列出管理單位中的使用者、群組或裝置

在 Microsoft Entra 識別碼中，您可以列出系統管理單位中的使用者、群組或裝置。

先決條件

• Microsoft Entra ID P1 或 P2 授權給每個管理單位的系統管理員
• Microsoft Entra ID 系統管理單位成員的免費授權
• 在使用 PowerShell 時，Microsoft Graph PowerShell 模組
• 使用 Graph Explorer 進行 Microsoft Graph API 時需要系統管理員同意

如需詳細資訊，請參閱 使用 PowerShell 或 Graph 瀏覽器的必要條件。

系統管理中心

您可以使用 Microsoft Entra 系統管理中心，在系統管理單位中列出使用者、群組或裝置。

列出單一使用者、群組或裝置的系統管理單位

1. 登入 Microsoft Entra 系統管理中心。

2. 瀏覽至 Identity。

3. 瀏覽至下列其中一項：

   • 使用者>所有使用者
   • 群組>所有群組
   • 裝置>所有裝置

4. 選取您想要列出其系統管理單位的使用者、群組或裝置。

5. 選取 [[系統管理單位]，列出使用者、群組或裝置為成員的所有系統管理單位。

   

列出單一管理單位的使用者、群組或裝置

1. 登入 Microsoft Entra 系統管理中心。

2. 瀏覽至 身份>角色 & 管理員>管理單位。

3. 選取您想要列出使用者、群組或裝置的管理單位。

4. 選取下列其中一項：

   • 使用者
   • 群組
   • 裝置

   

使用 [所有裝置] 頁面列出管理單位的裝置

1. 登入 Microsoft Entra 系統管理中心。

2. 瀏覽至 [身分識別>裝置]>[所有裝置]。

3. 選取管理單位的篩選條件。

4. 選取您要列出其裝置的系統管理單位。

   

列出單一使用者或群組的限制管理管理單位

1. 登入 Microsoft Entra 系統管理中心。

2. 瀏覽至 Identity。

3. 瀏覽至下列其中一項：

   • 使用者>所有使用者
   • 群組>所有群組

4. 選取您想要列出其受限制管理管理單位的使用者或群組。

5. 選取 [[系統管理單位]，以列出使用者或群組所屬的所有系統管理單位。

6. 在 [限制管理] 欄中，尋找設為 [是]的行政單位。

   

PowerShell

使用 Get-MgDirectoryAdministrativeUnit 和 Get-MgDirectoryAdministrativeUnitMember 命令來列出管理單位的使用者、群組或裝置。

注意

根據預設，Get-MgDirectoryAdministrativeUnitMember 只會傳回管理單位的最上層成員。 若要擷取所有成員，請新增 -All:$true 參數。

列出使用者的管理單位

$userObj = Get-MgUser -Filter "UserPrincipalName eq 'bill@example.com'"
Get-MgDirectoryAdministrativeUnit | `
   where { Get-MgDirectoryAdministrativeUnitMember -AdministrativeUnitId $_.Id | `
   where {$_.Id -eq $userObj.Id} }

列出群組的行政單位

$groupObj = Get-MgGroup -Filter "DisplayName eq 'TestGroup'"
Get-MgDirectoryAdministrativeUnit | `
   where { Get-MgDirectoryAdministrativeUnitMember -AdministrativeUnitId $_.Id | `
   where {$_.Id -eq $groupObj.Id} }

列出裝置的系統管理單位

$deviceObj = Get-MgDevice -Filter "DisplayName eq 'Test device'"
Get-MgDirectoryAdministrativeUnit | `
   where { Get-MgDirectoryAdministrativeUnitMember -AdministrativeUnitId $_.Id | `
   where {$_.Id -eq $deviceObj.Id} }

列出管理單位的使用者、群組和裝置

$adminUnitObj = Get-MgDirectoryAdministrativeUnit -Filter "DisplayName eq 'Test administrative unit 2'"
Get-MgDirectoryAdministrativeUnitMember -AdministrativeUnitId $adminUnitObj.Id

列出管理單位的群組

$adminUnitObj = Get-MgDirectoryAdministrativeUnit -Filter "DisplayName eq 'Test administrative unit 2'"
foreach ($member in (Get-MgDirectoryAdministrativeUnitMember -AdministrativeUnitId $adminUnitObj.Id)) 
{
    if($member.AdditionalProperties."@odata.type" -eq "#microsoft.graph.group")
    {
        Get-MgGroup -GroupId $member.Id
    }
}

列出管理單位的裝置

$adminUnitObj = Get-MgDirectoryAdministrativeUnit -Filter "DisplayName eq 'Test administrative unit 2'"
foreach ($member in (Get-MgDirectoryAdministrativeUnitMember -AdministrativeUnitId $adminUnitObj.Id)) 
{
    if($member.AdditionalProperties.ObjectType -eq "Device")
    {
        Get-MgDevice -DeviceId $member.Id
    }
}

Graph API

列出使用者的管理單位

使用使用者 List memberOf API 來列出使用者是直接成員的系統管理單位。

GET https://graph.microsoft.com/v1.0/users/{user-id}/memberOf/$/Microsoft.Graph.AdministrativeUnit

列出群組的行政單位

使用群組 List memberOf API 來列出群組是直接成員的系統管理單位。

GET https://graph.microsoft.com/v1.0/groups/{group-id}/memberOf/$/Microsoft.Graph.AdministrativeUnit

列出裝置的系統管理單位

使用 列出裝置成員資格 API 來列出裝置是直接成員的系統管理單位。

GET https://graph.microsoft.com/v1.0/devices/{device-id}/memberOf/$/Microsoft.Graph.AdministrativeUnit

列出管理單位的使用者、群組或裝置

使用 清單成員 API 來列出管理單位的使用者、群組或裝置。 針對成員類型，指定 microsoft.graph.user、microsoft.graph.group或 microsoft.graph.device。

GET https://graph.microsoft.com/v1.0/directory/administrativeUnits/{admin-unit-id}/members/$/microsoft.graph.group

列出單一使用者是否在受限制的管理管理單位中

使用 取得使用者 （beta） API 來判斷使用者是否位於受限制的管理管理單位中。 查看 isManagementRestricted 屬性的值。 如果 屬性是 true，則位於受限制的管理管理單位中。 如果屬性是 false、空白或 null，則它不在受限制的管理管理單位中。

GET https://graph.microsoft.com/beta/users/{user-id}

回應

{ 
  "displayName": "John",
  "isManagementRestricted": true,
  "userPrincipalName": "john@contoso.com", 
}

後續步驟

• 將使用者、群組或裝置新增至管理單位
• 以管理單位範圍指派 Microsoft Entra 角色