Azure中Microsoft 365 Teams访问评审：能否自动分配策略给新建团队？

核心结论 #

目前Azure门户没有原生功能能自动给所有新建Teams分配针对全员（非仅来宾）的访问评审策略，要实现这个需求，只能靠写脚本结合Microsoft Graph来搞定。

具体操作步骤 #

• 第一步：监听新Teams的创建事件
  要么用Microsoft Graph的变更通知实时捕捉Teams创建动作，要么定期运行脚本，通过Get-MgTeam（PowerShell模块）或者GET /teams（Graph API）拉取所有Teams列表，对比历史记录识别出刚创建的团队。
• 第二步：给新Teams配置评审策略
  检测到新团队后，可二选一操作：
  1. 使用Microsoft Graph PowerShell模块：
     • 如果没有现成的全员评审模板，先执行New-MgIdentityGovernanceAccessReviewDefinition创建评审定义，明确评审范围为团队的所有成员（而非仅来宾）。
     • 再将该评审定义绑定到新Teams，把团队ID添加到评审定义的作用域参数中。
  2. 直接调用Microsoft Graph API：
     • 发送POST /identityGovernance/accessReviews/definitions请求，在请求体中填入新Teams的ID，将评审类型设为全员成员，同时配置好评审周期等相关参数。

关于Azure门户的限制说明 #

在Azure门户中配置全员成员的访问评审时，确实必须指定具体的组或Teams，无法选择“所有新建组/Teams”作为目标。这是因为原生评审策略仅支持静态指定对象，没有自动匹配新建资源的选项，所以只能通过自动化脚本补全这个能力。

内容的提问来源于stack exchange，提问作者whatever