如何使用 Microsoft Graph PowerShell 创建组

在本教程中，我将引导您了解如何使用 Microsoft Graph PowerShell 在 Azure Active Directory 中创建组。我们将研究创建组的不同方法以及可用参数的任何怪癖。

关于新镁集团

• 模块：Microsoft.Graph.Groups
• 最低权限： Group.ReadWrite.All

New-MgGroup 使您能够按照请求正文中的定义在 Microsoft 365 租户中创建新组。组参数的完整列表可以在此处的参考文档中找到，或者您可以在 PowerShell 中运行以下命令。

(Get-Command New-MgGroup).Parameters

与上面类似，您还可以使用以下命令查看与 New-MgGroup cmdlet 相关的所有权限的列表。

(Find-MgGraphCommand -Command New-MgGroup).Permissions

还有两种不同的方法可以使用此 cmdlet 创建组。您可以使用可用参数来定义组的设置，例如 -DisplayName、-MailNickName 等……或者您可以将所有信息包含在哈希表中并使用 -BodyParameter。我将在本教程中介绍这两个选项。

Microsoft Graph PowerShell 支持的组类型

由于 Microsoft Graph 对 Exchange 的访问权限有限，目前可以使用 Microsoft Graph PowerShell 创建的唯一受支持的组类型是 Microsoft 365 组和安全组。

这意味着您无法使用 Microsoft Graph PowerShell 创建通讯组或启用邮件的安全组。您也确实无法创建启用邮件的 Microsoft 365 组。

如果您尝试创建启用邮件的组，您将收到以下错误：

New-MgGroup：无法创建启用邮件的安全组和/或通讯组列表。

要修复此错误，您必须确保您的 -MailEnabled 参数设置为 $false。

如何使用 Microsoft Graph PowerShell 创建组

要创建一个简单的组，您可以使用以下示例，该示例将创建一个安全组：

New-MgGroup -DisplayName 'MySecurityGroup' `
-MailEnabled:$False  `
-MailNickName 'MySecurityGroup' `
-SecurityEnabled

从上面可以看出，尽管不支持，但仍然需要定义 -MailEnabled 参数，其值为 $false。

下面的例子是一个更复杂的配置，这里我创建了一个动态安全组。为此，我添加了一些附加参数，包括：

• -GroupTypes - 将组类型定义为动态组。
• -MemberShipRule - 定义将添加哪些成员的成员资格规则。
• -MembershipRuleProcessingState - 打开规则处理。

New-MgGroup -DisplayName 'MyDynSecurityGroup' `
-MailEnabled:$False `
-MailNickName 'MyDynSecurityGroup' `
-SecurityEnabled `
-GroupTypes DynamicMembership `
-MembershipRule '(user.userPrincipalName -contains "ourcloudnetwork.com") and (user.accountEnabled -eq True)' `
-MembershipRuleProcessingState On

-GroupTypes 参数还允许我们创建标准安全组或 Microsoft 365 组。它还可以包含多个值，例如，以下命令将创建一个具有动态成员资格的 Microsoft 365 组。

New-MgGroup -DisplayName 'MyDynM365Group' `
-MailEnabled:$False `
-MailNickName 'MyDynM365Group' `
-SecurityEnabled `
-GroupTypes DynamicMembership,Unified `
-MembershipRule '(user.userPrincipalName -contains "ourcloudnetwork.com")' `
-MembershipRuleProcessingState On

如何使用 -body 参数创建组

通过使用 -bodyparameter 参数创建组时，您也可以获得相同的结果。

为此，您需要创建一个哈希表 @{}，其中包含您的组的所有值。让我们使用上一节中的最后一个示例，并通过在哈希表中定义设置来创建相同的组。您可以在下面看到我们创建了 $GroupBody 哈希表。

$GroupBody = @{
    DisplayName = "MyDynM365Group"
     MailEnabled         = $false
     MailNickname        = "MyDynM365Group"
     SecurityEnabled     = $true
     GroupTypes = @(
        'DynamicMembership','Unified'
     )
     MembershipRule =  '(user.userPrincipalName -contains "ourcloudnetwork.com")'
     membershipRuleProcessingState = 'On'
}

定义组设置后，我们可以简单地运行 New-MgGroup 并定义变量，如下所示：

New-MgGroup -BodyParameter $GroupBody

如何添加群组所有者和群组成员

尽管 Microsoft Graph PowerShell 模块 v1 中提供了 -member 和 -owner 参数，但 New-MgGroup cmdlet 本身并不支持添加组所有者和组成员，这是因为它们是从 Graph API 自动生成的。 Microsoft Graph PowerShell 模块的版本 2 删除了这些参数。

如果要通过单个命令将组所有者或组成员添加到组中，则必须使用 odata.bind 机制在哈希表中定义它们。再次使用上面的命令作为示例，这里是在组创建期间将所有者和成员添加到哈希表中的组中。

$GroupBody = @{
    DisplayName = "MyDynM365Group"
     MailEnabled         = $false
     MailNickname        = "MyDynM365Group"
     SecurityEnabled     = $true
     GroupTypes = @(
        'DynamicMembership','Unified'
     )
     MembershipRule =  '(user.userPrincipalName -contains "ourcloudnetwork.com")'
     membershipRuleProcessingState = 'On'
     "[email " = @(
         "https://graph.microsoft.com/v1.0/users/[email ",
     )
     "[email " = @(
         "https://graph.microsoft.com/v1.0/users/[email ",
     )
}

New-MgGroup -BodyParameter $GroupBody

如果您不想使用上述方法，则需要使用 New-MgGroupMemberByRef 或 New-MgGroupOwnerByRef cmdlet。

• 命令： New-MgGroupMemberByRef
• 模块： Microsoft.Graph.Groups
• 权限（最少许可）： GroupMember.ReadWrite.All

• 命令： New-MgGroupOwnerByRef
• 模块： Microsoft.Graph.Groups
• 权限（最少许可）： Group.ReadWrite.All

您可以使用以下示例将单个用户作为成员添加到组中。您还可以在 $params 哈希表中添加额外的行以一次添加多个用户。

$upn = "[email "
$Groupid = (Get-MgGroup | Where-Object {$_.DisplayName -eq "MyDynM365Group2"}).id

$params = @{
	"@odata.id" = "https://graph.microsoft.com/v1.0/users/$upn"
}

New-MgGroupMemberByRef -GroupId $GroupId -BodyParameter $params

不过，请注意！如果您尝试使用此方法将成员添加到具有动态成员资格的群组，您将收到以下错误：

New-MgGroupMemberByRef_Create：权限不足，无法完成操作。

这没什么帮助，因为该错误给您提供了错误的失败原因，并可能导致您陷入尝试修复不存在的权限问题的陷阱！

要将所有者添加到您的组中，可以遵循相同的过程，但是，您只需要更改脚本的最后一行。对于此命令，您的组成员资格是否是动态的并不重要，如果您收到错误，则该错误可能是真的。

New-MgGroupOwnerByRef -GroupId $GroupId -BodyParameter $params