Managen Sie den Teams-Lebenszyklus mit PowerShell und Graph

Was sind typische Fehler bei der Teams-Bereitstellung?

Bei jeder überstürzten Bereitstellung bleiben Best Practices auf der Strecke. Im Fall von Microsoft Teams summieren sich die bereitgestellten Komponenten im Laufe der Zeit und verwaisen oft, wenn andere Teile entfernt oder bereinigt werden.

Microsoft Teams bietet Chat- und Videodienste, die über vorhandene Komponenten wie Azure Active Directory, Exchange Online, SharePoint Online, OneDrive und andere Dienste geschichtet sind. Wenn Sie ohne genauen Plan viele Teams erstellen, bekommen Sie viele Microsoft-365-Gruppen. Jede Gruppe benötigt zugehörige Entitäten in verschiedenen Diensten, darunter eine SharePoint-Website, ein Exchange-Postfach und einen Plan in Planner. Diese sollten Sie dringend im Blick behalten.

Microsoft Teams erfordert aufgrund seiner Komplexität eine genaue Kontrolle. Zum Beispiel steuert die Microsoft-365-Sicherheitsgruppe Berechtigungen, SharePoint Online speichert Dateien und ermöglicht die gemeinsame Nutzung, und Exchange stellt die Struktur für E-Mails innerhalb und außerhalb des Teams bereit. Oft prüfen Unternehmen nicht die Sicherheit dieser Komponenten und löschen überflüssige oder veraltete Ressourcen nicht.

Wie steuern Administratoren Microsoft Teams?

Von Microsoft sind einige Tools zum Verwalten von Teams verfügbar, die drei Kernbereiche umfassen:

• Erstellen und Benennen von Gruppen und Teams;
• Planen, Speichern und Archivieren von Gruppen und Teams; sowie
• Verwaltung von Gruppen- und Teammitgliedschaften.

Die meisten davon sind in Admin-Portalen verfügbar, einige gibt es jedoch nur in PowerShell. Besonders effizient ist es, ein Skript in PowerShell zu erstellen, das eine Verbindung zu Microsoft Graph herstellt, um den Prozess wiederholbar zu machen. Die Microsoft Graph-API ermöglicht es Administratoren, Konfigurationsänderungen in den Cloud-Diensten von Microsoft, einschließlich Microsoft Teams und Azure Active Directory, von einem Endpunkt aus vorzunehmen.

Den Teams-Lebenszyklus mit PowerShell managen

Zunächst müssen Sie die erforderlichen Module installieren und importieren und dann die Bereiche (Berechtigungen) definieren, die zum Verwalten der einzelnen Schritte erforderlich sind.

Install-Module Microsoft.Graph

Select-MgProfile -Name "beta"

Import-Module Microsoft.Graph

$scopes = @(

           "User.ReadWrite.All"

           "Group.ReadWrite.All"

           "GroupMember.ReadWrite.All"

           "Directory.ReadWrite.All"

     )

Connect-MgGraph -Scopes $scopes

So erstellen Sie Gruppen und Teams

Beim Erstellen von Microsoft 365-Gruppen verwenden Sie eine administrative Vorlage, in der Sie Konfiguration speichern. Sie können die Standardwerte ändern, indem Sie die spezifische Konfiguration abrufen und neue Werte mit dem Befehl Update-MgDirectorySetting übergeben. Dieser Befehl erstellt eine neue Azure AD-Verzeichniskonfiguration, die bestimmt, wer Gruppen und Teams erstellen kann.

$securitygroupname = "sg-Engineering"

$allowgroupcreation = $false

$groupcreationallowedgroupid = (Get-MgGroup `      

           -Search "DisplayName:$securitygroupname" `

           -ConsistencyLevel eventual).Id

$setting = 'Group.Unified' $directorysetting = Get-MgDirectorySetting | `

           Where-Object DisplayName -EQ $setting

$directorysetting.Values.foreach{ 

    [MicrosoftGraphSettingValue]@{

           Name  = $PSItem.Name

           Value   = $PSItem.DefaultValue

     }

}

($updates | Where-Object Name -eq 'GroupCreationAllowedGroupId').Value

= $groupcreationallowedgroupid

($updates | Where-Object Name -eq 'EnableGroupCreation').Value =

$false

Update-MgDirectorySetting -DirectorySettingId $directorysetting.id -

Values $updates

Nachdem Sie die Sicherheitsgruppe zum Erstellen von Microsoft-365-Gruppen und -Teams festgelegt haben, besteht die nächste Aufgabe darin, eine Namenskonvention durchzusetzen. Der folgende Befehl zwingt jede Gruppe oder jedes Team, das Präfix TEAMS gefolgt vom ausgewählten Gruppennamen und der Abteilung zu verwenden.

$prefixnamingrequirement = "TEAM_[Gruppenname]_[Abteilung]" $customblockedwordslist = "HR,IT,RECHT"

$setting = 'Group.Unified'

$directorysetting = Get-MgDirectorySetting | `

          Where-Object DisplayName -EQ $setting

$directorysetting.Values.foreach{

     [MicrosoftGraphSettingValue]@{

           Name  = $PSItem.Name

           Value = $PSItem.DefaultValue

     }

}

($updates | Where-Object Name -eq

'PrefixSuffixNamingRequirement').Value = $prefixnamingrequirement

($updates | Where-Object Name -eq 'CustomBlockedWordsList').Value = $customblockedwordslist

Update-MgDirectorySetting -DirectorySettingId $directorysetting.id -

Values $updates

So richten Sie Befristung, Aufbewahrung und Archivierung von Gruppen und Teams ein

Sie können Gruppen mit einem Verfallsdatum versehen, um ihren Lebenszyklus automatisch zu verwalten. Aufbewahrungsrichtlinien regeln, wann und wie der Inhalt von Gruppen gespeichert wird. Sie können Archive erstellen, um eine Momentaufnahme des Teams zu erhalten, das nicht mehr aktiv ist.

Als erstes müssen Sie eine Richtlinie zum Ablaufen der Gruppe definieren und festlegen. Die Richtlinieneigenschaft ManagedGroupTypes kann None, Selected oder All lauten, je nachdem, auf welche Gruppen Sie sie anwenden möchten. In diesem Fall setzen wir 100 Tage als Frist für alle Gruppen

$grouplifetimeindays = 100

$managedgrouptypes = "All"

$alternatenotificationemails = [email protected]

$properties = @{

     GroupLifeTimeInDays = $grouplifetimeindays

     ManagedGroupTypes = $managedgrouptypes

     AlternateNotificationEmails = $alternatenotificationemails

}

$policy = $properties | New-MgGroupLifecyclePolicy

Als Nächstes können Sie eine Aufbewahrungsrichtlinie für Gruppen und Teams einrichten.

Install-Module ExchangeOnlineManagement

Import-Module ExchangeOnlineManagement

Connect-IPPSSession

$teamsname = "Teams Policy"

$teamsnamerule = "Teams Policy Rule"

$teamsdescription = "Teams Policy" $teamspolicy = New-RetentionCompliancePolicy

     -Name $teamsname

     -Comment $teamsdescription

     -TeamsChannelLocation All

     -TeamsChatLocation All 

     -Enabled $true

New-RetentionComplianceRule

     -Name $teamsnamerule

     -Policy $teamspolicy.Id

     -RetentionDuration 2555

     -RetentionComplianceAction KeepAndDelete

Schließlich können Sie bei Bedarf mit dem folgenden Befehl ein Team archivieren und wiederherstellen.

$groupname = "Sales und Marketing"

$groupid = (Get-MgGroup -Filter "DisplayName eq '$groupname'").Id

Invoke-MgArchiveTeam -TeamId $groupid

Invoke-MgUnarchiveTeam -TeamId $groupid

Gruppen- und Teammitgliedschaftsverwaltung

Benutzer, die Zugriff auf ein Microsoft-365-Team oder eine Gruppe benötigen, müssen der unterstützenden Sicherheitsgruppe direkt hinzugefügt werden. Jede Gruppe oder jedes Team verwendet mehrere Komponenten, darunter eine Azure-Active-Directory-Sicherheitsgruppe.

Es ist kompliziert, den Zugriff zu kontrollieren, wenn nur Eigentümer des Teams ihn selbst verwalten können. Organisationen mit einer Azure-AD-Premium-P2-Lizenz können jedoch Zugriffsüberprüfungen für jede Sicherheitsgruppe durchführen und automatisiert in regelmäßigen Abständen laufen lassen. Das kann sich auf Gruppen, aber auch Gastbenutzer beziehen. Ein Zugriffsüberprüfungsprozess ermöglicht es den Eigentümern des Teams sowie Benutzern mit speziellen Rechten, den aktuellen Berechtigungssatz zu ändern. Sobald die Überprüfung abgeschlossen ist, können Sie den Prozess automatisieren.

Der folgende PowerShell-Code stellt eine Verbindung mit Microsoft Graph her und erstellt eine Zugriffsüberprüfung für alle Mitglieder der Sicherheitsgruppe Sales und Marketing in Azure AD. Das Admin-Konto ist der Besitzer. Der Code legt fest, dass der Überprüfungsprozess jeden Monat wiederholt wird; Wenn die Prüfung nicht ausgeführt wird, blockiert das System den Zugriff für alle Benutzer.

$scopes = @(

          "User.ReadWrite.All"

          "Group.ReadWrite.All"

          "GroupMember.ReadWrite.All"

          "Directory.ReadWrite.All"

          "AccessReview.Read.All"

          "AccessReview.ReadWrite.All"

          "AccessReview.ReadWrite.Membership"

    )

Connect-MgGraph -Scopes $scopes

$body = @{

     "displayName" = "Sales and Marketing Access Review"

     "startDateTime" = "2021-12-01T09:00:00.000Z"

     "endDateTime" = "2025-12-01T09:00:00.000Z"

     "reviewerType" = "delegated"

     "description" = "Sales and Marketing Access Review - Executed

Monthly"

     "businessFlowTemplateId" = "6e4f3d20-c5c3-407f-9695-8460952bcc68"

     "createdBy" = @{

           "id" = "8d32fa65-361a-4aef-9716-60b44082eaab"

           "displayName" = "Microsoft Admin"

           "userPrincipalName" = [email protected]

           "mail" = [email protected]

    } "settings" = @{

           "mailNotificationsEnabled" = "true"

           "remindersEnabled" = "true"

           "justificationRequiredOnApproval" = "true"

           "autoReviewEnabled" = "true"

           "activityDurationInDays" = 30

           "autoApplyReviewResultsEnabled" = "true"

           "accessRecommendationsEnabled" = "true"

           "recurrenceSettings" = @{

               "recurrenceType" = "monthly"

               "recurrenceEndType" = "occurrences" "durationInDays" = 7

               "recurrenceCount" = 30

           } "autoReviewSettings" = @{

               "notReviewedResult" = "Deny"

           }

      }

      "reviewedEntity" = @{

               "id" = "0c83236a-7484-4128-b43c-f7f5011a581b"

               "displayName" = "Sales und Marketing"

       }

}

Invoke-MgGraphRequest

     -Method POST

     -Uri https://graph.microsoft.com/beta/accessReviews

     -Body $body

Es gibt viele weitere Bereiche, in denen PowerShell und Graph für Microsoft-365-Gruppen- und Teams-Governance sinnvoll sind: Teams, Funktionsverwaltung sowie Sicherheits- und Compliance-Komponenten wie Auditing und Reporting, Suche nach Compliance-Inhalten, E-Discovery und Legal Hold. Mit PowerShell und Graph zusammen entwickeln Sie für all diese Aufgabe wiederholbare Skripte, die Ihnen viel Arbeit abnehmen.