Ist es möglich Gruppen in MS Teams zu berechtigen? Um es kurz zu machen: „JA, aber…“
Dynamische Gruppen
Unterstützt werden aktuell dynamische Gruppen und zwar nur dann, wenn man zumindest die Azure Premium P1 Lizenz für die BenutzerInnen hat. Man muss zwar nicht jedem Benutzer/jeder Benutzerin die Lizenz zuweisen, aber man muss für die Anzahl der BenutzerInnen auch die Anzahl Lizenzen haben.
Laut Microsoft Roadmap kann im Q1 2021 damit gerechnet werden, dass Gruppen tatsächlich unterstützt werden. Die Frage, die sich dazu stellt ist, was man in der Zwischenzeit als eifrige Nutzerin/eifriger Nutzer von MS Teams diesbezüglich machen kann, um Gruppen in Teams zu berechtigen.
Webjob – Workaround
Wir bei HATAHET haben uns überlegt, wie wir in so einem Fall einen Workaround schaffen könnten. Helfen könnte uns Azure bzw. ein Webjob, der in Azure gehostet wird und die MS Graph API im Hintergrund.
Ausgehend von einer Liste (Projektliste) in SharePoint (Online), in der sämtliche Projekte, für die man ein MS Team benötigt, eingetragen sind, lassen wir den Webjob die Gruppenmitglieder in Teams eintragen.
Geht man weiter davon aus, dass man in dieser Liste auch Azure-Gruppen einfügen kann (z.B. in ein spezielles Feld), so kann dann der Webjob über die Graph API, die Mitglieder der Gruppe auslesen und entweder je nach Zuordnung zum Owner oder Member eines Teams machen.
Das klingt machbar, aber birgt auch die ein oder andere Gefahr in sich.
Zum einen kann nicht verhindert werden, dass Mitglieder über die MS Teams App hinzugefügt werden, von denen die SharePoint-Liste noch nichts weiß. Somit könnte es zu einer Inkonsistenz zwischen den tatsächlichen Rechten in MS Teams und den Gruppen, die in der SharePoint-Liste eingetragen sind, kommen. So etwas könnte man leider im Moment nur organisatorisch lösen. Der Webjob könnte aber trotzdem immer wieder „darüberlaufen“ und den Zustand der SharePoint-Liste als führendes System erzwingen. D.h. es werden jene Mitglieder bzw. Owner aus Teams ausgetragen, die nicht in den Gruppen sind.
Anm.: Bei der Verwendung von dynamischen Gruppen, verändert sich aber dahingehend die MS Teams App. Es können dann keine Benutzer mehr über die MS Teams App berechtigt werden.
Zum anderen gibt es auch das Problem, dass die Auflösung der BenutzerInnen einer Gruppe eine Momentaufnahme ist. D.h. ändert sich in der Gruppe die Mitgliedschaft, wird dies nicht sofort in MS Teams spürbar. Erst wenn der Webjob anläuft, werden dann wieder die User der Gruppe in MS Teams korrigiert.
Anm. Auch bei der Verwendung von dynamischen Gruppen, gibt Microsoft an, dass es bis zu zwei Stunden dauern kann, bis Änderungen der Gruppen tatsächlich greifen.
Fazit
Will man also nicht noch ein Jahr auf die Funktion in Teams warten, kann man mit dem Webjob zumindest einen Workaround schaffen und erhält somit ein Lösung, um Gruppen nutzen zu können. Um Inkonsistenzen zwischen Liste und MS Teams zu verhindern, kann der Webjob nacharbeiten bzw. könnte dies auch organisatorisch gelöst werden.
Referenzen
https://www.microsoft.com/en-us/microsoft-365/roadmap?filters=&searchterms=50002
https://docs.microsoft.com/en-us/microsoftteams/dynamic-memberships
https://docs.microsoft.com/en-us/azure/active-directory/users-groups-roles/groups-create-rule
https://docs.microsoft.com/en-us/azure/active-directory/users-groups-roles/groups-dynamic-membership
https://docs.microsoft.com/en-us/azure/active-directory/users-groups-roles/groups-dynamic-tutorial
