こんにちは！竹内です！
今回は Teamsでチーム作成ができるユーザーを制限する方法をご紹介します。
社員が自由にチームを作成すると、管理者の目が届かないところで業務が進んでしまうことがあります。これが原因で、Teamsを導入している多くの組織で「チームの乱立」という問題が発生しています。
例えば、「Teams のチーム作成ルールが決まっていないことで、各ユーザーが独自にチームを作成し、管理者が全体像を把握するのが難しくなる」といったケースは避けたいですよね。
そこで、Teamsでチーム作成ができるユーザーを制限する方法をご紹介します。この方法を導入することで必要最小限のチーム数に抑え、情報の一元管理を実現させましょう。
目次
1．設定前
今回は２ユーザーを準備し、片方をチームの作成を許可するユーザー、もう一方をチームの作成を制限するユーザーとして設定を行っていきます。
〈チームの作成を許可するユーザー〉
1．Teamsのチャット画面上部のプルダウンを開き、「新しいチーム」をクリックします。
2．チームの作成を進めることが可能です。
3．チームの作成ができました。
〈チームの作成を制限するユーザー〉
設定前だと、同様にチームの作成を制限するユーザーもチームの作成ができることを確認します。
1．Teamsのチーム画面から「＋」ボタンをクリックし「チームを作成」をクリックします。
※〈チームの作成を許可するユーザー〉手順１で行っている内容と同様に、新しくチームを作成しています。どちらから作成しても特に変わりはありません。
2．チームの作成を進めることが可能です。
3．チームの作成ができました。
2．事前準備
チーム作成を許可するユーザーのみを追加したグループの作成
1．Microsoft 365管理センターを開き、「チームとグループ」のプルダウンから「アクティブなチームとグループ」をクリックします。
2．「セキュリティグループ」のタブを開き、「＋セキュリティグループを作成」をクリックします。
3．任意の名前と説明を記入し、「次へ」をクリックします。
4．「グループの作成」をクリックします。
5．「チームの作成を許可 グループが作成されました」という通知を確認し、「閉じる」をクリックします。
6．先ほど作成したグループを開き、所有者とメンバーを追加していきます。
「グループの所有者の追加」をクリックします。
※所有者の追加は任意です。所有者は設定しない場合でも問題なくチームを作成することができます。
7．「＋所有者の追加」をクリックします。
8．任意のユーザーにチェックを入れ、「追加」をクリックします。
9．「メンバー」のタブを開き、「すべてのメンバーの表示と管理」をクリックします。
10．任意のユーザーにチェックを入れ「追加」をクリックします。
11．所有者とメンバーが追加されていることが確認できます。
3．チーム作成の権限を設定
1．デスクトップの検索マークから「PowerShell」と検索します。
2．「Windows PowerShell」の「管理者として実行」をクリックします。
3．「このアプリがデバイスに変更を加えることを許可しますか」というポップアップが出るため、デバイス管理者のアカウント名とパスワードを入れ、「はい」をクリックします。
4．コマンド入力画面が表示されます。
下記コマンドレットを実行します。
Import-Module Microsoft.Graph.Beta.Identity.DirectoryManagement
Import-Module Microsoft.Graph.Beta.Groups
5． Microsoft Graph に接続するため、下記コマンドレットを実行します。
Connect-MgGraph -Scopes "Directory.ReadWrite.All", "Group.Read.All"
6．サインインが求められるため、管理者権限のあるアカウントにサインインします。
7．パスワードを入力し、「サインイン」をクリックします。
8．「組織の代理として同意する」にチェックを入れず、「承諾」をクリックします。
チェックを入れない場合: 標準のユーザーは Microsoft Graph から自分の情報だけにアクセスできます。
チェックを入れる場合: 管理者が全員のために同意することで、標準のユーザーも Microsoft Graph から広範囲の情報にアクセスできるようになります。
※今回の設定では特にチェックを入れる必要はありません。
9．以下のコマンドレットを実行します。
$GroupName = "<セキュリティ グループの表示名>"※青字部分に該当グループ名を入力してください。
今回だと$GroupName = ” チームの作成を許可”となります。
10．次に以下のコマンドレットを実行します。
※セキュリティ グループのメンバー以外のユーザーではチームを作成できないように命令しています。
※ 複数行を貼り付けようとすると警告が表示されますが、「強制的に貼り付け」を実行して問題ありません。
$AllowGroupCreation = "False"
$settingsObjectID = (Get-MgBetaDirectorySetting | Where-object -Property Displayname -Value "Group.Unified" -EQ).id
if(!$settingsObjectID)
{
$params = @{
templateId = "62375ab9-6b52-47ed-826b-58e47e0e304b"
values = @(
@{
name = "EnableMSStandardBlockedWords"
value = "True" }
)
}
New-MgBetaDirectorySetting -BodyParameter $params
$settingsObjectID = (Get-MgBetaDirectorySetting | Where-object -Property Displayname -Value "Group.Unified" -EQ).Id
}
$GroupName = "Teamsでチームの作成を許可" # ここでグループ名を設定
$groupId = (Get-MgBetaGroup | Where-object {$_.displayname -eq $GroupName}).Id
$params = @{
templateId = "62375ab9-6b52-47ed-826b-58e47e0e304b"
values = @(
@{
name = "EnableGroupCreation"
value = $AllowGroupCreation
}
@{
name = "GroupCreationAllowedGroupId"
value = $groupId
}
)
}
Update-MgBetaDirectorySetting -DirectorySettingId $settingsObjectID -BodyParameter $params
4．結果の確認
1．以下のコマンドレットを実行し、テナント全体のチーム作成可否および、チームの作成が許可されているチームの設定状況を確認できます。
(Get-MgBetaDirectorySetting -DirectorySettingId $settingsObjectID).Values
2．”EnableGroupCreation” が “True (既定値)” の場合は Microsoft 365 グループ (チーム) の新規作成がテナント全体に対して許可されており、”False” の場合はテナント全体に対して禁止されている状態になります。
また、”GroupCreationAllowedGroupId” の項目にチーム作成を許可するセキュリティ グループのオブジェクト IDが表示され、その特定のセキュリティグループに対して例外的に Microsoft 365 グループ (チーム) の新規作成が許可される動作となります。
そのため、”GroupCreationAllowedGroupId” の項目には先ほど作成したグループのグループIDが指定されています。
<実行結果例>
| Name | Value |
| CustomBlockedWordsList | |
| EnableMSStandardBlockedWords | False |
| ClassificationDescriptions | |
| DefaultClassification | |
| PrefixSuffixNamingRequirement | |
| AllowGuestsToBeGroupOwner | False |
| AllowGuestsToAccessGroups | True |
| GuestUsageGuidelinesUrl | |
| GroupCreationAllowedGroupId | d34d060c-628a-408b-8d07-c0b3edf97935 |
| AllowToAddGuests | True |
| UsageGuidelinesUrl | |
| ClassificationList | |
| EnableGroupCreation | False |
3．〈チームの作成を許可するユーザー〉
※先ほど作成したグループに含まれているユーザー
「新しいチーム」をクリックします。
チームの作成ができました。
4．〈チームの作成を制限するユーザー〉
※先ほど作成したグループに含まれていないユーザー
「新しいチームを作成する権限がありません」という表示がされ、チームの作成を行うことができません。
5．エラーについてのトラブルシューティング
■「3．チーム作成の権限を設定」の手順４で以下エラーが出る場合
エラー内容：指定されたモジュールが見つからない
解決策：以下コマンドレットを実行し、モジュールのインストールを行います。
Install-Module -Name Microsoft.Graph.Beta.Identity.DirectoryManagement -AllowPrerelease -Force
Install-Module -Name Microsoft.Graph.Beta.Groups -AllowPrerelease -Force
コマンドレットを実行できました。
Import-Module Microsoft.Graph.Beta.Identity.DirectoryManagement
Import-Module Microsoft.Graph.Beta.Groups
その他お困りごとも動画で解説！
