適用於群組管理的 Microsoft Entra 第 2 版 Cmdlet
本文包含的範例說明如何使用 PowerShell 管理 Microsoft Entra ID (Microsoft Entra 的一部分) 中的群組。 本文還說明如何使用 Microsoft Graph PowerShell 模組來完成設定。 首先，您必須下載 Microsoft Graph PowerShell 模組。
安裝 Microsoft Graph PowerShell 模組
若要安裝 MgGroup PowerShell 模組，請使用下列命令：
PS C:\Windows\system32> Install-module Microsoft.Graph
若要確認此模組已可使用，請使用下列命令︰
PS C:\Windows\system32> Get-Module -Name "*graph*"
ModuleType Version PreRelease Name ExportedCommands
---------- ------- ---------- ---- ----------------
Script 1.27.0 Microsoft.Graph.Authentication {Add-MgEnvironment, Connect-MgGraph, Disconnect-MgGraph, Get-MgContext…}
Script 1.27.0 Microsoft.Graph.Groups {Add-MgGroupDriveListContentTypeCopy, Add-MgGroupDriveListContentTypeCopyF…
現在您可以開始在模組中使用 Cmdlet。 如需 Microsoft Graph 模組中各式 Cmdlet 的完整描述，請參閱 Microsoft Graph PowerShell 的線上參考文件。
連線至目錄
使用 Microsoft Graph PowerShell Cmdlet 開始管理群組之前，您必須先將 PowerShell 工作階段連線至想要管理的目錄。 使用下列命令：
PS C:\Windows\system32> Connect-MgGraph -Scopes "Group.ReadWrite.All"
Cmdlet 會提示您輸入需要用來存取目錄的認證。 在此範例中，我們會使用 karen@drumkit.onmicrosoft.com 存取示範目錄。 Cmdlet 返回一個確認，表示 Session 已成功連接到您的目錄︰
Welcome To Microsoft Graph!
現在您可以開始使用 MgGraph Cmdlet 來管理您目錄中的群組。
取得群組
若要從目錄中擷取現有的群組，請使用 Get-MgGroups Cmdlet。
若要擷取目錄中的所有群組，請在使用 Cmdlet 時不要使用參數：
PS C:\Windows\system32> Get-MgGroup -All
Cmdlet 將會傳回所連線目錄中的所有群組。
您可以使用 -GroupId 參數來擷取您指定其群組 objectID 的特定群組：
PS C:\Windows\system32> Get-MgGroup -GroupId 5e3eba05-6c2b-4555-9909-c08e997aab18 | fl
現在，Cmdlet 將傳回 objectID 與您所輸入之參數值相符的群組︰
AcceptedSenders :
AllowExternalSenders :
AppRoleAssignments :
AssignedLabels :
AssignedLicenses :
AutoSubscribeNewMembers :
Calendar : Microsoft.Graph.PowerShell.Models.MicrosoftGraphCalendar
CalendarView :
Classification :
Conversations :
CreatedDateTime : 14-07-2023 14:25:49
CreatedOnBehalfOf : Microsoft.Graph.PowerShell.Models.MicrosoftGraphDirectoryObject
DeletedDateTime :
Description : Sales and Marketing
DisplayName : Sales and Marketing
Id : f76cbbb8-0581-4e01-a0d4-133d3ce9197f
IsArchived :
IsAssignableToRole :
IsSubscribedByMail :
LicenseProcessingState : Microsoft.Graph.PowerShell.Models.MicrosoftGraphLicenseProcessingState
Mail : SalesAndMarketing@M365x64647001.onmicrosoft.com
MailEnabled : True
MailNickname : SalesAndMarketing
RejectedSenders :
RenewedDateTime : 14-07-2023 14:25:49
SecurityEnabled : True
您可以使用 -filter 參數搜尋特定群組。 此參數採用 ODATA 篩選子句，並傳回和篩選條件相符的所有群組，如下列範例所示︰
PS C:\Windows\system32> Get-MgGroup -Filter "DisplayName eq 'Intune Administrators'"
DeletionTimeStamp :
ObjectId : aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb
ObjectType : Group
Description : Intune Administrators
DirSyncEnabled :
DisplayName : Intune Administrators
LastDirSyncTime :
Mail :
MailEnabled : False
MailNickName : 4dd067a0-6515-4f23-968a-cc2ffc2eff5c
OnPremisesSecurityIdentifier :
ProvisioningErrors : {}
ProxyAddresses : {}
SecurityEnabled : True
注意
MgGroup PowerShell Cmdlet 實作 OData 查詢標準。 如需詳細資訊，請參閱使用 OData 端點的 OData 系統查詢選項中的 $filter。
以下提供的範例顯示如何檢索未套用到期政策的所有群組
Connect-MgGraph -Scopes 'Group.Read.All'
Get-MgGroup -ConsistencyLevel eventual -Count groupCount -Filter "NOT (expirationDateTime+ge+1900-01-01T00:00:00Z)" | Format-List Id
此範例與上一個範例相同，但指令碼還會將結果匯出至 CSV。
Connect-MgGraph -Scopes 'Group.Read.All'
Get-MgGroup -ConsistencyLevel eventual -Count groupCount -Filter "NOT (expirationDateTime+ge+1900-01-01T00:00:00Z)" | Format-List Id |Export-Csv -Path {path} -NoTypeInformation
最後一個範例示範如何只擷取屬於 Teams 的群組
Get-MgGroup -ConsistencyLevel eventual -Count groupCount -Filter "NOT (expirationDateTime+ge+1900-01-01T00:00:00Z) and resourceProvisioningOptions/any(p:p eq 'Team')" | Format-List Id, expirationDateTime, resourceProvisioningOptions
建立群組
若要在目錄中建立新群組，請使用 New-MgGroup Cmdlet。 這個 Cmdlet 會建立名為 “Marketing" 的新安全性群組︰
$param = @{
description="My Demo Group"
displayName="DemoGroup"
mailEnabled=$false
securityEnabled=$true
mailNickname="Demo"
}
New-MgGroup @param
更新群組
若要更新現有的群組，請使用 Update-MgGroup Cmdlet。 在此範例中，我們會變更 「Intune Administrators」 群組的 DisplayName 屬性。首先，我們會使用 Get-MgGroup Cmdlet 來尋找群組，並使用 DisplayName 屬性進行篩選：
PS C:\Windows\system32> Get-MgGroup -Filter "DisplayName eq 'Intune Administrators'"
DeletionTimeStamp :
ObjectId : aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb
ObjectType : Group
Description : Intune Administrators
DirSyncEnabled :
DisplayName : Intune Administrators
LastDirSyncTime :
Mail :
MailEnabled : False
MailNickName : 4dd067a0-6515-4f23-968a-cc2ffc2eff5c
OnPremisesSecurityIdentifier :
ProvisioningErrors : {}
ProxyAddresses : {}
SecurityEnabled : True
接下來，我們將 Description 屬性變更為新的值 「Intune 裝置系統管理員」：
PS C:\Windows\system32> Update-MgGroup -GroupId 958d212c-14b0-43d0-a052-d0c2bb555b8b -Description "Demo Group Updated"
現在如果我們再次尋找該群組，就會看到 Description 屬性已經更新，以反映新的值︰
PS C:\Windows\system32> Get-MgGroup -GroupId 958d212c-14b0-43d0-a052-d0c2bb555b8b | select displayname, description
DisplayName Description
----------- -----------
DemoGroup Demo Group Updated
刪除群組
若要從目錄中刪除群組，請使用 Remove-MgGroup Cmdlet，如下所示：
PS C:\Windows\system32> Remove-MgGroup -GroupId 958d212c-14b0-43d0-a052-d0c2bb555b8b
管理群組成員
新增成員
若要將新成員新增至群組，請使用 New-MgGroupMember Cmdlet。 此命令會將成員新增至上述範例中所使用的 Intune Administrators 群組︰
PS C:\Windows\system32> New-MgGroupMember -GroupId f76cbbb8-0581-4e01-a0d4-133d3ce9197f -DirectoryObjectId a88762b7-ce17-40e9-b417-0add1848eb68
-GroupId 參數是 Group ObjectID。 我們需要指定我們所使用的群組 ObjectID。 -DirectoryObjectId 是我們想要新增為群組成員的使用者 ObjectID。
取得成員
若要取得群組的現有成員，請使用 Get-MgGroupMember Cmdlet，如此範例所示：
PS C:\Windows\system32> Get-MgGroupMember -GroupId 2c52c779-8587-48c5-9d4a-c474f2a66cf4
Id DeletedDateTime
-- ---------------
aaaaaaaa-bbbb-cccc-1111-222222222222
bbbbbbbb-cccc-dddd-2222-333333333333
移除成員
若要移除先前新增至群組的成員，請使用 Remove-MgGroupMember Cmdlet，如此處所示：
PS C:\Windows\system32> Remove-MgGroupMemberByRef -DirectoryObjectId 00aa00aa-bb11-cc22-dd33-44ee44ee44ee -GroupId 2c52c779-8587-48c5-9d4a-c474f2a66cf4
確認成員
若要驗證使用者的群組成員資格，請使用 Select-MgGroupIdsUserIsMemberOf Cmdlet。 這個 Cmdlet 的參數為要檢查群組成員資格的使用者之 ObjectId，以及一份群組清單，以檢查其成員資格。 務必要以 “Microsoft.Open.AzureAD.Model.GroupIdsForMembershipCheck” 複雜變數類型的形式提供群組清單，因此我們必須先使用該類型建立一個變數：
Get-MgUserMemberOf -UserId 00aa00aa-bb11-cc22-dd33-44ee44ee44ee
Id DisplayName Description GroupTypes AccessType
-- ----------- ----------- ---------- ----------
5dc16449-3420-4ad5-9634-49cd04eceba0 demogroup demogroup {Unified}
傳回的值就是成員中有這位使用者的群組清單。 您也可以使用 Select-MgGroupIdsContactIsMemberOf、Select-MgGroupIdsGroupIsMemberOf 或 Select-MgGroupIdsServicePrincipalIsMemberOf，將此方法套用於檢查指定群組清單中的群組、聯絡人或服務主體成員資格。
禁用使用者建立群組的功能
您可以防止標準使用者建立安全組。 Microsoft Online Directory Services （MSODS） 中的預設行為是允許標準使用者建立群組，不論自助式群組管理 （SSGM） 是否也已啟用。 SSGM 設定只會在我的群組入口網站中控制行為。
若要停用標準使用者建立群組：
確認允許標準使用者建立群組：
PS C:\> Get-MgBetaDirectorySetting | select -ExpandProperty values Name Value ---- ----- NewUnifiedGroupWritebackDefault true EnableMIPLabels false CustomBlockedWordsList EnableMSStandardBlockedWords false ClassificationDescriptions DefaultClassification PrefixSuffixNamingRequirement AllowGuestsToBeGroupOwner false AllowGuestsToAccessGroups true GuestUsageGuidelinesUrl GroupCreationAllowedGroupId AllowToAddGuests true UsageGuidelinesUrl ClassificationList EnableGroupCreation true如果傳回
EnableGroupCreation : True，則標準使用者可以建立群組。 若要停用這項功能：Install-Module Microsoft.Graph.Beta.Identity.DirectoryManagement Import-Module Microsoft.Graph.Beta.Identity.DirectoryManagement $params = @{ TemplateId = "62375ab9-6b52-47ed-826b-58e47e0e304b" Values = @( @{ Name = "EnableGroupCreation" Value = "false" } ) } Connect-MgGraph -Scopes "Directory.ReadWrite.All" New-MgBetaDirectorySetting -BodyParameter $params
管理群組擁有者
若要將擁有者新增至群組，請使用 New-MgGroupOwner Cmdlet：
PS C:\Windows\system32> New-MgGroupOwner -GroupId 0e48dc96-3bff-4fe1-8939-4cd680163497 -DirectoryObjectId 92a0dad0-7c9e-472f-b2a3-0fe2c9a02867
-GroupId 參數是我們想要新增擁有者之群組的 ObjectID。 -DirectoryObjectId 是我們想要新增為擁有者之用戶或服務主體的 ObjectID。
若要擷取群組的擁有者，請使用 Get-MgGroupOwner Cmdlet：
PS C:\Windows\system32> Get-MgGroupOwner -GroupId 0e48dc96-3bff-4fe1-8939-4cd680163497
Cmdlet 會傳回所指定群組的擁有者清單 (使用者和服務主體)︰
Id DeletedDateTime
-- ---------------
8ee754e0-743e-4231-ace4-c28d20cf2841
85b1df54-e5c0-4cfd-a20b-8bc1a2ca7865
4451b332-2294-4dcf-a214-6cc805016c50
若要從群組中移除擁有者，請使用 Remove-MgGroupOwnerByRef Cmdlet：
PS C:\Windows\system32> Remove-MgGroupOwnerByRef -GroupId 0e48dc96-3bff-4fe1-8939-4cd680163497 -DirectoryObjectId 92a0dad0-7c9e-472f-b2a3-0fe2c9a02867
保留的別名
當您建立群組時，使用者會指定郵件昵稱或別名，系統用來作為群組電子郵件位址的一部分。 具有任何高權限電子郵件別名的群組只能由 Microsoft Entra 全域管理員建立。
- 虐待
- 管理員
- 管理員
- 主機管理員
- majordomo
- 郵局局長
- 根
- 安全
- 安全性
- ssl-admin
- 總網管
將群組回寫至內部部署
目前，有許多群組仍在內部部署 Active Directory 中進行管理。 為满足將雲端群組同步回內部部署的要求，使用 Microsoft Entra 雲端同步的 Microsoft Entra ID 群組回寫功能現在已可供使用。
重要
自 2024 年 6 月 30 日起，Microsoft Entra Connect Sync 中的 Group Writeback v2 公開預覽已不再提供。 此功能已在這個日期停止，您在 Microsoft Entra Connect Sync 中不再支援將雲端安全群組布建到 Active Directory。 此功能會繼續在停產日期以外運作;不過，它不再收到支援，而且可以隨時停止運作，而不通知。
我們會在 Microsoft Entra 雲端同步中提供類似的功能，稱為將群組佈建至 Active Directory，您可以利用此功能來取代使用群組回寫 v2 將雲端安全性群組佈建至 Active Directory。 我們正努力在 Microsoft Entra Cloud Sync 中增強這項功能，以及我們在 Microsoft entra Cloud Sync 中開發的其他新功能。
在 Microsoft Entra Connect Sync 中使用這項預覽功能的客戶，應 將其設定從 Microsoft Entra Connect Sync 切換至 Microsoft Entra Cloud Sync。您可以選擇將所有混合式同步移至Microsoft Entra Cloud Sync（如果支援您的需求）。 您也可以同時運行 Microsoft Entra Cloud Sync，並將雲端安全群組的布建從 Active Directory 移至 Microsoft Entra Cloud Sync。
對於將 Microsoft 365 群組佈建至 Active Directory 的客戶，可以繼續使用群組回寫 v1 來執行這項功能。
下一步
您可以在 Microsoft Entra Cmdlets找到更多的 Microsoft Entra ID PowerShell 文件。