网站搜索

如何在 Microsoft Entra ID 中设置组命名策略

你是否曾加入过一个团体，其名字如此令人困惑，以至于你怀疑它是否有任何目的？名字很有力量，就像你的名字让你在拥挤的房间里脱颖而出一样。在协作和连接至关重要的互联网时代，在 Microsoft 365 中命名组的方式具有难以置信的重要性。分配给 Microsoft 365 组的命名策略在塑造其身份和功能方面发挥着关键作用。

Entra ID 中的自助服务组管理允许用户创建和管理安全组和 Microsoft 365 组，这个问题变得更具挑战性。为了解决这些问题，Microsoft 365提供了一个解决方案——Microsoft Entra ID中的组命名策略。

在这篇博文中，我们将探讨什么是组命名策略以及在组织中实施它的重要性。该博客涵盖以下内容，

  1. Microsoft 365 中的组命名策略是什么？
  2. Microsoft 365 中的组命名策略功能
  3. 如何在 Microsoft Entra ID 中设置组命名策略
  4. 使用 Azure AD PowerShell 配置组命名策略
  5. 跨 Microsoft 365 应用的组命名策略体验

什么是 Microsoft 365 中的组命名策略？

组命名策略在创建或编辑组名称时应用，特别是针对 Outlook、Microsoft Teams、SharePoint、Planner、Viva Engage 等服务中的 Microsoft 365 组。它适用于组名称和组别名。但请务必注意，此策略不会影响 Exchange Online 中的通讯组 的命名。通过组命名策略，您可以

  • 根据组织需求了解小组的职能、成员资格、位置或所有权。
  • 对全局地址列表 [GAL] 中的组进行分类。
  • 阻止在群组名称和别名中使用攻击性词语。
  • 阻止在 Microsoft 365 组中使用业务术语、部门名称和客户/供应商/竞争对手名称。

重要提示：如果您已有 Exchange 组命名策略并在 Microsoft Entra ID 中设置了组命名策略，则 Microsoft Entra ID 策略将在您的 Exchange 中强制执行。组织。注意到政策之间的这种相互作用至关重要。

Microsoft Entra ID 中组命名策略的先决条件

要在 Microsoft 365 中配置组命名策略，用户（包括来宾）需要 Microsoft Entra ID P1 或 Microsoft Entra Basic EDU 许可证。创建命名策略的管理员还必须满足此许可要求。此外，设置组命名策略需要具有以下角色之一：全局管理员、组管理员或目录编写者。

Microsoft 365 中的组命名策略功能

在 Microsoft Entra ID 中，您可以通过两种方法实施组命名策略：

  1. 前缀后缀命名策略
  2. 自定义屏蔽词

1.前缀-后缀组命名策略

前缀和后缀在组命名策略中具有多种用途。它们在创建时会自动添加到组名称中。

示例：Japan_Group Name_QualityCheck，其中“Japan”是前缀，“QualityCheck”是后缀。

注意：可以定义多个前缀和后缀实例，但只允许定义一个 [GroupName] 实例。此外，组名称允许的总字符数为63，包括所有前缀和后缀。

前缀和后缀中的固定字符串和用户属性：

前缀和后缀可以是固定字符串或用户属性。固定字符串直接在命名约定中强制执行。使用固定字符串快速扫描和区分全局地址列表中的组以及组工作负载的左侧导航链接。例如，使用‘Grp_Name’或‘#Name’等常见前缀。”

用户属性有助于识别为其创建组的部门、办公室或地理位置。例如，如果 PrefixSuffixNamingRequirement 设置为“GRP”[GroupName] [Department] 并且用户的部门是 Content，则强制的组名称将为“GRP GroupName Content”。

前缀和后缀中的特殊字符：

前缀和后缀可以包含特殊字符，组名称和组别名均受支持。组别名中不受支持的字符仍会应用于组名称中，但会从别名中删除。这可能会导致应用于组名称和组别名的前缀/后缀之间存在差异。

2.自定义阻止的单词

当用户创建具有敏感首字母缩略词的组以便快速识别时，会带来安全风险。在这种情况下，微软的自定义屏蔽词功能就派上用场了。此阻止的单词列表是用逗号分隔的短语汇编，限制组名称和别名中的敏感术语。这可以防止有风险的缩写词并最大限度地减少无意的信息泄露。

在处理 Microsoft 365 组命名策略中的自定义阻止单词时，请务必注意一些关键注意事项：

  • 不执行子字符串搜索，即使相似的术语（例如“lass”）被阻止，用户也可以使用常用单词（例如“Class”）。
  • 如果组名称与自定义阻止词完全匹配，则使用该特定名称创建组将失败。
  • 阻止的单词不区分大小写。
  • 如果用户尝试输入被阻止的单词作为组名称的一部分，则会收到错误消息。
  • 阻止的单词没有任何字符限制。
  • 阻止的单词列表的上限为 5000 个短语。

注意：某些管理员角色（例如全局管理员和用户管理员）不受所有工作负载和端点的组命名策略的约束。这允许他们使用自己喜欢的名称创建组，即使其中包含被阻止的单词。

如何在 Microsoft Entra ID 中设置组命名策略？

Azure AD 中的组命名策略提供了对组织内创建的组类型的增强控制。现在，让我们看看如何在 Microsoft Entra ID 中配置组命名策略。

  1. 使用最低组管理员权限登录 Microsoft 365 Entra 管理中心（以前称为 Azure Active Directory）。
  2. 导航至“Microsoft Entra ID”（以前称为身份）部分。
  3. 找到“组”并选择“所有组”。在“设置”下， 点击“命名策略”。

添加前缀-后缀命名策略：

  1. 导航到“命名策略页面”中的组命名策略选项卡。
  2. 使用固定字符串或用户属性添加或查看群组名称的前缀和后缀。
  3. 要删除前缀或后缀，请选择该项目，然后选择“删除”。您可以同时删除多个项目。
  4. 单击“保存”按钮，将组命名策略保存在 Microsoft Entra ID 中。

下载自定义阻止的单词：

  1. 导航至“命名策略”页面并转至“阻止的单词”选项卡。
  2. 选择“下载”查看现有的自定义阻止单词列表。您还可以向列表中添加新条目，但请注意 5000 字的限制。自定义阻止的单词不区分大小写的性质可能会迅速填满空间。
  3. 通过选择文件图标上传更新的自定义阻止单词列表，然后单击“保存”以应用更改。

注意：要删除已创建的组命名策略，请使用“命名策略页面”中的“删除策略”选项。确认删除将删除该策略以及任何前缀后缀设置和自定义阻止的单词。 ”。

使用 Azure AD PowerShell 配置组命名策略

尽管用户界面 (UI) 方法简化了流程，但事实证明 PowerShell 对于重复性任务具有无价的价值。让我们探讨如何使用 PowerShell 配置组命名策略。

  1. 安装 AzureADPreview PowerShell 模块
  2. 查看当前命名策略设置
  3. 设置组命名策略并分配自定义阻止的单词
  4. 导出或导入自定义阻止的字词
  5. 删除组命名政策

1.安装 AzureADPreview PowerShell 模块

为了配置 Microsoft 365 组命名策略，我们使用 AzureADPreview 模块。请注意，该模块处于预览阶段，可能无法得到完全支持。

  1. 使用管理员权限启动 Windows PowerShell 应用程序。

  2. 继续之前，请确保卸载任何以前版本的 AzureADPreview 或 Azure AD。您可以使用以下 cmdlet 进行卸载：
    PowerShell

    Uninstall-Module AzureADPreview
(Or)
Uninstall-Module AzureAD

  3. 现在，通过执行以下 cmdlet 安装最新版本的 AzureADPreview。您可能会收到有关访问不受信任的存储库的提示。回答“Y”。安装过程可能需要几分钟时间。
    PowerShell

    Install-Module AzureADPreview

  4. 接下来，您需要执行以下操作来导入模块并使用提供的 cmdlet 建立与 Azure AD 的连接：
    PowerShell

    Import-Module AzureADPreview  
Connect-AzureAD

执行 cmdlet 后，您将看到“登录您的帐户”屏幕。在这里，您应该输入您的凭据并继续登录过程。

2. 查看当前组命名策略设置

  1. 执行提供的 cmdlet 以检索组织中当前的组命名策略设置。
    PowerShell

    $Setting = Get-AzureADDirectorySetting -Id (Get-AzureADDirectorySetting | where -Property DisplayName -Value "Group.Unified" -EQ).id 
$Setting.Values

3.设置组命名策略并分配自定义阻止的单词

  1. 现在所有必要的准备工作都已完成，请使用提供的 cmdlet 在 Microsoft 365 中设置组命名策略。包括组名称前缀和后缀，确保 [GroupName] 是正确功能设置的一部分。
    PowerShell

    $Setting["PrefixSuffixNamingRequirement"] =“GRP_[GroupName]_[Department]"

  2. 使用提供的 cmdlet 配置自定义阻止的单词以进行限制。提供的示例演示了如何添加您喜欢的自定义单词。 $Setting[“CustomBlockedWordsList”]=“薪资、CEO、HR”
    PowerShell

    $Setting["CustomBlockedWordsList"]="Payroll,CEO,HR"

  3. 通过执行“Set-AzureADDirectorySetting”PowerShell cmdlet 保存更新的组命名策略以使其生效。
    PowerShell

    Set-AzureADDirectorySetting -Id (Get-AzureADDirectorySetting | where -Property DisplayName -Value "Group.Unified" -EQ).id -DirectorySetting $Setting

4.在 Microsoft 365 组命名策略中导出或导入自定义阻止的单词

  1. 要导出阻止的单词列表，请使用以下 PowerShell 脚本：
    PowerShell

    $Words = (Get-AzureADDirectorySetting).Values | Where-Object -Property Name -Value CustomBlockedWordsList -EQ 
Add-Content "c:\work\currentblockedwordslist.txt" -Value $words.value.Split(",").Replace("`"","")
    • 在此示例中，我们将阻止的单词列表导出到“customblockedwords.txt”文件中。确保在运行脚本之前在脚本中提及您方便的文件。

  2. 利用此 PowerShell 脚本导入各种被阻止的单词。
    PowerShell

    $BlockedWords = Get-Content "C:\work\currentblockedwordslist.txt"
$BlockedWords = [string]::join(",", $BlockedWords)
$Settings = Get-AzureADDirectorySetting | Where-Object {$_.DisplayName -eq "Group.Unified"} 
if ($Settings.Count -eq 0)
   {$Template = Get-AzureADDirectorySettingTemplate | Where-Object {$_.DisplayName -eq "Group.Unified"} 
   $Settings = $Template.CreateDirectorySetting()
   New-AzureADDirectorySetting -DirectorySetting $Settings
   $Settings = Get-AzureADDirectorySetting | Where-Object {$_.DisplayName -eq "Group.Unified"}}
$Settings["CustomBlockedWordsList"] = $BlockedWords
Set-AzureADDirectorySetting -Id $Settings.Id -DirectorySetting $Settings

5.使用 Azure AD PowerShell 删除组命名策略

使用以下步骤通过 Azure AD PowerShell 删除 Microsoft 365 中的组命名策略。

  1. 清除组名称前缀和后缀。
    PowerShell

    $Setting["PrefixSuffixNamingRequirement"] =""

  2. 清空自定义阻止的单词列表。
    PowerShell

    $Setting["CustomBlockedWordsList"]=""

  3. 保存更新的组命名策略设置。
    PowerShell

    Set-AzureADDirectorySetting -Id (Get-AzureADDirectorySetting | where -Property DisplayName -Value "Group.Unified" -EQ).id -DirectorySetting $Setting

跨 Microsoft 365 应用的组命名策略体验

Microsoft 365 Apps

合规

  • Azure portal and the Access Panel portal
  • Outlook Web Access (OWA)
  • Microsoft Teams
  • SharePoint
  • Microsoft Stream
  • Planner
  • Dynamics 365 for Customer Engagement

对于这些工作负载，当用户在创建或编辑组时输入组名称时，组命名策略就会生效。

如果用户输入自定义屏蔽词，则会显示错误消息，指示屏蔽词并提示用户将其删除。

  • Exchange PowerShell
  • Azure Active Directory PowerShell cmdlets
  • Exchange admin center

相应的工作负载符合组命名策略。

在不遵循组名称和别名中的命名约定的情况下，用户会收到带有建议前缀/后缀以及自定义阻止单词的相关错误消息。

  • Project for the web
  • Power BI

相应的平台符合组命名策略。

  • Outlook Desktop
  • Outlook iOS and Android App
  • Groups mobile app
  • Microsoft 365 admin center

关联平台符合组命名策略。

工作负载当前不显示强制命名策略名称的预览，并且当用户输入组名称时不显示自定义阻止的单词错误。

尽管如此，命名策略会在组创建或编辑期间自动应用，并且如果组名称或别名中存在自定义阻止的单词，用户会收到错误消息。

  • School Date Sync (SDS)

虽然 SDS 符合组命名策略，但它不会自动应用。

SDS 管理员必须在将类名称上传到 SDS 之前手动添加前缀和后缀，以确保组创建或编辑成功；否则，该过程将失败。

  • Classroom app

课堂应用程序符合命名政策，但不会自动应用。输入教室群组名称的用户将看不到命名策略预览。

用户需要手动输入强制的教室群组名称以及前缀和后缀才能成功创建或编辑群组；否则会出现错误。

  • Yammer

当用户使用其 MS Entra 帐户登录 Yammer (Viva Engage) 时，组创建或名称编辑可确保符合命名策略，适用于 Microsoft 365 连接的组和其他 Yammer 组。

对于在命名策略实施之前创建的 Microsoft 365 连接组，不会发生自动调整。编辑会提示用户手动添加所需的前缀和后缀。

  • Staff Hub

StaffHub 团队不遵守组命名策略，而底层 Microsoft 365 组则遵守。

StaffHub 团队名称缺少前缀、后缀和自定义阻止的单词检查。

但是，StaffHub 确实应用了必要的前缀和后缀，并从基础 Microsoft 365 组中删除了被阻止的单词。

确保无缝的 Microsoft 365 组管理不仅仅是建立命名约定。虽然我们已经探索了命名约定的方法，但使用 PowerShell 监控这些组会带来挑战，因为它需要投入大量时间。这就是 AdminDroid Microsoft 365 Reporter 发挥作用的地方 - 一种节省时间的解决方案，可以整齐地组织组、提供富有洞察力的报告并进行组管理一阵微风。

使用 AdminDroid 的免费报告简化您的 Microsoft 365 组监控！

AdminDroid 的 Azure AD 报告工具提供组织内所有群组活动的详细视图。特别是，该工具提供的 Microsoft 365 组报告包含广泛的数据，包括组成员、嵌套组、安全组、通讯组、启用邮件的组群组、云群组、同步群组等，免费！通过提供组织群组动态的整体可视化，AdminDroid 有助于有效监控 Microsoft 365 群组使用情况并增强整体群组管理。

此外，AdminDroid 的免费 Azure AD 审核工具简化了群组指标的审核，例如群组所有者变更、隐藏成员资格、使用趋势、群组操作等，舒适。此外，凭借其120 多个免费 Azure AD 报告，AdminDroid 可以促进高效的 Azure AD 管理。

AdminDroid 是 Microsoft 365 报告和审核的重要一体化解决方案。拥有1800多个专用报告和30多个智能仪表板,它涵盖了 Exchange Online、SharePoint Online、OneDrive、MS Teams、Viva Engage、Power BI 和 Stream 等关键服务。另外，请体验 AdminDroid 的功能：实时警报、高级调度、 精细的访问授权，以及微调筛选器以实现无缝的 Microsoft 365 管理。

不要错过！立即点击下载按钮，获取 15 天免费试用版。 亲眼目睹AdminDroid如何转变和简化您的 Microsoft 365 管理。

总之，在 Microsoft Entra ID 中建立组命名策略对于高效的 Microsoft 365 组管理至关重要。本博客详细介绍了如何在 Microsoft Entra ID 中设置组命名策略，帮助管理员使组名称与组织标准保持一致。此外，如果您想自动设置组命名策略，可以使用Microsoft365DSC的“自动化”功能，这可以节省您的时间和精力。

此外，实施组命名策略和组过期策略对于维护 Microsoft 365 内的秩序至关重要。此外，利用预构建的 PowerShell 密切关注您的组用于导出 Microsoft 365 组报告的脚本。如果有任何进一步的问题或澄清，请随时在评论部分联系。

相关文章