Elencare utenti, gruppi o dispositivi in un'unità amministrativa

In Microsoft Entra ID è possibile elencare gli utenti, i gruppi o i dispositivi nelle unità amministrative.

Prerequisiti

• Licenza Microsoft Entra ID P1 o P2 per ogni amministratore di unità amministrative
• Licenze gratuite di Microsoft Entra ID per i membri dell'unità amministrativa
• modulo Microsoft Graph PowerShell quando si usa PowerShell
• Consenso amministratore quando si usa Graph Explorer per l'API Microsoft Graph

Per altre informazioni, vedere Prerequisiti per l'uso di PowerShell o Graph Explorer.

Centro amministrazione

È possibile elencare gli utenti, i gruppi o i dispositivi nelle unità amministrative usando l'interfaccia di amministrazione di Microsoft Entra.

Elencare le unità amministrative per un singolo utente, gruppo o dispositivo

1. Accedi all'interfaccia di amministrazione di Microsoft Entra.

2. Accedere a Identity.

3. Passare a una delle opzioni seguenti:

   • Utenti>Tutti gli utenti
   • gruppi>Tutti i gruppi
   • Dispositivi>Tutti i dispositivi

4. Seleziona l'utente, il gruppo o il dispositivo di cui desideri elencare le unità amministrative.

5. Selezionare Unità amministrative per elencare tutte le unità amministrative in cui l'utente, il gruppo o il dispositivo è membro.

   

Elencare gli utenti, i gruppi o i dispositivi per una singola unità amministrativa

1. Accedi all'interfaccia di amministrazione di Microsoft Entra.

2. Navigare a Identità>Ruoli & amministratori>Unità amministrative.

3. Selezionare l'unità amministrativa per cui si vogliono elencare gli utenti, i gruppi o i dispositivi.

4. Selezionare una delle opzioni seguenti:

   • utenti
   • Gruppi
   • Dispositivi

   

Elencare i dispositivi per un'unità amministrativa usando la pagina Tutti i dispositivi

1. Accedi all'interfaccia di amministrazione di Microsoft Entra.

2. Accedere a Identità>Dispositivi>Tutti i dispositivi.

3. Selezionare il filtro per l'unità amministrativa.

4. Selezionare l'unità amministrativa di cui si desidera elencare i dispositivi.

   

Elencare le unità amministrative di gestione con restrizioni per un singolo utente o gruppo

1. Accedi all'interfaccia di amministrazione di Microsoft Entra.

2. Passare a Identity.

3. Passare a una delle opzioni seguenti:

   • Utenti>Tutti gli utenti
   • gruppi>Tutti i gruppi

4. Seleziona l'utente o il gruppo per visualizzare le loro unità amministrative di gestione con restrizioni.

5. Selezionare Unità amministrative per elencare tutte le unità amministrative in cui l'utente o il gruppo è membro.

6. Nella colonna gestione con restrizioni cercare le unità amministrative impostate su Sì.

   

PowerShell

Usare i comandi Get-MgDirectoryAdministrativeUnit e Get-MgDirectoryAdministrativeUnitMember per visualizzare l'elenco di utenti, gruppi o dispositivi di un'unità amministrativa.

Nota

Per impostazione predefinita, Get-MgDirectoryAdministrativeUnitMember restituisce solo i membri principali di un'unità amministrativa. Per recuperare tutti i membri, aggiungere il parametro -All:$true.

Elencare le unità amministrative per un utente

$userObj = Get-MgUser -Filter "UserPrincipalName eq 'bill@example.com'"
Get-MgDirectoryAdministrativeUnit | `
   where { Get-MgDirectoryAdministrativeUnitMember -AdministrativeUnitId $_.Id | `
   where {$_.Id -eq $userObj.Id} }

Elencare le unità amministrative per un gruppo

$groupObj = Get-MgGroup -Filter "DisplayName eq 'TestGroup'"
Get-MgDirectoryAdministrativeUnit | `
   where { Get-MgDirectoryAdministrativeUnitMember -AdministrativeUnitId $_.Id | `
   where {$_.Id -eq $groupObj.Id} }

Elencare le unità amministrative per un dispositivo

$deviceObj = Get-MgDevice -Filter "DisplayName eq 'Test device'"
Get-MgDirectoryAdministrativeUnit | `
   where { Get-MgDirectoryAdministrativeUnitMember -AdministrativeUnitId $_.Id | `
   where {$_.Id -eq $deviceObj.Id} }

Elencare utenti, gruppi e dispositivi per un'unità amministrativa

$adminUnitObj = Get-MgDirectoryAdministrativeUnit -Filter "DisplayName eq 'Test administrative unit 2'"
Get-MgDirectoryAdministrativeUnitMember -AdministrativeUnitId $adminUnitObj.Id

Elencare i gruppi per un'unità amministrativa

$adminUnitObj = Get-MgDirectoryAdministrativeUnit -Filter "DisplayName eq 'Test administrative unit 2'"
foreach ($member in (Get-MgDirectoryAdministrativeUnitMember -AdministrativeUnitId $adminUnitObj.Id)) 
{
    if($member.AdditionalProperties."@odata.type" -eq "#microsoft.graph.group")
    {
        Get-MgGroup -GroupId $member.Id
    }
}

Elencare i dispositivi per un'unità amministrativa

$adminUnitObj = Get-MgDirectoryAdministrativeUnit -Filter "DisplayName eq 'Test administrative unit 2'"
foreach ($member in (Get-MgDirectoryAdministrativeUnitMember -AdministrativeUnitId $adminUnitObj.Id)) 
{
    if($member.AdditionalProperties.ObjectType -eq "Device")
    {
        Get-MgDevice -DeviceId $member.Id
    }
}

Graph API

Elencare le unità amministrative per un utente

Usare l'utente List memberOf API per elencare le unità amministrative di cui un utente è membro diretto.

GET https://graph.microsoft.com/v1.0/users/{user-id}/memberOf/$/Microsoft.Graph.AdministrativeUnit

Elencare le unità amministrative per un gruppo

Usare il gruppo List memberOf API per elencare le unità amministrative di cui un gruppo è membro diretto.

GET https://graph.microsoft.com/v1.0/groups/{group-id}/memberOf/$/Microsoft.Graph.AdministrativeUnit

Elencare le unità amministrative per un dispositivo

Utilizzare l'API List device memberships per elencare le unità amministrative di cui un dispositivo è un membro diretto.

GET https://graph.microsoft.com/v1.0/devices/{device-id}/memberOf/$/Microsoft.Graph.AdministrativeUnit

Elencare gli utenti, i gruppi o i dispositivi per un'unità amministrativa

Utilizzare l'API List members per visualizzare un elenco di utenti, gruppi o dispositivi di un'unità amministrativa. Per il tipo di membro, specificare microsoft.graph.user, microsoft.graph.groupo microsoft.graph.device.

GET https://graph.microsoft.com/v1.0/directory/administrativeUnits/{admin-unit-id}/members/$/microsoft.graph.group

Elencare se un singolo utente si trova in un'unità amministrativa di gestione con restrizioni

Usare l'API di Ottenere un utente (beta) per determinare se un utente si trova in un'unità amministrativa di gestione con restrizioni. Esaminare il valore della proprietà isManagementRestricted. Se la proprietà è true, si trova in un'unità amministrativa di gestione limitata. Se la proprietà è false, vuota o nulla, non fa parte di un'unità amministrativa di gestione con restrizioni.

GET https://graph.microsoft.com/beta/users/{user-id}

Risposta

{ 
  "displayName": "John",
  "isManagementRestricted": true,
  "userPrincipalName": "john@contoso.com", 
}

Passaggi successivi

• Aggiungere utenti, gruppi o dispositivi a un'unità amministrativa
• Assegnare ruoli di Microsoft Entra con ambito definito da unità amministrativa