Aggiornamenti alle impostazioni di creazione dei gruppi nell’Azure AD Admin Center
Modifiche per colmare le lacune nella creazione delle interfacce amministrative
La notifica del centro messaggi MC275349 (3 agosto) informa gli amministratori della necessità di controllare le impostazioni per la creazione di gruppi nell’interfaccia di amministrazione di Azure AD. In precedenza, queste impostazioni regolavano la capacità degli utenti di creare nuovi gruppi di sicurezza e gruppi di Microsoft 365 tramite l’interfaccia di amministrazione di Azure AD. Tuttavia, l’impostazione non regolava altre interfacce amministrative come PowerShell o l’API Microsoft Graph Groups. Le nuove impostazioni (Figura 1) coprono tutte le interfacce amministrative e sono ora disponibili.
Microsoft consiglia di controllare le impostazioni del tenant per assicurarsi che la modifica non abbia influito sul modo in cui l’organizzazione gestisce la creazione dei gruppi.
Controlli specifici per gruppi
Le impostazioni di Azure AD si applicano alle interfacce amministrative. Esistono altri controlli a livello di applicazione. Il miglior esempio di ciò è Microsoft 365 Groups, che usa un criterio di directory di Azure AD per archiviare le impostazioni usate per controllare diversi aspetti dei gruppi. Il valore predefinito per l’impostazione EnableGroupCreation è True, il che significa che qualsiasi utente può creare un nuovo gruppo Microsoft 365. Se False, entra in gioco l’impostazione GroupCreationAllowedGroupId. Questo definisce il GUID di un gruppo i cui membri possono creare nuovi gruppi.
Il controllo della creazione di gruppi mediante questo modo richiede le licenze di Azure AD P1 Premium.
Ciò che è un po’ più problematico per alcuni è la mancanza di una GUI per controllare la maggior parte delle impostazioni dei criteri (i criteri di denominazione e le impostazioni delle parole bloccate sono disponibili nell’interfaccia di amministrazione di Azure AD). La mancanza di una GUI completa significa che gli amministratori devono usare PowerShell per accedere e aggiornare le altre impostazioni dei criteri, inclusa la creazione di gruppi.
Ad esempio, per scoprire l’insieme di utenti autorizzati a creare gruppi e il nome del gruppo definito nella policy, è possibile utilizzare questo codice:
Per modificare il gruppo utilizzato per controllare la creazione dello stesso, bisogna aggiornare la politica della directory. Ad esempio, questo codice recupera i valori per il gruppo che si vuole usare e le impostazioni correnti e usa i valori con il cmdlet Set-AzureADDirectorySettin per aggiornare i criteri di directory.
Creazione Outlook
L’ impostazione GroupCreationEnabled nel criterio cassetta postale OWA assegnato alle cassette postali era il meccanismo di controllo originale per la creazione di gruppi (OWA è stato il primo client a supportare i gruppi di Office 365, come sono stati denominati nel 2014). Questa impostazione persiste oggi e deve essere True per consentire agli utenti di creare nuovi gruppi con un client Outlook.
Poco impatto
Le modifiche apportate non influenzeranno molti dei tenat che controllano la creazione di un gruppo. In ogni caso, il cambiamento è ragionevole da introdurre, anche se necessita l’attenzione di Microsoft ad alcune evidenti carenze, come la mancanza di una GUI per la politica della directory dei gruppi.
Le informazioni presenti in questo post sono prese dall’articolo “Updates to Group Creation Settings in Azure AD Admin Center”
