Microsoft Entra 组用于管理用户，这些用户全都需要对资源（例如可能受限的应用和服务）具有相同的访问权限和权限。 无需向单个用户添加特殊权限，而是创建一个组，并将特殊权限应用于该组的每个成员。
本文介绍了将单个组添加到单个资源并将用户作为成员添加到该组的基本组方案。 有关更复杂的方案，例如动态成员身份组和规则创建，请参阅 Microsoft Entra 用户管理文档。
在添加组和成员之前， 请了解组和成员类型 ，以帮助确定创建组时要使用的选项。
先决条件
若要管理 Microsoft Entra 中的组，需要满足以下先决条件：
创建基本组并添加成员
可以使用 Microsoft Entra 管理中心创建基本组并同时添加成员。 必须至少被分配了 组管理员 或 用户管理员 角色之一，才能创建组。 查看适用于管理组的 Microsoft Entra 角色。
注释
跨租户委派管理使用细化的委派管理员权限（GDAP）。 如果目标租户使用了组命名策略前缀或后缀，且该前缀或后缀会引用发起调用的用户属性（如部门或公司名称），则系统不支持 GDAP 管理员创建组。 使用目标租户中的管理员帐户创建组。
创建基本组并添加成员：
请以至少 群组管理员 的身份登录到 Microsoft Entra 管理中心。
浏览到 Entra ID>群组>所有群组。
选择 “新建”组。
选择一种组类型。 有关组类型的详细信息，请参阅 有关组和成员身份类型 的文章。
- 选择“Microsoft 365”组类型可启用“组电子邮件地址”选项。
输入一个组名称。选择一个容易记住并对该组来说有意义的名称。 将执行检查以确定该名称是否已在使用中。 如果该名称已在使用中，系统将要求你更改组的名称。
- 组的名称不能以空格开头。 名称以空格开头会导致该组无法显示为可选项，例如在向组成员添加角色分配等步骤中。
组电子邮件地址：仅适用于 Microsoft 365 组类型。 手动输入电子邮件地址或使用基于提供的组名称生成的电子邮件地址。
组描述。 为您的群组添加可选描述。
将 可将 Microsoft Entra 角色分配给组 设置切换为“是”，以使用该组向成员分配 Microsoft Entra 角色。
- 此选项仅适用于 P1 或 P2 许可证。
- 您必须至少具有特权角色管理员角色。
- 启用此选项会自动选择“已分配”作为成员身份类型。
- 该流程中新增了在创建组时添加角色的功能。
- 详细了解可分配角色组。
选择 成员资格类型。 有关成员身份类型的详细信息，请参阅 有关组和成员身份类型 的文章。
（可选）添加所有者或成员。 创建组后，可以添加成员和所有者。
- 选择“所有者”或“成员”下的链接，以填充目录中每个用户的列表。
- 从列表中选择用户，然后选择窗口底部的“选择”按钮。
选择“创建”。 您的群组已创建，可开始管理其他设置。
关闭群组欢迎邮件
每个用户都会在其被添加到新的 Microsoft 365 组时收到欢迎通知，无论成员身份类型如何。 当用户或设备的某个属性发生更改时，将处理组织中所有动态成员资格组规则以进行潜在的成员资格更改。 添加的用户也会收到欢迎通知。 可以在 Exchange PowerShell 中关闭此行为。
添加组的成员或所有者
可以在现有的组中添加成员和所有者。 对于成员和所有者，该过程是相同的。 需要“组管理员”或“用户管理员”角色才能添加成员和所有者。
注释
想要同时添加多个成员？ 了解 批量添加成员 选项。
请以至少 群组管理员 的身份登录到 Microsoft Entra 管理中心。
浏览到 Entra ID>群组>所有群组。
选择需要管理的组。
选择成员或所有者。
选择 + 添加（成员或所有者）。
滚动浏览列表或在搜索框中输入名字。 可以一次选择多个名字。 准备好后，选择“选择”按钮。
“组概述”页面将更新，以显示当前添加到组的成员数。
移除组中的成员或所有者
可以从现有的组中移除成员和所有者。 对于成员和所有者，该过程是相同的。 您需要具有 组管理员 或 用户管理员 角色才能删除成员和所有者。
请以至少 群组管理员 的身份登录到 Microsoft Entra 管理中心。
浏览到 Entra ID>群组>所有群组。
选择需要管理的组。
选择成员或所有者。
选中列表中的名字旁边的框，然后选择“删除”按钮。
编辑组设置
可以编辑组的名称、描述或成员身份类型。 需要“组管理员”或“用户管理员”角色才能编辑组的设置。
要编辑您的群组设置：
请以至少 群组管理员 的身份登录到 Microsoft Entra 管理中心。
浏览到 Entra ID>群组>所有群组。
滚动浏览列表或在搜索框中输入组名称。 选择需要管理的组。
在侧菜单中选择“属性”。
根据需要更新常规设置信息，包括：
组名称。 编辑现有组名称。
组描述。 编辑现有群组描述。
组类型。 创建组类型后将无法更改。 若要更改“组类型”，则必须删除该组并创建新组。
成员身份类型。 更改成员身份类型。 如果启用 Microsoft Entra 角色可以分配给组 选项，则无法更改成员身份类型。 有关可用成员身份类型的详细信息，请参阅 有关组和成员身份类型 的文章。
对象 ID。 无法更改对象 ID，但可将其复制以在组的 PowerShell 命令中使用。 有关使用 PowerShell cmdlet 的详细信息，请参阅 Microsoft Entra cmdlet 来配置组设置。
将一个群组添加到另一个群组
对于安全组类型，可以将现有组添加到另一个组（也称为嵌套组）。 根据组成员类型，您可以将某个组添加为另一组的成员。 嵌套组可用于成员资格和条件访问范围。 嵌套组无法访问分配给父组的共享资源和应用程序。
我们目前不支持：
- 将组添加到与本地 Active Directory 同步的组。
- 将安全组添加到 Microsoft 365 组。
- 将 Microsoft 365 组添加到安全组或其他 Microsoft 365 组。
- 为嵌套安全组分配共享资源和应用的成员身份。
- 将许可证应用于嵌套安全组。
- 在嵌套方案中添加通讯组。
- 将安全组添加为启用邮件功能的安全组的成员。
- 将组添加为可分配角色组的成员。
请以至少 群组管理员 的身份登录到 Microsoft Entra 管理中心。
浏览到 Entra ID>群组>所有群组。
在“ 所有组 ”页上，搜索并选择要成为另一组成员的组。
注释
您一次只能将您的组作为成员添加到另一个组中。 选择组搜索框不支持通配符。
在组的“概述”页面上，从侧边菜单中选择 组成员身份。
选择 + 添加成员资格。
找到你希望你的组加入为其成员的组，然后选择 选择。
在本练习中，我们将在“MDM 策略 - 所有组织”组中添加“MDM 策略 - 西部”。 “MDM - 策略 - 西部”组将具有与“MDM 策略 - 所有组织”组相同的访问权限。
现在可以查看“MDM 策略 - 西部 - 组成员身份”页，以查看组和成员关系。
要更详细地查看组与成员之间的关系，请选择父组名称（MDM 策略 - 所有组织），然后查看“MDM 策略 - 西部”页面的详细信息。
从另一个组中移除一个组
可以从另一个安全组中移除现有安全组；但是，移除组时也会移除其成员继承的任何访问权限。
在“ 所有组 ”页上，搜索并选择需要删除的组作为另一个组的成员。
在组的“概述”页面上，选择“组成员身份”。
从组成员身份页面中选择父组。
选择 删除。
在本练习中，我们现在将从“MDM 策略 - 所有组织”组中删除“MDM 策略 - 西部”。
删除组
您可能出于各种原因删除群组，但通常是因为：
- 选择不正确的 “组类型 ”选项。
- 错误地创建了重复组。
- 不再需要该群组。
请以至少 群组管理员 的身份登录到 Microsoft Entra 管理中心。
浏览到 Entra ID>群组>所有群组。
搜索并选择要删除的组。
选择 删除。