如何限制群组所有者仅可添加/移除成员，无法新增所有者？

你可以通过以下两种方式实现该需求：

方法一：创建Azure AD自定义角色 #

• 新建一个自定义角色，仅包含添加/移除群组成员的权限（对应权限ID：microsoft.directory/groups/members/update），同时排除添加/移除群组所有者的权限（对应权限ID：microsoft.directory/groups/owners/update）。
• 将这个自定义角色分配给目标群组的所有者，替代默认的群组所有者角色。

方法二：用PowerShell配置群组权限设置 #

运行以下PowerShell命令，修改全局群组设置，限制所有者添加新所有者的权限：

# 连接到Azure AD
Connect-AzureAD

# 获取统一组设置模板
$template = Get-AzureADDirectorySettingTemplate | Where-Object {$_.DisplayName -eq "Group.Unified"}

# 创建设置实例
$settings = $template.CreateDirectorySetting()

# 禁用群组所有者添加其他所有者的权限
$settings["AllowGroupOwnersToAddOwners"] = $false

# 应用全局设置（若需针对特定群组，需指定群组ID）
New-AzureADDirectorySetting -DirectorySetting $settings

注意事项 #

• 配置生效后，群组所有者通过https://myaccount.microsoft.com/groups管理群组时，将无法看到添加/移除所有者的操作选项。
• 全局管理员不受此限制，仍拥有完整的群组管理权限。

内容的提问来源于stack exchange，提问作者George