如何通过Exchange Online (M365) REST API从GAL中移除已禁用AD用户并实现自动化处理

我完全懂你的痛点——Exchange Online和本地Exchange 2010的管理逻辑差得真不少，刚切换过来确实容易找不到北，尤其是你说的找不到Set-EXO命令、改不了属性这些问题，其实都是对新工具不熟悉导致的。针对你的三个问题，我给你梳理一套实用的解决方案：

一、先搞定当前已禁用用户的GAL移除 #

你提到的HiddenFromAddressListsEnabled就是控制邮箱是否在GAL中显示的核心属性，之前改不了大概率是命令用错或者权限不足。其实对应Get-EXOMailbox的设置命令Set-EXOMailbox是存在的，只是你可能没留意到。

具体操作步骤： #

1. 先确保安装并连接Exchange Online PowerShell模块：

Install-Module -Name ExchangeOnlineManagement -Force -AllowClobber
Connect-ExchangeOnline -UserPrincipalName your-admin-account@yourdomain.com

2. 批量处理已禁用用户：
   如果你是本地AD同步到云的环境，可以结合AD模块筛选禁用用户，再同步Exchange设置：

# 导入Active Directory模块（需要本地AD权限）
Import-Module ActiveDirectory

# 获取所有已禁用、且拥有Exchange邮箱的AD用户
$disabledUsers = Get-ADUser -Filter {Enabled -eq $false} -Properties ProxyAddresses, UserPrincipalName | 
                 Where-Object {$_.ProxyAddresses -match "SMTP:"}

# 遍历设置邮箱隐藏
foreach ($user in $disabledUsers) {
    try {
        Set-EXOMailbox -Identity $user.UserPrincipalName -HiddenFromAddressListsEnabled $true
        Write-Host "已成功隐藏用户 $($user.Name) 的邮箱"
    } catch {
        Write-Host "处理用户 $($user.Name) 失败：$($_.Exception.Message)"
    }
}

如果是纯云Azure AD环境，用MS Graph PowerShell模块更方便：

Install-Module Microsoft.Graph -Force
Connect-MgGraph -Scopes User.Read.All, Exchange.ManageAsApp

# 获取所有已禁用且有邮箱的云用户
$disabledUsers = Get-MgUser -Filter "AccountEnabled eq false" -Properties Mail | 
                 Where-Object {$_.Mail -ne $null}

foreach ($user in $disabledUsers) {
    try {
        Update-MgUserMailboxSettings -UserId $user.Id -HiddenFromAddressListsEnabled $true
        Write-Host "已成功隐藏用户 $($user.DisplayName) 的邮箱"
    } catch {
        Write-Host "处理用户 $($user.DisplayName) 失败：$($_.Exception.Message)"
    }
}

二、实现未来账户关闭时自动移除GAL #

要做到自动化，有两种主流方案，核心都是用户被禁用时自动触发邮箱隐藏：

方案1：Azure Automation定期同步（适合非实时场景） #

如果不需要立刻处理，每天执行一次脚本检查新禁用用户即可：

1. 在Azure门户创建Automation账户，导入ExchangeOnlineManagement或Microsoft.Graph模块；
2. 创建PowerShell Runbook，修改脚本只处理最近24小时内禁用的用户：

$threshold = (Get-Date).AddDays(-1)
$disabledUsers = Get-MgUser -Filter "AccountEnabled eq false and LastModifiedDateTime ge $threshold" -Properties Mail | 
                 Where-Object {$_.Mail -ne $null}

# 后续遍历设置逻辑和上面一致

3. 给Runbook设置定时触发器，比如每天凌晨执行一次。

方案2：Azure Logic Apps实时触发（适合即时处理） #

如果需要用户一被禁用就立刻隐藏邮箱：

1. 在Azure门户创建Logic App，选择触发器为「当Azure AD用户被更新时」，设置筛选条件为AccountEnabled字段变为false；
2. 添加动作：调用Microsoft Graph API的「更新用户邮箱设置」，把HiddenFromAddressListsEnabled设为true，传入触发事件中的用户ID；
3. 配置Logic App的权限，确保它有足够的Exchange和Azure AD操作权限。

三、能否用同一个方法完成两种需求？ #

完全可以！核心逻辑都是将已禁用用户的HiddenFromAddressListsEnabled属性设为$true：

• 处理现有用户：一次性执行批量脚本，覆盖所有历史禁用用户；
• 处理未来用户：把同一个设置逻辑做成自动化任务（定时Runbook或触发式Logic Apps），持续处理新禁用的用户。

相当于用同一个核心操作，只是执行时机不同——一次性处理历史数据，自动化任务处理未来数据，完美覆盖你的需求。

备注：内容来源于stack exchange，提问作者HackSlash