Recherche de site Web

Bloquer la création de groupes Office 365

Je suis un informaticien de la vieille école, dans mon monde, le provisionnement se fait via le service informatique ou via un outil de provisionnement. Ce que je ne veux pas, c'est que les utilisateurs réguliers créent toutes sortes d'objets dans mon environnement, que ce soit Active Directory, Azure Active Directory ou Office 365.

Dans Office 365, tout est différent, plusieurs services (Outlook, Teams, Planner, SharePoint, PowerBI et autres) utilisent les groupes Office 365 sous le capot. Ainsi, lorsque les utilisateurs créent un nouveau plan dans Planner ou une nouvelle équipe dans Teams, ils créent également un groupe Office 365 dans Azure Active Directory.

Je travaille actuellement dans un environnement de 12 000 utilisateurs, et la dernière chose que je souhaite, c'est que 12 000 utilisateurs créent au hasard toutes sortes de groupes, se retrouvant dans un désordre total où personne ne peut trouver d'informations et où il est impossible de supprimer quoi que ce soit sans blesser d'autres personnes.

La solution pour cela est d'attribuer la création d'un nouvel Office 365 à un groupe de sécurité dans Azure Active Directory (cela peut être un objet cloud ou un objet synchronisé). Pour créer un nouveau groupe de sécurité dans Azure Active Directory, vous pouvez utiliser la commande PowerShell suivante :

New-AzureADGroup -DisplayName "O365 Group Creators" -SecurityEnabled:$True -MailEnabled:$False -MailNickName "Nothing"

Remarque. Il est également possible de créer un groupe de sécurité dans le portail Azure AD.

L'étape suivante consiste à attribuer l'autorisation de créer des groupes Office 365 à ce nouveau groupe de sécurité. Cela ne peut être réalisé qu'à l'aide de PowerShell et du module Azure AD Preview, à l'aide du script suivant :

$GroupName = "O365 Group Creators"
$AllowGroupCreation = "False"
Connect-AzureAD
$settingsObjectID = (Get-AzureADDirectorySetting | Where-object -Property Displayname -Value "Group.Unified" -EQ).id
if(!$settingsObjectID)
{
  $template = Get-AzureADDirectorySettingTemplate | Where-object {$_.displayname -eq "group.unified"}
  $settingsCopy = $template.CreateDirectorySetting()
  New-AzureADDirectorySetting -DirectorySetting $settingsCopy
  $settingsObjectID = (Get-AzureADDirectorySetting | Where-object -Property Displayname -Value "Group.Unified" -EQ).id
}
$settingsCopy = Get-AzureADDirectorySetting -Id $settingsObjectID
$settingsCopy["EnableGroupCreation"] = $AllowGroupCreation
if($GroupName)
{
  $settingsCopy["GroupCreationAllowedGroupId"] = (Get-AzureADGroup -SearchString $GroupName).objectid
}
Set-AzureADDirectorySetting -Id $settingsObjectID -DirectorySetting $settingsCopy
(Get-AzureADDirectorySetting -Id $settingsObjectID).Values

Lorsque vous exécutez ce script, vous verrez un résultat similaire :

La première case correspond à l'objectID du groupe de sécurité que nous avons créé dans la première étape, comparez simplement avec l'ObjectID affiché dans la première capture d'écran.

La deuxième zone affiche $false pour la propriété EnableGroupCreation, indiquant qu'aucun autre groupe n'est autorisé à créer des groupes Office 365.

Tous les membres du groupe de sécurité que nous venons de créer sont autorisés à créer des groupes Office 365. Il existe cependant quelques exceptions : les administrateurs Exchange, les administrateurs SharePoint, les administrateurs Teams et les administrateurs de gestion des utilisateurs sont également autorisés par défaut à créer des groupes Office 365, mais il ne s'agit généralement pas d'utilisateurs réguliers.

De cette façon, vous pouvez contrôler qui est autorisé à créer des groupes Office 365 dans votre environnement et vous assurer que la création de groupes n'explose pas dans votre locataire.

Plus d'information

  • Gérer qui peut créer des groupes Office 365 - https://docs.microsoft.com/en-us/office365/admin/create-groups/manage-creation-of-groups?view=o365-worldwide
  • New-AzureADGroup - https://docs.microsoft.com/en-us/powershell/module/azuread/new-azureadgroup?view=azureadps-2.0

Articles connexes