Microsoft 365 Group (and Team) creation should be restricted to approved users

Warum das wichtig ist

Eine uneingeschränkte Erstellung von Microsoft 365-Gruppen kann zu einer unkontrollierten Vermehrung dieser Gruppen führen, was das Risiko von Datenwucherungen, Fehlkonfigurationen bei Berechtigungen und Compliance-Verstößen erhöht. Indem Sie die Gruppenerstellung auf geschulte und autorisierte Benutzer beschränken, verringern Sie die Wahrscheinlichkeit von verwaisten Gruppen, unbeabsichtigten Datenlecks und administrativem Mehraufwand. Dies trägt dazu bei, die Governance und Sicherheitskontrolle über Ihren Microsoft 365-Mandanten zu wahren.

Was Aether365 prüft

Aether365 überprüft, ob die Erstellung von Microsoft 365-Gruppen und -Teams auf autorisierte Benutzer in Ihrem Mandanten beschränkt ist. Diese Überprüfung wird im Aether365-Dashboard unter den microsoft-365-Dienstprüfungen angezeigt.

Behebungsmethode

Leider bietet Microsoft 365 keine Benutzeroberfläche zur Einschränkung der Gruppenerstellung. Sie müssen PowerShell verwenden, um diese Einstellung durchzusetzen.

1. Stellen Sie eine Verbindung zu Azure Active Directory (Azure AD) mit dem Cmdlet Connect-AzureAD her.
2. Führen Sie den folgenden Befehl aus, um die Gruppenerstellung auf eine bestimmte Sicherheitsgruppe zu beschränken:

   Set-AzureADDirectorySetting -Id (Get-AzureADDirectorySetting | Where-Object {$_.DisplayName -eq "Group.Unified"}).Id -Values @{"EnableGroupCreation"="false"; "GroupCreationAllowedGroupId"="<GroupObjectId>"}

   Ersetzen Sie <GroupObjectId> durch die Objekt-ID der Sicherheitsgruppe, die die autorisierten Benutzer enthält.
3. Überprüfen Sie die Einstellung, indem Sie die Verzeichniseinstellungen mit Get-AzureADDirectorySetting auflisten.
4. Stellen Sie sicher, dass die festgelegte Sicherheitsgruppe nur Benutzer enthält, die eine Schulung zur Governance absolviert haben.

Ausführliche Anweisungen finden Sie unter dem Link zur Einschränkung der Microsoft 365-Gruppenerstellung auf autorisierte Benutzer: Gruppenerstellung in Microsoft 365 einschränken.

Compliance

• CIS: Nicht zugeordnet
• EIDSCA: Nicht zugeordnet
• CISA: Nicht zugeordnet
• Sonstige: Best Practice für Microsoft 365-Governance und -Sicherheit

Verwandte Ressourcen

• Microsoft 365-Gruppenerstellung auf autorisierte Benutzer beschränken
• Cmdlet-Referenz zu Set-AzureADDirectorySetting

Microsoft references

• Manage creation of groups