使用 PowerShell 或 Microsoft Graph API 配置多租户组织

本文介绍使用 Microsoft Graph PowerShell 或 Microsoft Graph API 配置多租户组织的关键步骤。 本文使用名为“开罗”的示例所有者租户和名为“柏林”和“雅典”的两个成员租户。

如果希望使用 Microsoft 365 管理中心来配置多租户组织，请参阅在 Microsoft 365 中设置多租户组织和在 Microsoft 365 中加入或离开多租户组织。 要了解如何为多租户组织配置 Microsoft Teams，请参阅 Microsoft Teams 桌面客户端。

先决条件

所有者租户

• 有关许可证信息，请参阅许可证要求。
• 安全管理员角色，用于为多租户组织配置跨租户访问设置和模板。
• 用于同意所需权限的全局管理员角色。

成员租户

• 有关许可证信息，请参阅许可证要求。
• 安全管理员角色，用于为多租户组织配置跨租户访问设置和模板。
• 用于同意所需权限的全局管理员角色。

步骤 1：登录到所有者租户

所有者租户

PowerShell

1. 启动 PowerShell。

2. 如有必要，请安装 Microsoft Graph PowerShell SDK。

3. 获取所有者和成员租户的租户 ID 并初始化变量。

   $OwnerTenantId = "<OwnerTenantId>"
   $MemberTenantIdB = "<MemberTenantIdB>"
   $MemberTenantIdA = "<MemberTenantIdA>"
   

4. 使用 Connect-MgGraph 命令登录到所有者租户并同意以下所需权限。

   • MultiTenantOrganization.ReadWrite.All
   • Policy.Read.All
   • Policy.ReadWrite.CrossTenantAccess
   • Application.ReadWrite.All
   • Directory.ReadWrite.All

   Connect-MgGraph -TenantId $OwnerTenantId -Scopes "MultiTenantOrganization.ReadWrite.All","Policy.Read.All","Policy.ReadWrite.CrossTenantAccess","Application.ReadWrite.All","Directory.ReadWrite.All"
   

Microsoft Graph

这些步骤描述了如何使用 Microsoft Graph Explorer，但也可以使用其他 REST API 客户端。

1. 启动 Microsoft Graph 浏览器工具。

2. 登录到所有者租户。

3. 选择配置文件，然后选择“同意权限”。

4. 同意以下所需权限。

   • MultiTenantOrganization.ReadWrite.All
   • Policy.Read.All
   • Policy.ReadWrite.CrossTenantAccess
   • Application.ReadWrite.All
   • Directory.ReadWrite.All

步骤 2：创建多租户组织

所有者租户

PowerShell

1. 在所有者租户中，使用 Update-MgBetaTenantRelationshipMultiTenantOrganization 命令创建多租户组织。 此操作可能需要几分钟时间。

   Update-MgBetaTenantRelationshipMultiTenantOrganization -DisplayName "Cairo"
   

2. 使用 Get-MgBetaTenantRelationshipMultiTenantOrganization 命令检查操作是否已完成，然后再继续。

   Get-MgBetaTenantRelationshipMultiTenantOrganization | Format-List
   

   CreatedDateTime      : 1/8/2024 7:47:45 PM
   Description          :
   DisplayName          : Cairo
   Id                   : <MtoIdC>
   JoinRequest          : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphMultiTenantOrganizationJoinRequestRecord
   State                : active
   Tenants              :
   AdditionalProperties : {[@odata.context, https://graph.microsoft.com/beta/$metadata#tenantRelationships/multiTenantOrganization/$entity]}
   

Microsoft Graph

1. 在所有者租户中，使用创建 multiTenantOrganization API 创建多租户组织。 此操作可能需要几分钟时间。

   请求

   PUT https://graph.microsoft.com/beta/tenantRelationships/multiTenantOrganization
   {
       "displayName": "Cairo"
   }
   

2. 在继续操作之前，使用 Get multiTenantOrganization API 检查操作是否已完成。

   Request

   GET https://graph.microsoft.com/beta/tenantRelationships/multiTenantOrganization
   

   响应

   {
       "@odata.context": "https://graph.microsoft.com/beta/$metadata#tenantRelationships/multiTenantOrganization/$entity",
       "id": "{mtoId}",
       "createdDateTime": "2023-11-20T20:38:20Z",
       "state": "active",
       "displayName": "Cairo",
       "description": null
   }
   

步骤 3：添加租户

所有者租户

PowerShell

1. 在所有者租户中，使用 New-MgBetaTenantRelationshipMultiTenantOrganizationTenant 命令将租户添加到多租户组织。

   New-MgBetaTenantRelationshipMultiTenantOrganizationTenant -TenantID $MemberTenantIdB -DisplayName "Berlin" | Format-List
   

   New-MgBetaTenantRelationshipMultiTenantOrganizationTenant -TenantID $MemberTenantIdA -DisplayName "Athens" | Format-List
   

2. 使用 Get-MgBetaTenantRelationshipMultiTenantOrganizationTenant 命令验证操作是否已完成，然后再继续。

   Get-MgBetaTenantRelationshipMultiTenantOrganizationTenant | Format-List
   

   AddedByTenantId      : <OwnerTenantId>
   AddedDateTime        : 1/8/2024 7:47:45 PM
   DeletedDateTime      :
   DisplayName          : Cairo
   Id                   : <MtoIdC>
   JoinedDateTime       :
   Role                 : owner
   State                : active
   TenantId             : <OwnerTenantId>
   TransitionDetails    : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphMultiTenantOrganizationMemberTransitionDetails
   AdditionalProperties : {[multiTenantOrgLabelType, none]}
   
   AddedByTenantId      : <OwnerTenantId>
   AddedDateTime        : 1/8/2024 8:05:25 PM
   DeletedDateTime      :
   DisplayName          : Berlin
   Id                   : <MtoIdB>
   JoinedDateTime       :
   Role                 : member
   State                : pending
   TenantId             : <MemberTenantIdB>
   TransitionDetails    : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphMultiTenantOrganizationMemberTransitionDetails
   AdditionalProperties : {[multiTenantOrgLabelType, none]}
   
   AddedByTenantId      : <OwnerTenantId>
   AddedDateTime        : 1/8/2024 8:08:47 PM
   DeletedDateTime      :
   DisplayName          : Athens
   Id                   : <MtoIdA>
   JoinedDateTime       :
   Role                 : member
   State                : pending
   TenantId             : <MemberTenantIdA>
   TransitionDetails    : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphMultiTenantOrganizationMemberTransitionDetails
   AdditionalProperties : {[multiTenantOrgLabelType, none]}
   

Microsoft Graph

1. 在所有者租户中，使用添加 multiTenantOrganizationMember API 将租户添加到多租户组织。

   Request

   POST https://graph.microsoft.com/beta/tenantRelationships/multiTenantOrganization/tenants
   {
       "tenantId": "{memberTenantIdB}",
       "displayName": "Berlin"
   }
   

   请求

   POST https://graph.microsoft.com/beta/tenantRelationships/multiTenantOrganization/tenants
   {
       "tenantId": "{memberTenantIdA}",
       "displayName": "Athens"
   }
   

2. 在继续操作之前，使用“列出 multiTenantOrganizationMembers”API 验证操作是否已完成。

   请求

   GET https://graph.microsoft.com/beta/tenantRelationships/multiTenantOrganization/tenants
   

   响应

   {
       "@odata.context": "https://graph.microsoft.com/beta/$metadata#tenantRelationships/multiTenantOrganization/tenants"
       "value": [
           {
               "tenantId": "{ownerTenantId}",
               "displayName": "Cairo",
               "addedDateTime": "2023-11-20T20:38:20Z",
               "joinedDateTime": null,
               "addedByTenantId": "{ownerTenantId}",
               "role": "owner",
               "state": "active",
               "transitionDetails": null
           },
           {
               "tenantId": "{memberTenantIdB}",
               "displayName": "Berlin",
               "addedDateTime": "2023-11-20T21:22:35Z",
               "joinedDateTime": null,
               "addedByTenantId": "{ownerTenantId}",
               "role": "member",
               "state": "pending",
               "transitionDetails": {
                   "desiredState": "active",
                   "desiredRole": "member",
                   "status": "notStarted",
                   "details": null
               }
           },
           {
               "tenantId": "{memberTenantIdA}",
               "displayName": "Athens",
               "addedDateTime": "2023-11-20T21:24:59Z",
               "joinedDateTime": null,
               "addedByTenantId": "{ownerTenantId}",
               "role": "member",
               "state": "pending",
               "transitionDetails": {
                   "desiredState": "active",
                   "desiredRole": "member",
                   "status": "notStarted",
                   "details": null
               }
           }
       ]
   }
   

步骤 4：（可选）更改租户的角色

所有者租户

默认情况下，添加到多租户组织的租户是成员租户。 （可选）你可以将这些租户更改为所有者租户，从而允许他们向多租户组织添加其他租户。 你还可以将所有者租户更改为成员租户。

PowerShell

1. 在所有者租户中，使用 Update-MgBetaTenantRelationshipMultiTenantOrganizationTenant 命令将成员租户更改为所有者租户。

   Update-MgBetaTenantRelationshipMultiTenantOrganizationTenant -MultiTenantOrganizationMemberId $MemberTenantIdB -Role "Owner" | Format-List
   

2. 使用 Get-MgBetaTenantRelationshipMultiTenantOrganizationTenant 命令验证更改。

   Get-MgBetaTenantRelationshipMultiTenantOrganizationTenant -MultiTenantOrganizationMemberId $MemberTenantIdB | Format-List
   

   AddedByTenantId      : <OwnerTenantId>
   AddedDateTime        : 1/8/2024 8:05:25 PM
   DeletedDateTime      :
   DisplayName          : Berlin
   Id                   : <MtoIdB>
   JoinedDateTime       :
   Role                 : owner
   State                : pending
   TenantId             : <MemberTenantIdB>
   TransitionDetails    : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphMultiTenantOrganizationMemberTransitionDetails
   AdditionalProperties : {[@odata.context, https://graph.microsoft.com/beta/$metadata#tenantRelationships/multiTenantOrganization/tenants/$entity],
                          [multiTenantOrgLabelType, none]}
   

Microsoft Graph

1. 在所有者租户中，使用“更新 multiTenantOrganizationMember”API 将成员租户更改为所有者租户。

   Request

   PATCH https://graph.microsoft.com/beta/tenantRelationships/multiTenantOrganization/tenants/{memberTenantIdB}
   {
       "role": "owner"
   }
   

2. 使用“获取 multiTenantOrganizationMember”API 验证更改。

   Request

   GET https://graph.microsoft.com/beta/tenantRelationships/multiTenantOrganization/tenants/{memberTenantIdB}
   

   响应

   {
       "@odata.context": "https://graph.microsoft.com/beta/$metadata#tenantRelationships/multiTenantOrganization/tenants/$entity",
       "tenantId": "{memberTenantIdB}",
       "displayName": "Berlin",
       "addedDateTime": "2023-11-20T21:22:35Z",
       "joinedDateTime": null,
       "addedByTenantId": "{ownerTenantId}",
       "role": "member",
       "state": "pending",
       "transitionDetails": {
           "desiredState": "active",
           "desiredRole": "owner",
           "status": "notStarted",
           "details": null
       } 
   }
   

3. 使用“更新 multiTenantOrganizationMember”API 将所有者租户更改为成员租户。

   请求

   PATCH https://graph.microsoft.com/beta/tenantRelationships/multiTenantOrganization/tenants/{memberTenantIdB}
   {
       "role": "member"
   }
   

步骤 5：（可选）删除成员租户

所有者租户

可以删除任何成员租户，包括你自己的成员租户。 无法删除所有者租户。 此外，即使原始创建者租户已从所有者租户更改为成员租户，也无法删除该租户。

PowerShell

1. 在所有者租户中，使用 Remove-MgBetaTenantRelationshipMultiTenantOrganizationTenant 命令删除任何成员租户。 此操作需要几分钟才能完成。

   Remove-MgBetaTenantRelationshipMultiTenantOrganizationTenant -MultiTenantOrganizationMemberId <MemberTenantIdD>
   

2. 使用 Get-MgBetaTenantRelationshipMultiTenantOrganizationTenant 命令验证更改。

   Get-MgBetaTenantRelationshipMultiTenantOrganizationTenant -MultiTenantOrganizationMemberId <MemberTenantIdD>
   

   完成移除命令后，输出应与以下内容类似。 这是预期的错误消息。 它表示租户已从多租户组织中删除。

   Get-MgBetaTenantRelationshipMultiTenantOrganizationTenant_Get: Unable to read the company information from the directory.
   
   Status: 404 (NotFound)
   ErrorCode: Directory_ObjectNotFound
   Date: 2024-01-08T20:35:11
   
   ...
   

Microsoft Graph

1. 在所有者租户中，使用“删除 multiTenantOrganizationMember”API 删除任何成员租户。 此操作需要几分钟才能完成。

   请求

   DELETE https://graph.microsoft.com/beta/tenantRelationships/multiTenantOrganization/tenants/{memberTenantIdD}
   

2. 使用“获取 multiTenantOrganizationMember”API 验证更改。

   请求

   GET https://graph.microsoft.com/beta/tenantRelationships/multiTenantOrganization/tenants/{memberTenantIdD}
   

   如果在调用删除 API 后立即检查，它将显示类似于以下内容的响应。

   响应

   {
       "@odata.context": "https://graph.microsoft.com/beta/$metadata#tenantRelationships/multiTenantOrganization/tenants/$entity",
       "tenantId": "{memberTenantIdD}",
       "displayName": "Denver",
       "addedDateTime": "2023-11-20T20:56:05Z",
       "joinedDateTime": null,
       "addedByTenantId": "{ownerTenantId}",
       "role": "member",
       "state": "pending",
       "transitionDetails": {
           "desiredState": "removed",
           "desiredRole": "member",
           "status": "notStarted",
           "details": null
       }
   }
   

   删除操作完成后，响应如下所示。 这是预期的错误消息。 它表示租户已从多租户组织中删除。

   响应

   {
       "error": {
           "code": "Directory_ObjectNotFound",
           "message": "Unable to read the company information from the directory.",
           "innerError": {
               "date": "2023-11-20T21:09:53",
               "request-id": "75216961-c21d-49ed-8c1f-2cfe51f920f1",
               "client-request-id": "0000aaaa-11bb-cccc-dd22-eeeeee333333"
           }
       }
   }
   

步骤 6：登录到成员租户

成员租户

开罗租户创建了一个多租户组织，并添加了柏林和雅典租户。 在这些步骤中，你将登录到柏林租户并加入开罗创建的多租户组织。

PowerShell

1. 启动 PowerShell。

2. 使用 Connect-MgGraph 命令登录到成员租户并同意以下所需权限。

   • MultiTenantOrganization.ReadWrite.All
   • Policy.Read.All
   • Policy.ReadWrite.CrossTenantAccess
   • Application.ReadWrite.All
   • Directory.ReadWrite.All

   Connect-MgGraph -TenantId $MemberTenantIdB -Scopes "MultiTenantOrganization.ReadWrite.All","Policy.Read.All","Policy.ReadWrite.CrossTenantAccess","Application.ReadWrite.All","Directory.ReadWrite.All"
   

Microsoft Graph

1. 启动 Microsoft Graph 浏览器工具。

2. 登录到成员租户。

3. 选择配置文件，然后选择“同意权限”。

4. 同意以下所需权限。

   • MultiTenantOrganization.ReadWrite.All
   • Policy.Read.All
   • Policy.ReadWrite.CrossTenantAccess
   • Application.ReadWrite.All
   • Directory.ReadWrite.All

步骤 7：加入多租户组织

成员租户

PowerShell

1. 在成员租户中，使用 Update-MgBetaTenantRelationshipMultiTenantOrganizationJoinRequest 命令加入多租户组织。

   Update-MgBetaTenantRelationshipMultiTenantOrganizationJoinRequest -AddedByTenantId $OwnerTenantId | Format-List
   

2. 使用 Get-MgBetaTenantRelationshipMultiTenantOrganizationJoinRequest 命令验证联接。

   Get-MgBetaTenantRelationshipMultiTenantOrganizationJoinRequest | Format-List
   

   AddedByTenantId      : <OwnerTenantId>
   Id                   : <MtoJoinRequestIdB>
   MemberState          : active
   Role                 : member
   TransitionDetails    : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphMultiTenantOrganizationJoinRequestTransitionDetails
   AdditionalProperties : {[@odata.context, https://graph.microsoft.com/beta/$metadata#tenantRelationships/multiTenantOrganization/joinRequest/$entity]}
   

3. 使用 Get-MgBetaTenantRelationshipMultiTenantOrganizationTenant 命令检查多租户组织本身。 它应反映加入操作。

   Get-MgBetaTenantRelationshipMultiTenantOrganizationTenant | Format-List
   

   AddedByTenantId      : <OwnerTenantId>
   AddedDateTime        : 1/8/2024 8:05:25 PM
   DeletedDateTime      :
   DisplayName          : Berlin
   Id                   : <MtoJoinRequestIdB>
   JoinedDateTime       : 1/8/2024 9:53:55 PM
   Role                 : member
   State                : active
   TenantId             : <MemberTenantIdB>
   TransitionDetails    : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphMultiTenantOrganizationMemberTransitionDetails
   AdditionalProperties : {[multiTenantOrgLabelType, none]}
   
   AddedByTenantId      : <OwnerTenantId>
   AddedDateTime        : 1/8/2024 7:47:45 PM
   DeletedDateTime      :
   DisplayName          : Cairo
   Id                   : <Id>
   JoinedDateTime       :
   Role                 : owner
   State                : active
   TenantId             : <OwnerTenantId>
   TransitionDetails    : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphMultiTenantOrganizationMemberTransitionDetails
   AdditionalProperties : {[multiTenantOrgLabelType, none]}
   

4. 若要允许异步处理，请等待最多 2 小时，然后才能完成加入多租户组织。

Microsoft Graph

1. 在成员租户中，使用更新 multiTenantOrganizationJoinRequestRecord API 加入多租户组织。

   请求

   PATCH https://graph.microsoft.com/beta/tenantRelationships/multiTenantOrganization/joinRequest
   {
       "addedByTenantId": "{ownerTenantId}"
   }
   

2. 使用“获取 multiTenantOrganizationJoinRequestRecord”API 验证加入。

   请求

   GET https://graph.microsoft.com/beta/tenantRelationships/multiTenantOrganization/joinRequest
   

   此操作需要几分钟才能完成。 如果在调用 API 以加入后立即检查，则响应将类似于以下内容。

   响应

   {
       "@odata.context": "https://graph.microsoft.com/beta/$metadata#tenantRelationships/multiTenantOrganization/joinRequest/$entity",
       "id": "aa87e8a4-9c88-4e67-971d-79c9e43319a3",
       "addedByTenantId": "{ownerTenantId}",
       "memberState": "pending",
       "role": null,
       "transitionDetails": {
           "desiredMemberState": "active",
           "status": "notStarted",
           "details": ""
       }
   }
   

   加入操作完成后，响应如下所示。

   响应

   {
       "@odata.context": "https://graph.microsoft.com/beta/$metadata#tenantRelationships/multiTenantOrganization/joinRequest/$entity",
       "id": "aa87e8a4-9c88-4e67-971d-79c9e43319a3",
       "addedByTenantId": "{ownerTenantId}",
       "memberState": "active",
       "role": "member",
       "transitionDetails": null
   }
   

3. 使用列出 multiTenantOrganizationMembers API 检查多租户组织本身。 它应反映加入操作。

   请求

   GET https://graph.microsoft.com/beta/tenantRelationships/multiTenantOrganization/tenants
   

   响应

   {
       "@odata.context": "https://graph.microsoft.com/beta/$metadata#tenantRelationships/multiTenantOrganization/tenants",
       "value": [
           {
               "tenantId": "{memberTenantIdA}",
               "displayName": "Athens",
               "addedDateTime": "2023-11-20T21:24:59Z",
               "joinedDateTime": "2023-11-21T22:09:18Z",
               "addedByTenantId": "{ownerTenantId}",
               "role": "member",
               "state": "active",
               "transitionDetails": null
           },
           {
               "tenantId": "{memberTenantIdB}",
               "displayName": "Berlin",
               "addedDateTime": "2023-11-20T21:22:35Z",
               "joinedDateTime": "2023-11-21T21:55:34Z",
               "addedByTenantId": "{ownerTenantId}",
               "role": "member",
               "state": "active",
               "transitionDetails": null
           },
           {
               "tenantId": "{ownerTenantId}",
               "displayName": "Cairo",
               "addedDateTime": "2023-11-20T20:38:20Z",
               "joinedDateTime": null,
               "addedByTenantId": "{ownerTenantId}",
               "role": "owner",
               "state": "active",
               "transitionDetails": null
           }
       ]
   }
   

4. 若要允许异步处理，请等待最多 2 小时，然后才能完成加入多租户组织。

步骤 8：（可选）离开多租户组织

成员租户

你可以离开已加入的多租户组织。 从多租户组织中删除你自己的租户的过程与从多租户组织中删除另一个租户的过程相同。

如果租户是唯一的多租户组织所有者，则必须将新租户指定为多租户组织所有者。 有关步骤，请参阅步骤 4：（可选）更改租户的角色。

PowerShell

• 在租户中，使用 Remove-MgBetaTenantRelationshipMultiTenantOrganizationTenant 命令删除租户。 此操作需要几分钟才能完成。

  Remove-MgBetaTenantRelationshipMultiTenantOrganizationTenant -MultiTenantOrganizationMemberId <MemberTenantId>
  

Microsoft Graph

• 在租户中，使用“删除 multiTenantOrganizationMember”API 删除租户。 此操作需要几分钟才能完成。

  Request

  DELETE https://graph.microsoft.com/beta/tenantRelationships/multiTenantOrganization/tenants/{memberTenantId}
  

步骤 9：（可选）删除多租户组织

所有者租户

可通过删除所有租户来删除多租户组织。 删除最终所有者租户的过程与删除所有其他成员租户的过程相同。

PowerShell

• 在最终所有者租户中，使用 Remove-MgBetaTenantRelationshipMultiTenantOrganizationTenant 命令删除租户。 此操作需要几分钟才能完成。

  Remove-MgBetaTenantRelationshipMultiTenantOrganizationTenant -MultiTenantOrganizationMemberId $OwnerTenantId
  

Microsoft Graph

• 在最终所有者租户中，使用“删除 multiTenantOrganizationMember”API 删除租户。 此操作需要几分钟才能完成。

  请求

  DELETE https://graph.microsoft.com/beta/tenantRelationships/multiTenantOrganization/tenants/{ownerTenantId}
  

后续步骤

• 在 Microsoft 365 中设置多租户组织
• 在 Microsoft 365 中同步多租户组织中的用户
• Microsoft Teams 桌面客户端
• 使用 Microsoft Graph API 配置多租户组织模板