Enumeración de usuarios, grupos o dispositivos en una unidad administrativa

En Microsoft Entra ID, puede enumerar los usuarios, grupos o dispositivos de las unidades administrativas.

Prerrequisitos

• Licencia P1 o P2 de Microsoft Entra ID para cada administrador de unidad administrativa
• Licencias gratuitas de Id. de Microsoft Entra para miembros de la unidad administrativa
• Módulo de Microsoft Graph para PowerShell al usar PowerShell
• Consentimiento del administrador al usar el Explorador de Graph para Microsoft Graph API

Para obtener más información, consulte Requisitos previos para usar PowerShell o el Explorador de Graph.

Puede enumerar los usuarios, grupos o dispositivos en unidades administrativas mediante el Centro de administración de Microsoft Entra.

Enumerar las unidades administrativas de un solo usuario, grupo o dispositivo

Sugerencia

Los pasos de este artículo pueden variar ligeramente en función del portal desde el que empiece.

1. Inicie sesión en el Centro de administración de Microsoft Entra.

2. Vaya a Identidad.

3. Vaya a una de las opciones siguientes:

   • Usuarios>Todos los usuarios
   • Grupos>Todos los grupos
   • Dispositivos >Todos los dispositivos

4. Seleccione el usuario, el grupo o el dispositivo que desea enumerar sus unidades administrativas.

5. Seleccione Unidades administrativas para enumerar todas las unidades administrativas en las que el usuario, el grupo o el dispositivo son miembros.

   

Enumerar los usuarios, grupos o dispositivos de una sola unidad administrativa

1. Inicie sesión en el Centro de administración de Microsoft Entra.

2. Vaya a Identity>Roles y administradores>Unidades de administración.

3. Seleccione la unidad administrativa para la que desea enumerar los usuarios, grupos o dispositivos.

4. Seleccione una de las siguientes opciones:

   • Usuarios
   • Grupos
   • Dispositivos

   

Enumeración de los dispositivos de una unidad administrativa mediante la página Todos los dispositivos

1. Inicie sesión en el Centro de administración de Microsoft Entra.

2. Vaya aIdentidad>Dispositivos>Todos los dispositivos.

3. Seleccione el filtro para la unidad administrativa.

4. Seleccione la unidad administrativa cuyos dispositivos desea enumerar.

   

Enumeración de las unidades administrativas de administración restringida para un único usuario o grupo

1. Inicie sesión en el Centro de administración de Microsoft Entra.

2. Vaya a Identidad.

3. Vaya a una de las opciones siguientes:

   • Usuarios>Todos los usuarios
   • Grupos>Todos los grupos

4. Seleccione el usuario o grupo que desea enumerar sus unidades administrativas de administración restringidas.

5. Seleccione Unidades administrativas para enumerar todas las unidades administrativas en las que el usuario o grupo es miembro.

6. En la columna Administración restringida, busque unidades administrativas que estén establecidas en Sí.

   

PowerShell

Utilice los comandos Get-MgDirectoryAdministrativeUnit y Get-MgDirectoryAdministrativeUnitMember para enumerar usuarios, grupos o dispositivos de una unidad administrativa.

Nota

De forma predeterminada, Get-MgDirectoryAdministrativeUnitMember devuelve solo los miembros principales de una unidad administrativa. Para recuperar todos los miembros, agregue el parámetro -All:$true.

Enumerar las unidades administrativas de un usuario

$userObj = Get-MgUser -Filter "UserPrincipalName eq 'bill@example.com'"
Get-MgDirectoryAdministrativeUnit | `
   where { Get-MgDirectoryAdministrativeUnitMember -AdministrativeUnitId $_.Id | `
   where {$_.Id -eq $userObj.Id} }

Enumeración de las unidades administrativas de un grupo

$groupObj = Get-MgGroup -Filter "DisplayName eq 'TestGroup'"
Get-MgDirectoryAdministrativeUnit | `
   where { Get-MgDirectoryAdministrativeUnitMember -AdministrativeUnitId $_.Id | `
   where {$_.Id -eq $groupObj.Id} }

Enumerar las unidades administrativas de un dispositivo

$deviceObj = Get-MgDevice -Filter "DisplayName eq 'Test device'"
Get-MgDirectoryAdministrativeUnit | `
   where { Get-MgDirectoryAdministrativeUnitMember -AdministrativeUnitId $_.Id | `
   where {$_.Id -eq $deviceObj.Id} }

Enumeración de los usuarios, grupos y dispositivos de una unidad administrativa

$adminUnitObj = Get-MgDirectoryAdministrativeUnit -Filter "DisplayName eq 'Test administrative unit 2'"
Get-MgDirectoryAdministrativeUnitMember -AdministrativeUnitId $adminUnitObj.Id

Enumeración de los grupos de una unidad administrativa

$adminUnitObj = Get-MgDirectoryAdministrativeUnit -Filter "DisplayName eq 'Test administrative unit 2'"
foreach ($member in (Get-MgDirectoryAdministrativeUnitMember -AdministrativeUnitId $adminUnitObj.Id)) 
{
    if($member.AdditionalProperties."@odata.type" -eq "#microsoft.graph.group")
    {
        Get-MgGroup -GroupId $member.Id
    }
}

Enumeración de los dispositivos de una unidad administrativa

$adminUnitObj = Get-MgDirectoryAdministrativeUnit -Filter "DisplayName eq 'Test administrative unit 2'"
foreach ($member in (Get-MgDirectoryAdministrativeUnitMember -AdministrativeUnitId $adminUnitObj.Id)) 
{
    if($member.AdditionalProperties.ObjectType -eq "Device")
    {
        Get-MgDevice -DeviceId $member.Id
    }
}

Graph API

Enumerar las unidades administrativas de un usuario

Utilice la API de usuario List memberOf para enumerar las unidades administrativas de las que un usuario es miembro directo.

GET https://graph.microsoft.com/v1.0/users/{user-id}/memberOf/$/Microsoft.Graph.AdministrativeUnit

Enumeración de las unidades administrativas de un grupo

Use el grupo List memberOf API para enumerar las unidades administrativas de las que es miembro directo un grupo.

GET https://graph.microsoft.com/v1.0/groups/{group-id}/memberOf/$/Microsoft.Graph.AdministrativeUnit

Enumerar las unidades administrativas de un dispositivo

Use la API Enumerar pertenencias a dispositivos para enumerar las unidades administrativas de las que un dispositivo es miembro directo.

GET https://graph.microsoft.com/v1.0/devices/{device-id}/memberOf/$/Microsoft.Graph.AdministrativeUnit

Enumerar los usuarios, grupos o dispositivos de una unidad administrativa

Use la API de Lista de miembros para enumerar los usuarios, grupos o dispositivos de una unidad administrativa. En tipo de miembro, especifique microsoft.graph.user, microsoft.graph.groupo microsoft.graph.device.

GET https://graph.microsoft.com/v1.0/directory/administrativeUnits/{admin-unit-id}/members/$/microsoft.graph.group

Enumerar si un solo usuario está en una unidad administrativa de administración restringida

Use la API Obtener un usuario (beta) para determinar si un usuario está en una unidad administrativa de administración restringida. Examine el valor de al propiedad isManagementRestricted. Si la propiedad es true, se encuentra en una unidad administrativa de gestión restringida. Si la propiedad es false, vacía o nula, no se encuentra en una unidad administrativa de administración restringida.

GET https://graph.microsoft.com/beta/users/{user-id}

Respuesta

{ 
  "displayName": "John",
  "isManagementRestricted": true,
  "userPrincipalName": "john@contoso.com", 
}

Pasos siguientes

• Agregar usuarios, grupos o dispositivos a una unidad administrativa
• Asignación de roles de Microsoft Entra con el ámbito de la unidad administrativa