Entra ID Dynamic group membership rule

Question

Hola, el tenant que tenemos es cross para varios paises. Actualmente tenemos 4 grupos para manejar los updates mediante WUFB, y estos grupos los tenemos sincronizados desde nuestro SCCM local. Queremos dejar de utilizar nuestro SCCM para el sync y en su lugar utilizar los 4 grupos cloud y armar querys para que se mantengan actualizados.

Grupo 1 aprox 100 equipos

Grupo 2 aprox 700 equipos

Grupo 3 aprox 2000 equipos

Grupo 4 aprox 8000 equipos

El problema que tenemos es que al comenzar a armar las query para agregar dentro de cada uno, pocos equipos de cada tipo (Seguridad, IT, Sales, Vendor, Hubs, etc, etc) se vuelve demasiado compleja.

Por ejemplo:

((device.displayName -startsWith "DHY") and (device.displayName -endsWith "b")) or

((device.displayName -startsWith "UUE") and (device.displayName -endsWith "1-1")) or

((device.displayName -startsWith "AIS") and (device.displayName -endsWith "1-1")) or

((device.displayName -startsWith "IMC") and (device.displayName -endsWith "1-1")) or

((device.displayName -startsWith "POW") and (device.displayName -endsWith "02"))

Pero como Azure no permite exclusion por grupo, entonces en el proximo grupo nos vemos obligados a excluir los equipos de arriba.

((device.displayName -startsWith "DHY") and (device.displayName -NotendsWith "b")) or

((device.displayName -startsWith "UUE") and (device.displayName -NotendsWith "1-1")) or

((device.displayName -startsWith "AIS") and (device.displayName -NotendsWith "1-1")) or

((device.displayName -startsWith "IMC") and (device.displayName -NotendsWith "1-1")) or

((device.displayName -startsWith "POW") and (device.displayName -NotendsWith "02"))

Los ejemplos que puse son pocos, tenemos muchos mas obviamente.

El problema es cuando llegamos al grupo 4, que debemos comenzar a excluir todo lo que ya agregamos en los grupos anteriores para que no se repitan los equipos y no entren en conflictos las policies, y particularmente el problema es que ya llegue al limite de 3000 caracteres para la query.

No entiendo que estoy haciendo mal.

La limitación de no poder excluir los miembros desde otros grupo es un problema, o se puede hacer de alguna manera mediante query?

Answer 1

Hi Martin,

Gracias por publicar tu pregunta en Microsoft Q&A.

Parece que estás enfrentando algunos desafíos al crear grupos dinámicos de dispositivos en Microsoft Entra ID debido a los límites de longitud de las reglas y a la imposibilidad de excluir directamente dispositivos que ya forman parte de otro grupo. Este es un problema conocido con la funcionalidad actual de las reglas de grupos dinámicos en Entra ID.

A continuación, te detallo algunos pasos para ayudarte a gestionar esta situación:

1. Entiende los Límites Actuales

• Cada regla de membresía dinámica puede contener hasta 3,072 caracteres.
• Un grupo dinámico puede tener hasta 15 expresiones de reglas combinadas.
• No puedes excluir directamente miembros de otro grupo usando referencias de grupo dentro del creador de reglas.
• El atributo memberOf (que permite la inclusión basada en otro grupo) está disponible en vista previa y actualmente no admite exclusiones.

2. Simplifica y Divide las Reglas Complejas

Si tus reglas dinámicas son demasiado largas o complejas, intenta dividirlas en grupos más pequeños. Por ejemplo, en lugar de tener un solo grupo con múltiples patrones de nombres o departamentos, crea grupos separados para cada uno y adminístralos de manera conjunta. Esto facilita el mantenimiento de las reglas y ayuda a evitar el límite de caracteres.

3. Usa memberOf para Inclusión (Función en Vista Previa)

Puedes usar el atributo memberOf para incluir miembros de otros grupos en un nuevo grupo. Ejemplo de regla:

(device.memberOf -any (group.objectId -in ['<groupID1>', '<groupID2>']))

Esto es útil cuando quieres construir un grupo más amplio basado en membresías de grupos existentes.

Nota: La exclusión basada en memberOf no está soportada y esta función está en vista previa, por lo que su comportamiento podría cambiar.

4. Maneja las Exclusiones Usando Atributos del Dispositivo

Dado que no puedes excluir miembros de otros grupos directamente, considera usar atributos personalizados (como etiquetas o campos de departamento) sincronizados desde Intune o SCCM. Puedes usar estos atributos en tus reglas para evitar que los grupos se superpongan.

Ejemplo:

(device.deviceCategory -eq "HRDevices")

Y otro grupo podría usar:

(device.deviceCategory -eq "FinanceDevices")

De esta forma, puedes mantener los grupos organizados sin depender de exclusiones.

5. Monitorea el Procesamiento de los Grupos

Si las membresías de los grupos dinámicos no se están actualizando como se esperaba:

• Revisa el estado de procesamiento de la membresía en las propiedades del grupo.
• A veces, hacer un pequeño cambio (como agregar un espacio) y guardar nuevamente la regla puede disparar la re-evaluación de la regla.

Referencias:

• Gestionar reglas de grupos dinámicos
• Usar el atributo memberOf para grupos dinámicos (en vista previa)
• Solucionar problemas de grupos dinámicos

Espero que esta información te sea útil. Si tienes más preguntas, no dudes en preguntar.

Si esta respuesta fue útil, por favor haz clic en "Aceptar respuesta" y sube el voto.