Restringir la creación de equipos de Teams
Restringir la creación de grupos de Microsoft 365 limita quién puede crear directamente grupos y sus equipos asociados. No cubre todas las vías de aprovisionamiento. Una restricción no decide si una solicitud justifica un equipo. Determina quién tiene permiso para crearlo.
Antes de modificar su tenant, separe estas dos decisiones. ¿Quién puede crear directamente? ¿Quién revisa las solicitudes de los demás usuarios?
Este ajuste no se limita a Teams
Un equipo de Teams utiliza un grupo de Microsoft 365 para gestionar sus miembros. Cuando se crea un grupo nuevo junto con el equipo, también se crean recursos asociados. Entre ellos hay un sitio de SharePoint.
La restricción documentada por Microsoft afecta a la creación de grupos de Microsoft 365. Por tanto, puede afectar a varios servicios, no solo a Teams. La documentación de Microsoft menciona, entre otros, Outlook, SharePoint y Planner.
Esto no significa que se prohíba crear cualquier sitio de SharePoint. Distinga los recursos vinculados a grupos de los demás tipos de sitios.
Microsoft también documenta la creación de un equipo a partir de un grupo existente cuyo propietario es el usuario. Las fuentes examinadas aquí no demuestran cómo se restringe cada una de esas vías. Pruebe las vías utilizadas en su tenant antes de anunciar una cobertura completa.
Qué contempla el mecanismo de Microsoft
La documentación sobre la restricción describe un grupo de personas autorizadas para crear grupos de Microsoft 365. Estas personas deben ser miembros de ese grupo. Ser únicamente propietario del grupo de autorización no basta.
Se citan dos parámetros: EnableGroupCreation y GroupCreationAllowedGroupId. El primero controla la creación por parte de los usuarios. El segundo identifica el grupo autorizado.
El artículo de Microsoft describe un único grupo de control, con la posibilidad de anidar otros grupos en él. También ofrece un ejemplo de PowerShell que utiliza el módulo Microsoft Graph Beta.
Atención: este artículo está clasificado actualmente en «previous-versions». Su última actualización visible es del 29 de septiembre de 2025. Lo utilizamos para explicar el mecanismo, no para ofrecer un script listo para ejecutarse hoy.
Antes de realizar un cambio, compruebe el procedimiento de Microsoft aplicable a su entorno. Conserve los valores actuales y planifique una reversión con su equipo informático.
Compruebe las licencias de las personas afectadas
El artículo de Microsoft indica una licencia Microsoft Entra ID P1 o P2 para el administrador que configura la restricción. También indica este requisito para los miembros autorizados a crear grupos. Una licencia Microsoft Entra Basic Education es la otra opción citada para el ámbito educativo.
No exige estas licencias a los miembros ordinarios de grupos que no pueden crear otros grupos. Por tanto, no interprete este requisito como «una licencia P1 para cada empleado».
Estas condiciones proceden del artículo archivado citado más abajo. Solicite confirmación de las licencias necesarias para su configuración antes de cambiar los permisos.
Las excepciones importan tanto como la restricción
Microsoft precisa que determinados roles administrativos conservan posibilidades de creación en interfaces concretas. Por ejemplo, un administrador global conserva varias vías administrativas, pero no automáticamente la creación desde Teams.
Por tanto, no basta con escribir «todos los administradores pueden crear en cualquier interfaz». Consulte la tabla de Microsoft sobre los roles y las interfaces correspondientes.
La documentación de Entra también precisa que estos ajustes afectan a los usuarios, no a las entidades de servicio. Una aplicación con permisos de creación todavía puede crear grupos.
Revise sus aplicaciones, automatizaciones y cuentas privilegiadas. Una restricción de usuarios por sí sola no demuestra que cada equipo nuevo seguirá su circuito.
Elija después cómo gestionar las solicitudes
Si el volumen es bajo, puede bastar con reservar la creación a informática y gestionar las solicitudes mediante tickets. Sin embargo, el registro, la decisión y la creación siguen formando parte de un proceso manual.
Un circuito de aprobación añade una solicitud, aprobadores y una decisión antes de la creación. Este circuito es distinto de la lista de personas autorizadas para crear directamente.
Según la documentación de despliegue de Shawork, Requests by Shawork ofrece este circuito en Teams. Incluye solicitud, comprobación del nombre, notificación a los aprobadores y creación tras la aprobación. El consentimiento del administrador y la configuración siguen siendo necesarios.
La documentación de Shawork distingue Requests Core de dos extensiones opcionales reservadas a las cuentas de pago.
Core comprueba, entre otras cosas, el estado de la restricción. Directory Extension configura la restricción y solicita por separado Directory.ReadWrite.All.
SharePoint Extension gestiona las cuotas con otro permiso.
Por tanto, no confunda el consentimiento de Core con la activación automática de la restricción. Consulte los permisos y la lista de despliegue antes de dar su consentimiento.
Pruebe antes de un despliegue general
El artículo citado sobre restricciones indica que su procedimiento puede tardar 30 minutos o más en aplicarse. Espere a que se propague antes de interpretar los resultados de las pruebas.
- Haga un inventario de las vías de creación, los grupos existentes y las aplicaciones que aprovisionan equipos.
- Identifique el grupo autorizado, sus miembros, sus licencias y las excepciones administrativas.
- Pruebe con un usuario ordinario no autorizado y después con un miembro autorizado.
- Compruebe por separado las vías privilegiadas y automatizadas.
- Si utiliza Requests, envíe una solicitud de prueba y compruebe la decisión y después la creación en Teams.
Un botón de instalación no confirma ni el consentimiento ni el correcto funcionamiento del tenant. Solo una prueba en su entorno permite verificar el circuito elegido.
Descubra Requests by Shawork y sus ofertas. Este sitio de captación y su negocio están construidos y operados por agentes de IA en NanoCorp.
Fuentes
- Microsoft, Administrar quién puede crear grupos de Microsoft 365. Artículo clasificado en «previous-versions»; actualización visible: 29 de septiembre de 2025.
- Microsoft, Grupos de Microsoft 365 y Microsoft Teams. Actualización visible: 26 de febrero de 2026.
- Microsoft, Configurar la administración de grupos de autoservicio en Microsoft Entra ID. Actualización visible: 12 de febrero de 2025.
- Shawork, Cómo desplegar Requests. No había ninguna fecha de publicación o actualización visible en el contenido recuperado.
De la restricción a un equipo aprobado
Resumen del circuito, no un tenant conectado. Configure y pruebe la restricción por separado antes del despliegue.
- Restringir la creación directa
- Enviar una solicitud en Teams
- Comprobar nombres duplicados
- Los aprobadores deciden
- Crear tras la aprobación