 中对托管标识的新支持来检查可能揭示问题的审核事件的想法。那么我们
阅读更多 →使用 Azure 自动化创建自己的自适应保留策略
通过 DIY 自适应保留策略避免高端许可证
在我上一篇介绍 Microsoft 365 保留策略的自适应范围的文章中，我介绍了如何使用 Azure AD 自定义属性来识别用于保留处理的帐户集。除了花费太长时间来评估和报告范围查询找到的帐户集之外，自适应范围运行良好，并且是确保 Microsoft Purview 保留处理自动应用于特定帐户集而无需管理员持续更新的好方法。
自适应范围的缺点是需要 Office 365 E5 或 Microsoft 365 E5 合规性许可证。微软非常希望最大化其云用户群产生的收入，这可能是 Office 365 用户增长放缓的结果。结果是，任何包含自动处理的功能，尤其是在合规性领域，通常都需要高端许可证。
静态保留策略
具有静态范围的 Microsoft 365 保留策略可供 Office 365 E3 租户使用。静态范围意味着管理员负责管理策略处理的位置集。位置可以是邮箱、网站、组、团队或 OneDrive 帐户。
有时，不需要管理，例如保留策略适用于某种类型的所有位置（例如所有邮箱或所有站点）。在其他情况下，确保策略中指定的静态位置集准确可能需要付出相当大的努
阅读更多 →将 RBAC 用于具有 Azure 自动化托管标识的应用程序
将应用程序的 RBAC 扩展到托管身份
应用程序的 RBAC 是一种预览机制，用于控制 Azure AD 应用程序对 Exchange Online 邮箱的访问权限。 Exchange Online 管理 PowerShell 模块的 V3.0 支持使用 Azure 自动化托管标识进行身份验证。我喜欢使用托管标识来运行计划的 Exchange Online 脚本，并且使用应用程序的 RBAC 来确保用于托管标识的 Azure AD 应用程序应获得正确的授权来访问邮箱似乎很自然。
作为使用应用程序的 RBAC 来控制使用托管标识运行脚本的 Azure AD 应用程序的示例，我决定调整房间邮箱使用情况报告脚本。该脚本使用Calendars.Read Graph 权限来提取日历信息。这是 RBAC for applications 支持的权限之一，因此它似乎是演示主体的一个不错且实用的选择。调整为 Azure 自动化交互运行的脚本并不困难，但需要小心（这里有一些提示）。
Azure 身份验证是一项显着差异。以下是改编后的代码如何获取托管身份的访问令牌并使用它连接到 Exchange Online：
# Connect to Microsof 阅读更多 →