列出管理单元中的用户、组或设备

在 Microsoft Entra ID 中,你可以列出管理单元中的用户、组或设备。

先决条件

  • 每个管理单元管理员都具有 Microsoft Entra ID P1 或 P2 许可证
  • 管理单元成员具有 Microsoft Entra ID 免费许可证
  • 使用 PowerShell 时安装的 Microsoft Graph PowerShell SDK

有关详细信息,请参阅使用 PowerShell 的先决条件

Microsoft Entra 管理中心

可以使用 Microsoft Entra 管理中心列出管理单元中的用户、组或设备。

列出单个用户、组或设备的管理单元

提示

本文中的步骤可能因开始使用的门户而略有不同。

  1. 登录到 Microsoft Entra 管理中心

  2. 浏览到“标识”。

  3. 浏览到以下位置之一:

    • “用户”>“所有用户”
    • “组”>“所有组”
    • “设备”>“所有设备”
  4. 选择要列出其管理单元的用户、组或设备。

  5. 选择“管理单元”以列出该用户、组或设备所属的所有管理单元。

    Screenshot of the Administrative units page, displaying a list administrative units that a group is assigned to.

列出单个管理单元的用户、组或设备

  1. 登录到 Microsoft Entra 管理中心

  2. 浏览到“标识”>“角色和管理员”>“管理单元”。

  3. 选择你要列出其用户、组或设备的管理单元。

  4. 选择以下方案之一:

    • 用户
    • 设备

    Screenshot of the Groups page displaying a list of groups in an administrative unit.

使用“所有设备”页列出管理单元的设备

  1. 登录到 Microsoft Entra 管理中心

  2. 浏览到“标识”>“设备”>“所有设备”。

  3. 选择管理单元的筛选器。

  4. 选择要列出其设备的管理单元。

    Screenshot of All devices page with an administrative unit filter.

列出单个用户或组的受限管理管理单元

  1. 登录到 Microsoft Entra 管理中心

  2. 浏览到“标识”。

  3. 浏览到以下位置之一:

    • “用户”>“所有用户”
    • “组”>“所有组”
  4. 选择你要列出其受限管理管理单元的用户或组。

  5. 选择“管理单元”以列出用户或组所属的所有管理单元。

  6. 在“受限管理”列中,查找设置为“是”的管理单元。

    Screenshot of the Administrative units page with the Restricted management column.

PowerShell

使用 Get-MgDirectoryAdministrativeUnitGet-MgDirectoryAdministrativeUnitMember 命令列出管理单元的用户、群组或设备。

注意

默认情况下,Get-MgDirectoryAdministrativeUnitMember 仅返回管理单元的顶层成员。 若要检索所有成员,请添加 -All:$true 参数。

列出用户的管理单元

$userObj = Get-MgUser -Filter "UserPrincipalName eq 'bill@example.com'"
Get-MgDirectoryAdministrativeUnit | `
   where { Get-MgDirectoryAdministrativeUnitMember -AdministrativeUnitId $_.Id | `
   where {$_.Id -eq $userObj.Id} }

列出组的管理单元

$groupObj = Get-MgGroup -Filter "DisplayName eq 'TestGroup'"
Get-MgDirectoryAdministrativeUnit | `
   where { Get-MgDirectoryAdministrativeUnitMember -AdministrativeUnitId $_.Id | `
   where {$_.Id -eq $groupObj.Id} }

列出设备的管理单元

$deviceObj = Get-MgDevice -Filter "DisplayName eq 'Test device'"
Get-MgDirectoryAdministrativeUnit | `
   where { Get-MgDirectoryAdministrativeUnitMember -AdministrativeUnitId $_.Id | `
   where {$_.Id -eq $deviceObj.Id} }

列出管理单元的用户、组和设备

$adminUnitObj = Get-MgDirectoryAdministrativeUnit -Filter "DisplayName eq 'Test administrative unit 2'"
Get-MgDirectoryAdministrativeUnitMember -AdministrativeUnitId $adminUnitObj.Id

列出管理单元的组

$adminUnitObj = Get-MgDirectoryAdministrativeUnit -Filter "DisplayName eq 'Test administrative unit 2'"
foreach ($member in (Get-MgDirectoryAdministrativeUnitMember -AdministrativeUnitId $adminUnitObj.Id)) 
{
    if($member.AdditionalProperties."@odata.type" -eq "#microsoft.graph.group")
    {
        Get-MgGroup -GroupId $member.Id
    }
}

列出管理单元的设备

$adminUnitObj = Get-MgDirectoryAdministrativeUnit -Filter "DisplayName eq 'Test administrative unit 2'"
foreach ($member in (Get-MgDirectoryAdministrativeUnitMember -AdministrativeUnitId $adminUnitObj.Id)) 
{
    if($member.AdditionalProperties.ObjectType -eq "Device")
    {
        Get-MgDevice -DeviceId $member.Id
    }
}

Microsoft Graph API

列出用户的管理单元

使用用户 List memberOf API 列出用户直属的管理单元。

GET https://microsoftgraph.chinacloudapi.cn/v1.0/users/{user-id}/memberOf/$/Microsoft.Graph.AdministrativeUnit

列出组的管理单元

使用组 List memberOf API 列出组直属的管理单元。

GET https://microsoftgraph.chinacloudapi.cn/v1.0/groups/{group-id}/memberOf/$/Microsoft.Graph.AdministrativeUnit

列出设备的管理单元

使用列出设备成员身份 API 列出设备直属的管理单元。

GET https://microsoftgraph.chinacloudapi.cn/v1.0/devices/{device-id}/memberOf/$/Microsoft.Graph.AdministrativeUnit

列出管理单元的用户、组或设备

使用列出成员 API 列出管理单元的用户、组或设备。 对于成员类型,请指定 microsoft.graph.usermicrosoft.graph.groupmicrosoft.graph.device

GET https://microsoftgraph.chinacloudapi.cn/v1.0/directory/administrativeUnits/{admin-unit-id}/members/$/microsoft.graph.group

列出单个用户是否在受限管理管理单元中

使用获取用户 (beta) API 确定用户是否在受限管理管理单元中。 查看 isManagementRestricted 属性的值。 如果该属性为 true,则它在受限制管理管理单元中。 如果该属性为 false、为空或 null,则它不在受限管理管理单元中。

GET https://microsoftgraph.chinacloudapi.cn/beta/users/{user-id}

响应

{ 
  "displayName": "John",
  "isManagementRestricted": true,
  "userPrincipalName": "john@contoso.com", 
}

后续步骤