Pravidla dynamického členství pro skupiny v MICROSOFT Entra ID
Můžete vytvořit pravidla založená na atributech, která umožní dynamické členství pro skupinu v Microsoft Entra ID, součást Microsoft Entra. Dynamické členství ve skupině přidává a odebírá členy skupiny automaticky pomocí pravidel členství na základě atributů členů. Tento článek podrobně popisuje vlastnosti a syntaxi pro vytvoření pravidel dynamického členství pro uživatele nebo zařízení. Můžete nastavit pravidlo pro dynamické členství ve skupinách zabezpečení nebo skupinách Microsoftu 365.
Když se atributy uživatele nebo zařízení změní, systém vyhodnotí všechna pravidla dynamické skupiny v adresáři a zjistí, jestli by změna aktivovala přidání nebo odebrání jakékoli skupiny. Pokud uživatel nebo zařízení splňuje pravidlo pro skupinu, přidá se jako člen této skupiny. Pokud už pravidlo nevyhovuje, odeberou se. Člena dynamické skupiny nemůžete přidat ani odebrat ručně.
- Můžete vytvořit dynamickou skupinu pro zařízení nebo pro uživatele, ale nemůžete vytvořit pravidlo, které obsahuje uživatele i zařízení.
- Skupinu zařízení nemůžete vytvořit na základě atributů uživatele vlastníka zařízení. Pravidla členství zařízení můžou odkazovat pouze na atributy zařízení.
Poznámka:
Tato funkce vyžaduje licenci Microsoft Entra ID P1 nebo Intune for Education pro každého jedinečného uživatele, který je členem jedné nebo více dynamických skupin. Abyste mohli být členy dynamických skupin, nemusíte uživatelům přiřazovat licence, ale musíte mít minimální počet licencí v organizaci Microsoft Entra, abyste mohli pokrýt všechny tyto uživatele. Pokud byste například měli celkem 1 000 jedinečných uživatelů ve všech dynamických skupinách ve vaší organizaci, potřebujete alespoň 1 000 licencí pro Microsoft Entra ID P1, abyste splnili licenční požadavek. Pro zařízení, která jsou členy dynamické skupiny zařízení, se nevyžaduje žádná licence.
Tvůrce pravidel na webu Azure Portal
Microsoft Entra ID poskytuje tvůrci pravidel pro vytváření a aktualizaci důležitých pravidel rychleji. Tvůrce pravidel podporuje vytváření až pěti výrazů. Tvůrce pravidel usnadňuje vytvoření pravidla s několika jednoduchými výrazy, ale nedá se použít k reprodukci každého pravidla. Pokud tvůrce pravidel nepodporuje pravidlo, které chcete vytvořit, můžete použít textové pole.
Tady je několik příkladů pokročilých pravidel nebo syntaxe, které vyžadují použití textového pole:
- Pravidlo s více než pěti výrazy
- Pravidlo přímých sestav
- Pravidla s operátorem -contains nebo -notContains
- Priorita operátoru nastavení
- Pravidla se složitými výrazy, například
(user.proxyAddresses -any (_ -startsWith "contoso"))
Poznámka:
Tvůrce pravidel nemusí být schopen zobrazit některá pravidla konstruovaná v textovém poli. Pokud tvůrce pravidel nemůže pravidlo zobrazit, může se zobrazit zpráva. Tvůrce pravidel nijak nemění podporovanou syntaxi, ověřování ani zpracování pravidel dynamických skupin.
Další podrobné pokyny najdete v tématu Vytvoření nebo aktualizace dynamické skupiny.
Syntaxe pravidla pro jeden výraz
Jediný výraz je nejjednodušší formou pravidla členství a má pouze tři části uvedené výše. Pravidlo s jedním výrazem vypadá podobně jako v tomto příkladu: Property Operator Value, kde syntaxe vlastnosti je název object.property.
Následující příklad znázorňuje správně vytvořené pravidlo členství s jedním výrazem:
user.department -eq "Sales"
Závorky jsou volitelné pro jeden výraz. Celková délka textu pravidla členství nesmí překročit 3072 znaků.
Vytvoření těla pravidla členství
Pravidlo členství, které automaticky naplní skupinu uživateli nebo zařízeními, je binární výraz, který má za následek pravdivý nebo nepravdivý výsledek. Tři části jednoduchého pravidla jsou:
- Vlastnost
- Operátor
- Hodnota
Pořadí částí ve výrazu je důležité, aby nedocházelo k chybám syntaxe.
Podporované vlastnosti
Existují tři typy vlastností, které lze použít k vytvoření pravidla členství.
- Logická hodnota
- DateTime
- String
- Kolekce řetězců
Následují vlastnosti uživatele, které můžete použít k vytvoření jednoho výrazu.
Vlastnosti typu boolean
| Vlastnosti | Povolené hodnoty | Využití |
|---|---|---|
| accountEnabled | true false | user.accountEnabled -eq true |
| dirSyncEnabled | true false | user.dirSyncEnabled -eq true |
Vlastnosti typu dateTime
| Vlastnosti | Povolené hodnoty | Využití |
|---|---|---|
| employeeHireDate (Preview) | Jakákoli hodnota DateTimeOffset nebo systém klíčových slov | user.employeeHireDate -eq "value" |
Vlastnosti řetězce typu
| Vlastnosti | Povolené hodnoty | Využití |
|---|---|---|
| city | Libovolná řetězcová hodnota nebo hodnota null | user.city -eq "value" |
| country | Libovolná řetězcová hodnota nebo hodnota null | user.country -eq "value" |
| Companyname | Libovolná řetězcová hodnota nebo hodnota null | user.companyName -eq "value" |
| department | Libovolná řetězcová hodnota nebo hodnota null | user.department -eq "value" |
| displayName | Libovolná řetězcová hodnota | user.displayName -eq "value" |
| Employeeid | Libovolná řetězcová hodnota | user.employeeId -eq "value" user.employeeId -ne null |
| facsimileTelephoneNumber | Libovolná řetězcová hodnota nebo hodnota null | user.facsimileTelephoneNumber -eq "value" |
| givenName | Libovolná řetězcová hodnota nebo hodnota null | user.givenName -eq "value" |
| jobTitle | Libovolná řetězcová hodnota nebo hodnota null | user.jobTitle -eq "value" |
| pošta | Libovolná řetězcová hodnota nebo hodnota null (adresa SMTP uživatele) | user.mail -eq "value" |
| mailNickName | Libovolná řetězcová hodnota (alias e-mailu uživatele) | user.mailNickName -eq "value" |
| Memberof | Jakákoli hodnota řetězce (platné ID objektu skupiny) | user.memberof -any (group.objectId -in ['value']) |
| mobilní | Libovolná řetězcová hodnota nebo hodnota null | user.mobile -eq "value" |
| objectId | IDENTIFIKÁTOR GUID objektu uživatele | user.objectId -eq "11111111-1111-1111-1111-11111-11111111" |
| onPremisesDistinguishedName | Libovolná řetězcová hodnota nebo hodnota null | user.onPremisesDistinguishedName -eq "value" |
| onPremisesSecurityIdentifier | Identifikátor zabezpečení (SID) místního prostředí (SID) pro uživatele, kteří byli synchronizovaní z místního prostředí do cloudu. | user.onPremisesSecurityIdentifier -eq "S-1-1-11-11111111-111111111111-11111111111-1111111" |
| passwordPolicies | Nic DisableStrongPassword DisablePasswordExpiration DisablePasswordExpiration, DisableStrongPassword |
user.passwordPolicies -eq "DisableStrongPassword" |
| physicalDeliveryOfficeName | Libovolná řetězcová hodnota nebo hodnota null | user.physicalDeliveryOfficeName -eq "value" |
| postalCode | Libovolná řetězcová hodnota nebo hodnota null | user.postalCode -eq "value" |
| preferredLanguage | Kód ISO 639-1 | user.preferredLanguage -eq "en-US" |
| sipProxyAddress | Libovolná řetězcová hodnota nebo hodnota null | user.sipProxyAddress -eq "value" |
| state | Libovolná řetězcová hodnota nebo hodnota null | user.state -eq "value" |
| streetAddress | Libovolná řetězcová hodnota nebo hodnota null | user.streetAddress -eq "value" |
| surname | Libovolná řetězcová hodnota nebo hodnota null | user.last -eq "value" |
| telephoneNumber | Libovolná řetězcová hodnota nebo hodnota null | user.telephoneNumber -eq "value" |
| usageLocation | Dvoumísmenný kód země nebo oblasti | user.usageLocation -eq "US" |
| userPrincipalName (Hlavní název uživatele) | Libovolná řetězcová hodnota | user.userPrincipalName -eq "alias@domain" |
| userType | Hodnota null hosta člena | user.userType -eq "Member" |
Vlastnosti kolekce řetězců typu
| Vlastnosti | Povolené hodnoty | Příklad |
|---|---|---|
| ostatní e-maily | Libovolná řetězcová hodnota | user.otherMails -startsWith "alias@domain" |
| proxyAddresses | SMTP: alias@domain smtp: alias@domain | user.proxyAddresses -startsWith "SMTP: alias@domain" |
Vlastnosti používané pro pravidla zařízení najdete v tématu Pravidla pro zařízení.
Podporované operátory výrazů
Následující tabulka uvádí všechny podporované operátory a jejich syntaxi pro jeden výraz. Operátory lze použít s předponou spojovníku (-). Operátor Contains odpovídá částečnému řetězci, ale ne k položce v kolekci.
| Operátor | Syntaxe |
|---|---|
| Není rovno | -ne |
| Je rovno | -Eq |
| Nezačíná na | -notStartsWith |
| Začíná na | -Startswith |
| Neobsahuje | -notContains |
| Contains | -Obsahuje |
| Neodpovídá | -notMatch |
| Párování | -Zápas |
| V | -In |
| Není v | -notIn |
Použití operátorů -in a -notIn
Pokud chcete porovnat hodnotu atributu uživatele s více hodnotami, můžete použít operátory -in nebo -notIn. K zahájení a ukončení seznamu hodnot použijte symboly závorek "[" a "]".
V následujícím příkladu se výraz vyhodnotí jako true, pokud se hodnota user.department rovná některé z hodnot v seznamu:
user.department -in ["50001","50002","50003","50005","50006","50007","50008","50016","50020","50024","50038","50039","51100"]
Použití operátorů -le a -ge
Při použití atributu employeeHireDate v pravidlech dynamické skupiny můžete použít operátory menší než (-le) nebo větší než (-ge).
Příklady:
user.employeehiredate -ge system.now -plus p1d
user.employeehiredate -le 2020-06-10T18:13:20Z
Použití operátoru -match
Operátor -match se používá pro porovnávání libovolného regulárního výrazu. Příklady:
user.displayName -match "^Da.*"
Da, Dav, David vyhodnotit na true, aDa vyhodnotí na false.
user.displayName -match ".*vid"
David vyhodnotí hodnotu true, Da vyhodnotí se jako nepravda.
Podporované hodnoty
Hodnoty použité ve výrazu se můžou skládat z několika typů, mezi které patří:
- Řetězce
- Logická hodnota – true, false
- Čísla
- Matice – číselná matice, pole řetězců
Při zadávání hodnoty ve výrazu je důležité použít správnou syntaxi, abyste se vyhnuli chybám. Tady je několik tipů pro syntaxi:
- Dvojité uvozovky jsou volitelné, pokud se nejedná o řetězec.
- Operace řetězců a regulárních výrazů nerozlišuje malá a velká písmena.
- Pokud řetězcová hodnota obsahuje dvojité uvozovky, obě uvozovky by měly být uvozovány pomocí znaku ', například user.department -eq '"Sales", je správná syntaxe, pokud je hodnota "Sales". Jednoduché uvozovky by měly být uvozené pomocí dvou jednoduchých uvozovek, nikoli jednou.
- Můžete také provést kontroly null pomocí null jako hodnoty,
user.department -eq nullnapříklad .
Použití hodnot Null
Chcete-li zadat hodnotu null v pravidle, můžete použít hodnotu null .
- Při porovnávání hodnoty null ve výrazu použijte parametr -eq nebo -ne.
- Uvozovky kolem slova null použijte pouze v případě, že chcete, aby byla interpretována jako hodnota literálového řetězce.
- Operátor -not nelze použít jako srovnávací operátor s hodnotou null. Pokud ji použijete, zobrazí se chyba, jestli používáte hodnotu null nebo $null.
Správný způsob, jak odkazovat na hodnotu null, je následující:
user.mail –ne null
Pravidla s více výrazy
Pravidlo členství ve skupině se může skládat z více než jednoho výrazu spojeného operátory -, -nebo a -not logickými operátory. Logické operátory lze použít také v kombinaci.
Tady jsou příklady správně vytvořených pravidel členství s více výrazy:
(user.department -eq "Sales") -or (user.department -eq "Marketing")
(user.department -eq "Sales") -and -not (user.jobTitle -startsWith "SDE")
Priorita operátorů
Všechny operátory jsou uvedené níže v pořadí podle priority od nejvyššího po nejnižší. Operátory na stejném řádku mají stejnou prioritu:
-eq -ne -startsWith -notStartsWith -contains -notContains -match –notMatch -in -notIn
-not
-and
-or
-any -all
Následující příklad znázorňuje prioritu operátoru, kde se pro uživatele vyhodnocují dva výrazy:
user.department –eq "Marketing" –and user.country –eq "US"
Závorky jsou potřeba jenom v případě, že priorita nesplňuje vaše požadavky. Pokud například chcete, aby bylo oddělení vyhodnoceno jako první, ukazuje následující příklad, jak lze použít závorky k určení pořadí:
user.country –eq "US" –and (user.department –eq "Marketing" –or user.department –eq "Sales")
Pravidla s komplexními výrazy
Pravidlo členství se může skládat ze složitých výrazů, ve kterých vlastnosti, operátory a hodnoty přebírají složitější formuláře. Výrazy se považují za složité, pokud platí některá z následujících možností:
- Vlastnost se skládá z kolekce hodnot; konkrétně vlastnosti s více hodnotami
- Výrazy používají operátory -any a -all.
- Hodnota výrazu může být jeden nebo více výrazů.
Vlastnosti s více hodnotami
Vlastnosti s více hodnotami jsou kolekce objektů stejného typu. Dají se použít k vytvoření pravidel členství pomocí logických operátorů -any a -all.
| Vlastnosti | Hodnoty | Využití |
|---|---|---|
| assignedPlans | Každý objekt v kolekci zveřejňuje následující vlastnosti řetězce: capabilityStatus, service, servicePlanId | user.assignedPlans -any (assignedPlan.servicePlanId -eq "efb87545-963c-4e0d-99df-69c6916d9eb0" -and assignedPlan.capabilityStatus -eq "Enabled") |
| proxyAddresses | SMTP: alias@domain smtp: alias@domain | (user.proxyAddresses -any (_ -startsWith "contoso")) |
Použití operátorů -any a -all
Pomocí operátoru -any a -all můžete použít podmínku pro jednu nebo všechny položky v kolekci.
- -any (splněno, když alespoň jedna položka v kolekci odpovídá podmínce)
- -all (splněno, když všechny položky v kolekci odpovídají podmínce)
Příklad 1
assignedPlans je vlastnost s více hodnotami, která obsahuje seznam všech plánů služeb přiřazených uživateli. Následující výraz vybere uživatele, kteří mají plán služby Exchange Online (Plán 2) (jako hodnotu GUID), který je také ve stavu Povoleno:
user.assignedPlans -any (assignedPlan.servicePlanId -eq "efb87545-963c-4e0d-99df-69c6916d9eb0" -and assignedPlan.capabilityStatus -eq "Enabled")
Pravidlo, jako je tento, se dá použít k seskupení všech uživatelů, pro které je povolená služba Microsoft 365 nebo jiná funkce online služby Microsoftu. Pak můžete použít sadu zásad pro skupinu.
Příklad 2
Následující výraz vybere všechny uživatele, kteří mají jakýkoli plán služby přidružený ke službě Intune (identifikovaný názvem služby SCO):
user.assignedPlans -any (assignedPlan.service -eq "SCO" -and assignedPlan.capabilityStatus -eq "Enabled")
Příklad 3
Následující výraz vybere všechny uživatele, kteří nemají přiřazený plán služby:
user.assignedPlans -all (assignedPlan.servicePlanId -ne null)
Použití syntaxe podtržítka (_)
Syntaxe podtržítka (_) odpovídá výskytům určité hodnoty v jedné z vlastností kolekce vícehodnotových řetězců pro přidání uživatelů nebo zařízení do dynamické skupiny. Používá se s operátory -any nebo -all.
Tady je příklad použití podtržítka (_) v pravidle k přidání členů na základě user.proxyAddress (funguje to stejně pro user.otherMails). Toto pravidlo přidá do skupiny všechny uživatele s adresou proxy, která začíná na "contoso".
(user.proxyAddresses -any (_ -startsWith "contoso"))
Další vlastnosti a běžná pravidla
Vytvoření pravidla "Přímé sestavy"
Můžete vytvořit skupinu obsahující všechny přímé sestavy vedoucího. Když se přímé sestavy vedoucího v budoucnu změní, členství ve skupině se upraví automaticky.
Pravidlo přímých sestav se konstruuje pomocí následující syntaxe:
Direct Reports for "{objectID_of_manager}"
Tady je příklad platného pravidla, kde 62e19b97-8b3d-4d4a-a106-4ce66896a863 je ID objektu správce:
Direct Reports for "62e19b97-8b3d-4d4a-a106-4ce66896a863"
Následující tipy vám můžou pomoct správně použít pravidlo.
- ID správce je ID objektu správce. Najdete ho v profilu manažera.
- Aby pravidlo fungovalo, ujistěte se, že je vlastnost Správce správně nastavená pro uživatele ve vaší organizaci. Aktuální hodnotu můžete zkontrolovat v profilu uživatele.
- Toto pravidlo podporuje pouze přímé sestavy vedoucího. Jinými slovy, nemůžete vytvořit skupinu s přímými sestavami vedoucího a jejich sestavami.
- Toto pravidlo nelze kombinovat s žádnými dalšími pravidly členství.
Vytvoření pravidla Všichni uživatelé
Pomocí pravidla členství můžete vytvořit skupinu obsahující všechny uživatele v organizaci. Když se uživatelé v budoucnu přidají nebo odeberou z organizace, členství ve skupině se upraví automaticky.
Pravidlo "Všichni uživatelé" je vytvořené pomocí jednoho výrazu pomocí operátoru -ne a hodnoty null. Toto pravidlo přidá uživatele typu host B2B a členské uživatele do skupiny.
user.objectId -ne null
Pokud chcete, aby vaše skupina vyloučila uživatele typu host a zahrnovala pouze členy vaší organizace, můžete použít následující syntaxi:
(user.objectId -ne null) -and (user.userType -eq "Member")
Vytvoření pravidla Všechna zařízení
Pomocí pravidla členství můžete vytvořit skupinu obsahující všechna zařízení v organizaci. Když se zařízení v budoucnu přidají nebo odeberou z organizace, členství ve skupině se automaticky upraví.
Pravidlo Všechna zařízení se konstruuje pomocí jednoho výrazu pomocí operátoru -ne a hodnoty null:
device.objectId -ne null
Vlastnosti rozšíření a vlastní vlastnosti rozšíření
Atributy rozšíření a vlastní vlastnosti rozšíření jsou podporovány jako vlastnosti řetězce v pravidlech dynamického členství. Atributy rozšíření je možné synchronizovat z místní služby Windows Server Active Directory nebo aktualizovat pomocí Microsoft Graphu a použít formát ExtensionAttributeX, kde X se rovná 1 až 15. Vlastnosti rozšíření s více hodnotami nejsou podporovány v pravidlech dynamického členství. Tady je příklad pravidla, které jako vlastnost používá atribut rozšíření:
(user.extensionAttribute15 -eq "Marketing")
Vlastní vlastnosti rozšíření je možné synchronizovat z místní služby Windows Server Active Directory, z připojené aplikace SaaS nebo vytvořit pomocí Microsoft Graphu a jsou ve formátu user.extension_[GUID]_[Attribute], kde:
- [GUID] je stripped verze jedinečného identifikátoru v Microsoft Entra ID pro aplikaci, která vytvořila vlastnost. Obsahuje pouze znaky 0–9 a A-Z.
- [Attribute] je název vlastnosti při jejím vytvoření.
Příkladem pravidla, které používá vlastní vlastnost rozšíření, je:
user.extension_c272a57b722d4eb29bfe327874ae79cb_OfficeNumber -eq "123"
Vlastní vlastnosti rozšíření se také nazývají vlastnosti rozšíření adresáře nebo rozšíření Microsoft Entra.
Název vlastní vlastnosti najdete v adresáři dotazováním vlastnosti uživatele pomocí Graph Exploreru a vyhledáním názvu vlastnosti. V tvůrci pravidel dynamické skupiny uživatelů teď můžete také vybrat odkaz Získat vlastní vlastnosti rozšíření a zadat jedinečné ID aplikace a získat úplný seznam vlastností vlastního rozšíření, které se mají použít při vytváření pravidla dynamického členství. Tento seznam můžete také aktualizovat, abyste získali všechny nové vlastnosti vlastního rozšíření pro danou aplikaci. Atributy rozšíření a vlastní vlastnosti rozšíření musí být z aplikací ve vašem tenantovi.
Další informace naleznete v tématu Použití atributů v dynamických skupinách v článku Microsoft Entra Připojení Sync: Rozšíření adresáře.
Pravidla pro zařízení
Můžete také vytvořit pravidlo, které vybere objekty zařízení pro členství ve skupině. Uživatele i zařízení nemůžete mít jako členy skupiny.
Poznámka:
Atribut organizationalUnit už není uvedený a neměl by se používat. Tento řetězec nastavuje Intune v konkrétních případech, ale microsoft Entra ID nerozpozná, takže do skupin založených na tomto atributu se nepřidávají žádná zařízení.
Poznámka:
systemlabels je atribut jen pro čtení, který nejde nastavit v Intune.
Pro Windows 10 je správný formát atributu deviceOSVersion následující: (device.deviceOSVersion -startsWith "10.0.1"). Formátování je možné ověřit pomocí rutiny PowerShellu Get-MgDevice:
Get-MgDevice -Search "displayName:YourMachineNameHere" -ConsistencyLevel eventual | Select-Object -ExpandProperty 'OperatingSystemVersion'
Můžete použít následující atributy zařízení.
| Atribut zařízení | Hodnoty | Příklad |
|---|---|---|
| accountEnabled | true false | device.accountEnabled -eq true |
| deviceCategory | platný název kategorie zařízení | device.deviceCategory -eq "BYOD" |
| deviceId | platné ID zařízení Microsoft Entra | device.deviceId -eq "d4fe7726-5966-431c-b3b8-cddc8fdb717d" |
| deviceManagementAppId | platné ID aplikace MDM v Microsoft Entra ID | device.deviceManagementAppId -eq "0000000a-0000-0000-c000-00000000000000" pro zařízení spravovaná nástrojem System Center Configuration Manager nebo "54b943f8-d761-4f8d-951e-9cea1846db5a" pro zařízení spravovaná nástrojem System Center Configuration Manager |
| deviceManufacturer | libovolná řetězcová hodnota | device.deviceManufacturer -eq "Samsung" |
| deviceModel | libovolná řetězcová hodnota | deviceModel -eq "iPad Air" |
| displayName | libovolná řetězcová hodnota | device.displayName -eq "Rob i Telefon" |
| deviceOSType | libovolná řetězcová hodnota | (device.deviceOSType -eq "iPad") -nebo (device.deviceOSType -eq "i Telefon") device.deviceOSType -startsWith "AndroidEnterprise" device.deviceOSType -eq "AndroidForWork" device.deviceOSType -eq "Windows" |
| deviceOSVersion | libovolná řetězcová hodnota | device.deviceOSVersion -eq "9.1" device.deviceOSVersion -startsWith "10.0.1" |
| DeviceOwnership | Osobní, Společnost, Neznámé | device.deviceOwnership -eq "Company" |
| devicePhysicalIds | libovolná řetězcová hodnota používaná autopilotem, například všechna zařízení Autopilot, IDobjednávky nebo PurchaseOrderID | device.devicePhysicalIDs -any _ -startsWith "[ZTDId]" (device.devicePhysicalIds -any _ -eq "[OrderID]:179887111881" (device.devicePhysicalIds -any _ -eq "[PurchaseOrderId]:76222342342" |
| deviceTrustType | AzureAD, ServerAD, Pracoviště | device.deviceTrustType -eq "AzureAD" |
| enrollmentProfileName | Název profilu registrace zařízení Apple, název vyhrazeného profilu registrace zařízení s Androidem Enterprise nebo název profilu Windows Autopilot | device.enrollmentProfileName -eq "DEP i Telefon s" |
| extensionAttribute1 | libovolná řetězcová hodnota | device.extensionAttribute1 -eq "some string value" |
| extensionAttribute2 | libovolná řetězcová hodnota | device.extensionAttribute2 -eq "some string value" |
| extensionAttribute3 | libovolná řetězcová hodnota | device.extensionAttribute3 -eq "some string value" |
| extensionAttribute4 | libovolná řetězcová hodnota | device.extensionAttribute4 -eq "some string value" |
| extensionAttribute5 | libovolná řetězcová hodnota | device.extensionAttribute5 -eq "some string value" |
| extensionAttribute6 | libovolná řetězcová hodnota | device.extensionAttribute6 -eq "some string value" |
| extensionAttribute7 | libovolná řetězcová hodnota | device.extensionAttribute7 -eq "some string value" |
| extensionAttribute8 | libovolná řetězcová hodnota | device.extensionAttribute8 -eq "some string value" |
| extensionAttribute9 | libovolná řetězcová hodnota | device.extensionAttribute9 -eq "some string value" |
| extensionAttribute10 | libovolná řetězcová hodnota | device.extensionAttribute10 -eq "some string value" |
| extensionAttribute11 | libovolná řetězcová hodnota | device.extensionAttribute11 -eq "some string value" |
| extensionAttribute12 | libovolná řetězcová hodnota | device.extensionAttribute12 -eq "some string value" |
| extensionAttribute13 | libovolná řetězcová hodnota | device.extensionAttribute13 -eq "some string value" |
| extensionAttribute14 | libovolná řetězcová hodnota | device.extensionAttribute14 -eq "some string value" |
| extensionAttribute15 | libovolná řetězcová hodnota | device.extensionAttribute15 -eq "some string value" |
| isRooted | true false | device.isRooted -eq true |
| managementType | MDM (pro mobilní zařízení) | device.managementType -eq "MDM" |
| Memberof | Jakákoli hodnota řetězce (platné ID objektu skupiny) | device.memberof -any (group.objectId -in ['value']) |
| objectId | platné ID objektu Microsoft Entra | device.objectId -eq "76ad43c9-32c5-45e8-a272-7b58b58f596d" |
| profileType | platný typ profilu v Microsoft Entra ID | device.profileType -eq "RegisteredDevice" |
| systemLabels | libovolný řetězec odpovídající vlastnosti zařízení Intune pro označování zařízení moderního pracoviště | device.systemLabels -startsWith "M365Managed" |
Poznámka:
Při vytváření deviceOwnership dynamických skupin pro zařízení je nutné nastavit hodnotu rovnající se Company. V Intune je vlastnictví zařízení reprezentováno jako podnikové. Další informace naleznete v tématu OwnerTypes další podrobnosti.
Pokud používáte deviceTrustType k vytváření dynamických skupin pro zařízení, musíte nastavit hodnotu, která AzureAD se rovná reprezentaci zařízení připojených k Microsoftu Entra, ServerAD aby představovala zařízení připojená k Microsoftu Entra nebo Workplace aby představovala registrovaná zařízení Microsoft Entra.
Při vytváření extensionAttribute1-15 dynamických skupin pro zařízení je potřeba nastavit hodnotu pro extensionAttribute1-15 zařízení. Další informace o tom, jak psát extensionAttributes na objektu zařízení Microsoft Entra
Další kroky
Tyto články obsahují další informace o skupinách v Microsoft Entra ID.