Eingrenzen von Benutzern oder Gruppen für die Bereitstellung mit Bereichsfiltern

Erfahren Sie, wie Sie Bereichsfilter im Microsoft Entra-Bereitstellungsdienst verwenden, um attributbasierte Regeln zu definieren. Die Regeln werden verwendet, um zu bestimmen, welche Benutzer oder Gruppen bereitgestellt werden.

Anwendungsfälle für Bereichsfilter

Mit Bereichsfiltern verhindern Sie, dass Objekte in Apps mit automatisierter Benutzerbereitstellung bereitgestellt werden, wenn ein Objekt Ihre geschäftlichen Anforderungen nicht erfüllt. Mit einem Bereichsfilter können Sie Benutzer anhand eines Attributs, das mit einem bestimmten Wert übereinstimmt, ein- oder ausschließen. Wenn Sie Benutzer*innen beispielsweise über Microsoft Entra ID für eine SaaS-Anwendung bereitstellen, die von einem Vertriebsteam genutzt wird, können Sie angeben, dass die Bereitstellung nur für Benutzer*innen mit der Einstellung „Sales“ für das Attribut „Department“ durchgeführt werden soll.

Bereichsfilter können abhängig von der Art des Bereitstellungsconnectors unterschiedlich verwendet werden:

  • Ausgehende Bereitstellung von Microsoft Entra ID für SaaS-Anwendungen. Wenn Microsoft Entra ID das Quellsystem ist, sind Zuweisungen von Benutzer*innen und Gruppen die gängigste Methode, um zu ermitteln, welche Benutzer*innen im Bereich der Bereitstellung enthalten sind. Diese Zuweisungen werden auch verwendet, um das einmalige Anmelden zu ermöglichen und eine zentrale Methode für die Zugriffs- und Bereitstellungsverwaltung bereitzustellen. Bereichsfilter können optional verwendet werden – zusätzlich zu oder anstelle von Zuweisungen –, um Benutzer basierend auf Attributwerten zu filtern.

    Tipp

    Je mehr Benutzer und Gruppen im Bereitstellungsumfang enthalten sind, desto länger kann der Synchronisierungsprozess dauern. Wenn Sie den Bereich zum Synchronisieren zugewiesener Benutzer und Gruppen festlegen, wird durch das Beschränken der Anzahl der Gruppen, die der App zugewiesen sind, und das Beschränken der Gruppengröße die Zeit verringert, die für das Synchronisieren aller im Bereich enthaltenen Benutzer erforderlich ist.

  • Eingehende Bereitstellung aus HCM-Anwendungen für Microsoft Entra ID und Active Directory. Wenn eine HCM-Anwendung (beispielsweise Workday) das Quellsystem ist, sind Bereichsfilter die Hauptmethode, um zu ermitteln, welche Benutzer*innen aus der HCM-Anwendung für Active Directory oder Microsoft Entra ID bereitgestellt werden sollen.

Standardmäßig sind für Microsoft Entra-Bereitstellungsconnectors keine attributbasierten Bereichsfilter konfiguriert.

Wenn Microsoft Entra ID das Quellsystem ist, sind Zuweisungen von Benutzer*innen und Gruppen die gängigste Methode, um zu ermitteln, welche Benutzer*innen im Bereich der Bereitstellung enthalten sind. Es wird empfohlen, die Anzahl der Benutzer im Bereich zu verringern, um die Leistung zu verbessern und zugewiesene Benutzer und Gruppen zu synchronisieren, anstatt alle Benutzer und Gruppen zu synchronisieren.

Bereichsfilter können optional zusätzlich zum Eingrenzen nach Zuweisung verwendet werden. Mit einem Bereichsfilter kann der Microsoft Entra-Bereitstellungsdienst Benutzer*innen anhand eines Attributs, das mit einem bestimmten Wert übereinstimmt, ein- oder ausschließen. Wenn Sie Benutzer beispielsweise über ein Vertriebsteam bereitstellen, können Sie angeben, dass die Bereitstellung nur für Benutzer mit der Einstellung „Sales“ für das Attribut „Department“ durchgeführt werden soll.

Erstellung von Bereichsfiltern

Ein Bereichsfilter enthält mindestens eine Klausel. Klauseln bestimmen, welche Benutzer den Bereichsfilter passieren dürfen. Hierzu werden die Attribute der einzelnen Benutzer ausgewertet. Wenn für eine Klausel also beispielsweise das state-Attribut eines Benutzers „New York“ lauten muss, werden für die Anwendung nur Benutzer aus New York bereitgestellt.

Mit einer einzelnen Klausel wird eine einzelne Bedingung für einen einzelnen Attributwert definiert. Wenn in einem einzelnen Bereichsfilter mehrere Klauseln erstellt werden, werden sie per „AND“-Logik zusammen ausgewertet. Die „AND“-Logik bedeutet, dass die Auswertung für alle Klauseln „true“ ergeben muss, damit ein Benutzer bereitgestellt werden kann.

Für eine einzelne Anwendung können außerdem mehrere Bereichsfilter erstellt werden. Mehrere Bereichsfilter werden gemeinsam mittels OR-Logik ausgewertet. Die „OR“-Logik bedeutet, dass wenn die Auswertung für alle Klauseln der konfigurierten Bereichsfilter „true“ ergibt, der Benutzer bereitgestellt wird.

Die vom Microsoft Entra-Bereitstellungsdienst verarbeiteten Benutzer*innen oder Gruppen werden jeweils einzeln auf der Grundlage der einzelnen Bereichsfilter ausgewertet.

Als Beispiel soll der folgende Bereichsfilter dienen:

Bereichsfilter

Gemäß diesem Bereichsfilter müssen Benutzer die folgenden Kriterien erfüllen, damit sie bereitgestellt werden können:

  • Sie müssen sich in New York befinden.
  • Sie müssen in der Technikabteilung arbeiten.
  • Ihre Unternehmensmitarbeiter-ID muss zwischen 1.000.000 und 2.000.000 liegen.
  • Ihre Position darf nicht NULL oder leer sein.

Erstellen von Bereichsfiltern

Bereichsfilter werden im Rahmen der Attributzuordnungen für jeden Bereitstellungsconnector für Microsoft Entra-Benutzer*innen konfiguriert. In der folgenden Prozedur wird davon ausgegangen, dass Sie bereits die automatische Bereitstellung für eine der unterstützten Anwendungen eingerichtet haben und dafür nun einen Bereichsfilter hinzufügen möchten.

Erstellen eines Bereichsfilters

  1. Melden Sie sich beim Microsoft Entra Admin Center mindestens mit der Rolle Anwendungsadministrator an.

  1. Navigieren Sie zu Entra ID>Enterprise-Apps>alle Anwendungen.

  2. Wählen Sie die Anwendung aus, für die Sie die automatische Bereitstellung konfiguriert haben: z. B. ServiceNow.

  1. Navigieren Sie zu Entra ID>Synchronisierungskonfigurationen> für den mandantenübergreifenden Mandanten.

  2. Wählen Sie Ihre Konfiguration aus.

  1. Wählen Sie die Registerkarte Bereitstellung aus.

  2. Wählen Sie unter "Verwalten" die Option "Bereichsfilter" aus. Auf der Seite "Bereichsfilter" werden zwei Registerkarten angezeigt: Benutzer und Gruppen. Wählen Sie die Registerkarte für den Objekttyp aus, den Sie festlegen möchten.

  3. Klicken Sie auf das Bleistiftsymbol, um diese zu bearbeiten. Der Assistent zum Konfigurieren von Bereichsfiltern wird geöffnet und führt Sie durch die folgenden Schritte:

    a) Bereichseinstellungen – Konfigurieren, welche Objekte für die Bereitstellung aktiviert sind.

    b. Bereich nach Zuordnung – Wählen Sie aus, ob Benutzer und Gruppen nach Zuweisung (empfohlen) festgelegt werden sollen.

    c. Benutzer und Gruppen – Wählen Sie die Benutzer und Gruppen aus, die in den Bereich aufgenommen werden sollen. Mit dieser Option wird bestimmt, welche Benutzer der App zugewiesen sind. Dies ist die gleiche Liste von Benutzern und Gruppen, die für einmaliges Anmelden verwendet werden. Weitere Informationen finden Sie unter Zuweisen von Benutzern und Gruppen zu einer Anwendung.

    d. Bereich nach Attribut – Definieren von attributbasierten Bereichsdefinitionsklauseln. Wählen Sie einen Quellattributenamen, einen Operator und einen Attributwert aus, mit dem abgeglichen werden soll.

    e. Überprüfen – Überprüfen Sie die Bereichsfilterkonfiguration, und bestätigen Sie Die Änderungen.

  4. Definieren Sie im Schritt "Bereich nach Attribut " Klauseln zum Filtern von Benutzern basierend auf Attributwerten. Die folgenden Operatoren werden unterstützt:

    a) &. Die Klausel gibt „true“ zurück, wenn das ausgewertete Attribut in der Eingabezeichenfolge enthalten ist.

    b. !&. Die Klausel gibt „true“ zurück, wenn das ausgewertete Attribut nicht in der Eingabezeichenfolge enthalten ist.

    c. ENDS_WITH Die Klausel gibt „true“ zurück, wenn das ausgewertete Attribut mit der Eingabezeichenfolge endet.

    d. EQUALS. Die Klausel gibt „true“ zurück, wenn das ausgewertete Attribut exakt dem Wert der Eingabezeichenfolge entspricht (Groß-/Kleinschreibung wird berücksichtigt).

    e. Greater_Than. Die Klausel gibt „true“ zurück, wenn das ausgewertete Attribut größer als der Wert ist. Der für den Bereichsfilter angegebene Wert muss eine ganze Zahl sein, und das-Attribut für den Benutzer muss ebenfalls eine ganze Zahl [0, 1, 2,...] sein.

    f. Greater_Than_OR_EQUALS. Die Klausel gibt „true“ zurück, wenn das ausgewertete Attribut größer oder gleich als dem Wert ist. Der für den Bereichsfilter angegebene Wert muss eine ganze Zahl sein, und das-Attribut für den Benutzer muss ebenfalls eine ganze Zahl [0, 1, 2,...] sein.

    g. Includes: Die Klausel gibt „true“ zurück, wenn das ausgewertete Attribut den Zeichenfolgewert enthält, wie hier beschrieben. (Bei der Auswertung wird die Groß-/Kleinschreibung berücksichtigt.)

    h. IST FALSCH. Die Klausel gibt „true“ zurück, wenn das ausgewertete Attribut den booleschen Wert „false“ enthält.

    i. IST NICHT NULL. Die Klausel gibt „true“ zurück, wenn das ausgewertete Attribut nicht leer ist.

    j. IS NULL. Die Klausel gibt „true“ zurück, wenn das ausgewertete Attribut leer ist.

    k. IST WAHR. Die Klausel gibt „true“ zurück, wenn das ausgewertete Attribut den booleschen Wert „true“ enthält.

    l. IST NICHT GLEICH. Die Klausel gibt „true“ zurück, wenn das ausgewertete Attribut nicht dem Wert der Eingabezeichenfolge entspricht (Groß-/Kleinschreibung wird berücksichtigt).

    m. KEINE REGEX-ÜBEREINSTIMMUNG. Die Klausel gibt „true“ zurück, wenn das ausgewertete Attribut nicht mit einem Muster für reguläre Ausdrücke übereinstimmt. Sie gibt „false“ zurück, wenn das Attribut NULL/leer ist.

    n. REGEX MATCH. Die Klausel gibt „true“ zurück, wenn das ausgewertete Attribut mit einem Muster für reguläre Ausdrücke übereinstimmt. Beispiel: ([1-9][0-9]) entspricht einer beliebigen Zahl zwischen 10 und 99 (Groß-/Kleinbuchstaben wird beachtet).

    Wichtig

    • Der IsMemberOf-Filter wird aktuell nicht unterstützt.
    • Das Members-Attribut für eine Gruppe wird derzeit nicht unterstützt.
    • Die Filterung wird für mehrwertige Attribute nicht unterstützt.
    • Von Bereichsfiltern wird „false“ zurückgegeben, wenn der Wert NULL bzw. leer ist.

  5. Fügen Sie nach Bedarf im Bereich nach Attributschritt weitere Bereichsdefinitionsklauseln hinzu.

  6. Überprüfen Sie im Schritt " Überprüfen " Ihre Bereichsfilterkonfiguration, und wählen Sie "Speichern" aus.

Wichtig

Beim Speichern eines neuen Bereichsfilters wird eine neue vollständige Synchronisierung für die Anwendung ausgelöst, bei der alle Benutzer im Quellsystem für den neuen Bereichsfilter neu ausgewertet werden. Wenn ein Benutzer in der Anwendung im Bereitstellungsbereich enthalten war und sich dies ändert, wird sein Konto in der Anwendung deaktiviert (bzw. die Bereitstellung aufgehoben). Informationen zum Außerkraftsetzen dieses Standardverhaltens finden Sie unter Überspringen des Löschens von Benutzerkonten außerhalb des gültigen Bereichs.

Allgemeine Bereichsfilter

Zielattribut Bediener value Beschreibung
Benutzerprinzipalname REGEX MATCH .*\@domain.com Alle Benutzer mit userPrincipal der Domäne „@domain.com“ befinden sich im Geltungsbereich für die Bereitstellung.
Benutzerprinzipalname NICHT REGEX-ÜBEREINSTIMMUNG .*\@domain.com Alle Benutzer mit userPrincipal der Domäne „@domain.com“ befinden sich außerhalb des Geltungsbereichs für die Bereitstellung.
department EQUALS sales Alle Benutzer der Vertriebsabteilung befinden sich im Umfang der Bereitstellung.
Mitarbeiter-ID REGEX MATCH (1[0-9][0-9][0-9][0-9][0-9][0-9]) Alle Mitarbeiter mit workerID zwischen 1.000.000 und 2.000.000 befinden sich im Geltungsbereich der Bereitstellung.
  • Zuletzt aktualisiert um