使用 PowerShell SDK 创建新的 Microsoft 365 组

创建并启用新组

SharePoint 开发人员支持团队最近发布了一篇有趣的文章，介绍如何使用 SharePoint Online REST API 或图形（组）API 创建新的 Microsoft 365 组。这些示例使用 Azure AD B2C 协作资源所有者密码凭据 (ROPC) 来保护凭据。 ROPC 也是 Apple 计划升级 iOS 设备上的邮件应用程序配置的方式，以在连接到 Exchange Online 时强制使用现代身份验证。

尽管所提供的代码可以工作，但使用 Microsoft Graph PowerShell SDK 会更容易。让我解释一下原因，并解释一下原始文章未涵盖的要点。

获取您的标签

本文介绍如何创建带有敏感度标签的新 Microsoft 365 组。首先要做的是发现要使用的敏感度标签的 GUID。只能使用为容器管理配置的敏感度标签，因此我们通过转到 Microsoft Purview 合规性门户的信息保护部分或运行某些 PowerShell 来找到此设置。以下是如何连接到 Exchange Online，然后连接到合规性终结点，最后返回容器管理标签集。

注意：当您使用委派权限以交互方式运行 SDK 时，只能创建带有敏感度标签的 Microsoft 365 组。没有明显的原因说明应用程序权限不起作用，但如果在使用应用程序权限运行时包含敏感度标签，例如使用具有托管标识的 Azure 自动化，New-MgGroup cmdlet 将不会运行。

Connect-ExchangeOnline
Connect-IPPSSession
Get-Label | ? {$_.ContentType -eq "Site, UnifiedGroup"} | ft DisplayName, ImmutableId

DisplayName         ImmutableId
-----------         -----------
Non-business use    a49e1277-93db-4a2f-8105-43c5196b4fef
General Access      e42fd42e-7240-4df0-9d8f-d14658bcf7ce
Guest Access        c29e68f9-bc4f-413b-a741-6db8e38ad1c6
Limited Access      d6cfd185-f31c-4508-ae40-229ff18a9919
Confidential Access c99e52c6-f5ff-4050-9313-ca6a3a35710f

创建您的小组

使用变量中定义的所选敏感度标签的 GUID，我们可以继续创建新组。此代码存在三个差异：

• 未定义新组的隐私属性。您不需要这个，因为隐私（私人或公共）设置由敏感度标签控制。事实上，如果您定义隐私设置，然后选择不兼容的敏感度标签（您选择“私有”且标签显示“公共”），则创建组的请求将会失败。
• Graph API 请求的正文在 $NewGroupParams 哈希表中定义。
• New-MgGroup cmdlet 用于通过传递包含新组参数的正文来创建新组。

我更新了代码，添加了一个调用来查找特定人员的标识符以用作群组所有者。

Connect-MgGraph -Scopes Group.ReadWrite.All, GroupMember.ReadWrite.All
$GroupOwner = (Get-MgUser -UserId [email protected]).Id
$Owner = "https://graph.microsoft.com/v1.0/users/" + $GroupOwner
$SensitivityLabelId = "d6cfd185-f31c-4508-ae40-229ff18a9919"
$NewGroupParams = @{
    "displayName" = "Microsoft Graph PowerShell SDK"
    "mailNickname"= "Microsoft.Graph.PowerShell.SDK"
    "description" = "People who like to discuss how to use the Microsoft Graph PowerShell SDK"
    "[email protected]" = @($Owner)
    "groupTypes" =  @(
                       "Unified"
                     )
    "mailEnabled" =  "true"
    "securityEnabled" = "true"
    "assignedLabels" = @(
                        @{"LabelId"=$SensitivityLabelId}
                        )
} 

$Group = New-MgGroup -BodyParameter $NewGroupParams

一切顺利，新组可在 Azure AD、SharePoint Online 和 Exchange Online 中使用。

使用 Invoke-MgGraphRequest

创建组的另一种方法是使用 URI 和 body 参数以及通过 Invoke-MgGraphRequest cmdlet 运行的 POST 请求。本质上，这使用了与原始文章中相同的方法，将 Invoke-RestMethod 替换为 Invoke-MgGraphRequest。

$Uri= "https://graph.microsoft.com/v1.0/groups"
$Group = Invoke-MgGraphRequest -Method Post -Uri $Uri -Body $NewGroupParams

这是奇怪的事情。使用 Invoke-MgGraphRequest 创建新的 Microsoft 365 组会立即在 Azure AD 和 SharePoint Online 中创建该组，但会延迟在 Exchange Online 中创建该组。例如，我在 15:34 创建了一个组，但直到 30 分钟后的 16:14 才出现在 Exchange Online 中。有时延误的时间会更短，但延误总是有的。

另一个区别是，使用 New-MgGroup 创建的新组遵循组的 Exchange 地址策略（如果存在）。使用 Invoke-MgGraphRequest 创建的新组使用 MOERA 地址作为其主 SMTP 地址，然后在该组存在于 Exchange Online 中后遵守地址策略。

人们过去曾抱怨创建新群组时出现延误。这是来自 Microsoft 技术社区的示例和来自 Stackoverflow.com 的另一个示例，但我认为这些问题不再是问题。我想我错了。

我能想到的唯一解释是：

• New-MgGroup 类似于 New-UnifiedGroup cmdlet，它通过对 Exchange Online 和 Azure AD 的双写入创建新组，从而同步到 SharePoint Online。
• 将图形 URI 与 Invoke-MgGraphRequest 结合使用会在 Azure AD 中创建新组，从而将新组同步到 SharePoint Online。稍后，回填同步操作会在 Exchange Online 中创建新组。

团队赋能新团队

鉴于 Teams 的受欢迎程度，您可能决定对新组进行团队启用。此代码设置一个正文，其中包含用于新团队（标准）的模板和 Microsoft 365 组的标识符。然后，我们运行 New-MgTeam cmdlet 处理该请求。

$NewTeamParams = @{
  "[email protected]"="https://graph.microsoft.com/v1.0/teamsTemplates('standard')"
  "[email protected]"="https://graph.microsoft.com/v1.0/groups('$($Group.Id)')"
}
New-MgTeam -BodyParameter $NewTeamParams

使用 Invoke-MgGraphRequest 也可以完成相同的操作：

$NewTeamParams = @{
  "[email protected]"="https://graph.microsoft.com/v1.0/teamsTemplates('standard')"
  "[email protected]"="https://graph.microsoft.com/v1.0/groups('a771ae9d-6a93-4ccb-bbd0-dcfa55138f2f')"
}
$NewTeamParams = $NewTeamParams | Convertto-Json
$Uri = "https://graph.microsoft.com/v1.0/teams"
Invoke-MgGraphRequest -Uri $Uri -Method Post -Body $NewTeamParams

无论哪种方式，我们最终都会创建一个新团队，其设置继承自使用 Microsoft Graph PowerShell SDK 的 cmdlet 创建的新 Microsoft 365 组（图 1）。

完成工作的多种方法

就像我们新的支持团队的组中的动画人物一样，我们应该很高兴发现使用 Microsoft Graph PowerShell SDK 创建新组和团队是多么容易。我并不是说这是最简单的方法。使用 Exchange Online 模块中的 New-UnifiedGroup cmdlet 创建新的 Microsoft 365 组以及 Microsoft Teams 模块中的 New-Team cmdlet 来创建团队当然没那么复杂- 启用一个组，但有选择是件好事，如果您只想处理单个模块中的 cmdlet（尽管 SDK 中有 30 多个子模块），那么 Microsoft Graph PowerShell SDK 是一个不错的选择。