列出管理单元中的用户、组或设备

在 Microsoft Entra ID 中，你可以列出管理单元中的用户、组或设备。

先决条件

• 每个管理单元管理员都具有 Microsoft Entra ID P1 或 P2 许可证
• 管理单元成员具有 Microsoft Entra ID 免费许可证
• 使用 PowerShell 时安装的 Microsoft Graph PowerShell SDK

有关详细信息，请参阅使用 PowerShell 的先决条件。

Microsoft Entra 管理中心

可以使用 Microsoft Entra 管理中心列出管理单元中的用户、组或设备。

列出单个用户、组或设备的管理单元

1. 登录到 Microsoft Entra 管理中心。

2. 浏览到“标识”。

3. 浏览到以下位置之一：

   • “用户”>“所有用户”
   • “组”>“所有组”
   • “设备”>“所有设备”

4. 选择要列出其管理单元的用户、组或设备。

5. 选择“管理单元”以列出该用户、组或设备所属的所有管理单元。

   

列出单个管理单元的用户、组或设备

1. 登录到 Microsoft Entra 管理中心。

2. 浏览到“标识”>“角色和管理员”>“管理单元”。

3. 选择你要列出其用户、组或设备的管理单元。

4. 选择以下方案之一：

   • 用户
   • 组
   • 设备

   

使用“所有设备”页列出管理单元的设备

1. 登录到 Microsoft Entra 管理中心。

2. 浏览到“标识”>“设备”>“所有设备”。

3. 选择管理单元的筛选器。

4. 选择要列出其设备的管理单元。

   

列出单个用户或组的受限管理管理单元

1. 登录到 Microsoft Entra 管理中心。

2. 浏览到“标识”。

3. 浏览到以下位置之一：

   • “用户”>“所有用户”
   • “组”>“所有组”

4. 选择你要列出其受限管理管理单元的用户或组。

5. 选择“管理单元”以列出用户或组所属的所有管理单元。

6. 在“受限管理”列中，查找设置为“是”的管理单元。

   

PowerShell

使用 Get-MgDirectoryAdministrativeUnit 和 Get-MgDirectoryAdministrativeUnitMember 命令列出管理单元的用户、群组或设备。

列出用户的管理单元

$userObj = Get-MgUser -Filter "UserPrincipalName eq 'bill@example.com'"
Get-MgDirectoryAdministrativeUnit | `
   where { Get-MgDirectoryAdministrativeUnitMember -AdministrativeUnitId $_.Id | `
   where {$_.Id -eq $userObj.Id} }

列出组的管理单元

$groupObj = Get-MgGroup -Filter "DisplayName eq 'TestGroup'"
Get-MgDirectoryAdministrativeUnit | `
   where { Get-MgDirectoryAdministrativeUnitMember -AdministrativeUnitId $_.Id | `
   where {$_.Id -eq $groupObj.Id} }

列出设备的管理单元

$deviceObj = Get-MgDevice -Filter "DisplayName eq 'Test device'"
Get-MgDirectoryAdministrativeUnit | `
   where { Get-MgDirectoryAdministrativeUnitMember -AdministrativeUnitId $_.Id | `
   where {$_.Id -eq $deviceObj.Id} }

列出管理单元的用户、组和设备

$adminUnitObj = Get-MgDirectoryAdministrativeUnit -Filter "DisplayName eq 'Test administrative unit 2'"
Get-MgDirectoryAdministrativeUnitMember -AdministrativeUnitId $adminUnitObj.Id

列出管理单元的组

$adminUnitObj = Get-MgDirectoryAdministrativeUnit -Filter "DisplayName eq 'Test administrative unit 2'"
foreach ($member in (Get-MgDirectoryAdministrativeUnitMember -AdministrativeUnitId $adminUnitObj.Id)) 
{
    if($member.AdditionalProperties."@odata.type" -eq "#microsoft.graph.group")
    {
        Get-MgGroup -GroupId $member.Id
    }
}

列出管理单元的设备

$adminUnitObj = Get-MgDirectoryAdministrativeUnit -Filter "DisplayName eq 'Test administrative unit 2'"
foreach ($member in (Get-MgDirectoryAdministrativeUnitMember -AdministrativeUnitId $adminUnitObj.Id)) 
{
    if($member.AdditionalProperties.ObjectType -eq "Device")
    {
        Get-MgDevice -DeviceId $member.Id
    }
}

Microsoft Graph API

列出用户的管理单元

使用用户 List memberOf API 列出用户直属的管理单元。

GET https://microsoftgraph.chinacloudapi.cn/v1.0/users/{user-id}/memberOf/$/Microsoft.Graph.AdministrativeUnit

列出组的管理单元

使用组 List memberOf API 列出组直属的管理单元。

GET https://microsoftgraph.chinacloudapi.cn/v1.0/groups/{group-id}/memberOf/$/Microsoft.Graph.AdministrativeUnit

列出设备的管理单元

使用列出设备成员身份 API 列出设备直属的管理单元。

GET https://microsoftgraph.chinacloudapi.cn/v1.0/devices/{device-id}/memberOf/$/Microsoft.Graph.AdministrativeUnit

列出管理单元的用户、组或设备

使用列出成员 API 列出管理单元的用户、组或设备。 对于成员类型，请指定 microsoft.graph.user、microsoft.graph.group 或 microsoft.graph.device。

GET https://microsoftgraph.chinacloudapi.cn/v1.0/directory/administrativeUnits/{admin-unit-id}/members/$/microsoft.graph.group

列出单个用户是否在受限管理管理单元中

使用获取用户 (beta) API 确定用户是否在受限管理管理单元中。 查看 isManagementRestricted 属性的值。 如果该属性为 true，则它在受限制管理管理单元中。 如果该属性为 false、为空或 null，则它不在受限管理管理单元中。

GET https://microsoftgraph.chinacloudapi.cn/beta/users/{user-id}

响应

{ 
  "displayName": "John",
  "isManagementRestricted": true,
  "userPrincipalName": "john@contoso.com", 
}

后续步骤

• 向管理单元中添加用户、组或设备
• 分配管理单元范围的 Microsoft Entra 角色