列出管理单元中的用户、组或设备
在 Microsoft Entra ID 中,你可以列出管理单元中的用户、组或设备。
先决条件
- 每个管理单元管理员都具有 Microsoft Entra ID P1 或 P2 许可证
- 管理单元成员具有 Microsoft Entra ID 免费许可证
- 使用 PowerShell 时安装的 Microsoft Graph PowerShell SDK
有关详细信息,请参阅使用 PowerShell 的先决条件。
Microsoft Entra 管理中心
可以使用 Microsoft Entra 管理中心列出管理单元中的用户、组或设备。
列出单个用户、组或设备的管理单元
提示
本文中的步骤可能因开始使用的门户而略有不同。
登录到 Microsoft Entra 管理中心。
浏览到“标识”。
浏览到以下位置之一:
- “用户”>“所有用户”
- “组”>“所有组”
- “设备”>“所有设备”
选择要列出其管理单元的用户、组或设备。
选择“管理单元”以列出该用户、组或设备所属的所有管理单元。
列出单个管理单元的用户、组或设备
登录到 Microsoft Entra 管理中心。
浏览到“标识”>“角色和管理员”>“管理单元”。
选择你要列出其用户、组或设备的管理单元。
选择以下方案之一:
- 用户
- 组
- 设备
使用“所有设备”页列出管理单元的设备
登录到 Microsoft Entra 管理中心。
浏览到“标识”>“设备”>“所有设备”。
选择管理单元的筛选器。
选择要列出其设备的管理单元。
列出单个用户或组的受限管理管理单元
登录到 Microsoft Entra 管理中心。
浏览到“标识”。
浏览到以下位置之一:
- “用户”>“所有用户”
- “组”>“所有组”
选择你要列出其受限管理管理单元的用户或组。
选择“管理单元”以列出用户或组所属的所有管理单元。
在“受限管理”列中,查找设置为“是”的管理单元。
PowerShell
使用 Get-MgDirectoryAdministrativeUnit 和 Get-MgDirectoryAdministrativeUnitMember 命令列出管理单元的用户、群组或设备。
注意
默认情况下,Get-MgDirectoryAdministrativeUnitMember 仅返回管理单元的顶层成员。 若要检索所有成员,请添加 -All:$true
参数。
列出用户的管理单元
$userObj = Get-MgUser -Filter "UserPrincipalName eq 'bill@example.com'"
Get-MgDirectoryAdministrativeUnit | `
where { Get-MgDirectoryAdministrativeUnitMember -AdministrativeUnitId $_.Id | `
where {$_.Id -eq $userObj.Id} }
列出组的管理单元
$groupObj = Get-MgGroup -Filter "DisplayName eq 'TestGroup'"
Get-MgDirectoryAdministrativeUnit | `
where { Get-MgDirectoryAdministrativeUnitMember -AdministrativeUnitId $_.Id | `
where {$_.Id -eq $groupObj.Id} }
列出设备的管理单元
$deviceObj = Get-MgDevice -Filter "DisplayName eq 'Test device'"
Get-MgDirectoryAdministrativeUnit | `
where { Get-MgDirectoryAdministrativeUnitMember -AdministrativeUnitId $_.Id | `
where {$_.Id -eq $deviceObj.Id} }
列出管理单元的用户、组和设备
$adminUnitObj = Get-MgDirectoryAdministrativeUnit -Filter "DisplayName eq 'Test administrative unit 2'"
Get-MgDirectoryAdministrativeUnitMember -AdministrativeUnitId $adminUnitObj.Id
列出管理单元的组
$adminUnitObj = Get-MgDirectoryAdministrativeUnit -Filter "DisplayName eq 'Test administrative unit 2'"
foreach ($member in (Get-MgDirectoryAdministrativeUnitMember -AdministrativeUnitId $adminUnitObj.Id))
{
if($member.AdditionalProperties."@odata.type" -eq "#microsoft.graph.group")
{
Get-MgGroup -GroupId $member.Id
}
}
列出管理单元的设备
$adminUnitObj = Get-MgDirectoryAdministrativeUnit -Filter "DisplayName eq 'Test administrative unit 2'"
foreach ($member in (Get-MgDirectoryAdministrativeUnitMember -AdministrativeUnitId $adminUnitObj.Id))
{
if($member.AdditionalProperties.ObjectType -eq "Device")
{
Get-MgDevice -DeviceId $member.Id
}
}
Microsoft Graph API
列出用户的管理单元
使用用户 List memberOf API 列出用户直属的管理单元。
GET https://microsoftgraph.chinacloudapi.cn/v1.0/users/{user-id}/memberOf/$/Microsoft.Graph.AdministrativeUnit
列出组的管理单元
使用组 List memberOf API 列出组直属的管理单元。
GET https://microsoftgraph.chinacloudapi.cn/v1.0/groups/{group-id}/memberOf/$/Microsoft.Graph.AdministrativeUnit
列出设备的管理单元
使用列出设备成员身份 API 列出设备直属的管理单元。
GET https://microsoftgraph.chinacloudapi.cn/v1.0/devices/{device-id}/memberOf/$/Microsoft.Graph.AdministrativeUnit
列出管理单元的用户、组或设备
使用列出成员 API 列出管理单元的用户、组或设备。 对于成员类型,请指定 microsoft.graph.user
、microsoft.graph.group
或 microsoft.graph.device
。
GET https://microsoftgraph.chinacloudapi.cn/v1.0/directory/administrativeUnits/{admin-unit-id}/members/$/microsoft.graph.group
列出单个用户是否在受限管理管理单元中
使用获取用户 (beta) API 确定用户是否在受限管理管理单元中。 查看 isManagementRestricted
属性的值。 如果该属性为 true
,则它在受限制管理管理单元中。 如果该属性为 false
、为空或 null,则它不在受限管理管理单元中。
GET https://microsoftgraph.chinacloudapi.cn/beta/users/{user-id}
响应
{
"displayName": "John",
"isManagementRestricted": true,
"userPrincipalName": "john@contoso.com",
}