Mengelola pengguna atau perangkat untuk unit administratif dengan aturan untuk grup keanggotaan dinamis

Anda dapat menambahkan atau menghapus pengguna maupun perangkat untuk unit administratif secara manual. Dengan grup keanggotaan dinamis, Anda dapat menambahkan atau menghapus pengguna atau perangkat untuk unit administratif secara dinamis menggunakan aturan. Artikel ini menjelaskan cara membuat unit administratif dengan aturan untuk grup keanggotaan dinamis menggunakan pusat admin Microsoft Entra, PowerShell, atau Microsoft Graph API.

Catatan

Aturan keanggotaan dinamis untuk unit administratif dapat dibuat menggunakan atribut yang sama yang tersedia untuk grup keanggotaan dinamis. Untuk informasi selengkapnya tentang atribut tertentu yang tersedia dan contoh tentang cara menggunakannya, lihat Mengelola aturan untuk grup keanggotaan dinamis di ID Microsoft Entra.

Meskipun unit administratif dengan anggota yang ditetapkan secara manual mendukung beberapa jenis objek, seperti pengguna, grup, dan perangkat, saat ini tidak dimungkinkan untuk membuat unit administratif dengan aturan untuk grup keanggotaan dinamis yang mencakup lebih dari satu jenis objek. Misalnya, Anda dapat membuat unit administratif dengan aturan untuk grup keanggotaan dinamis untuk pengguna atau perangkat, tetapi tidak keduanya. Unit administratif dengan aturan untuk grup keanggotaan dinamis untuk grup saat ini tidak didukung.

Prasyarat

• Lisensi Microsoft Entra ID P1 atau P2 untuk setiap administrator unit administratif
• Lisensi Microsoft Entra ID P1 atau P2 untuk setiap anggota unit administratif
• Administrator Peran Istimewa
• Microsoft Graph PowerShell modul ketika menggunakan PowerShell
• Izin admin saat menggunakan Graph Explorer untuk API Microsoft Graph
• Cloud Azure global (tidak tersedia di cloud khusus, seperti Azure Government atau Microsoft Azure yang dioperasikan oleh 21Vianet)

Catatan

Aturan keanggotaan dinamis untuk unit administratif memerlukan lisensi Microsoft Entra ID P1 untuk setiap pengguna unik yang merupakan anggota dari satu atau beberapa unit administratif dinamis. Anda tidak perlu menetapkan lisensi kepada pengguna agar mereka menjadi anggota unit administratif dinamis, tetapi Anda harus memiliki jumlah lisensi minimum di organisasi Microsoft Entra untuk mencakup semua pengguna tersebut. Misalnya, jika Anda memiliki total 1.000 pengguna unik di semua unit administratif dinamis di organisasi Anda, Anda akan memerlukan setidaknya 1.000 lisensi untuk Microsoft Entra ID P1 untuk memenuhi persyaratan lisensi. Tidak ada lisensi yang diperlukan untuk perangkat yang merupakan anggota unit administratif untuk grup keanggotaan dinamis untuk perangkat.

Untuk informasi selengkapnya, lihat Prasyarat untuk menggunakan PowerShell atau Graph Explorer.

Menambahkan aturan untuk grup keanggotaan dinamis

Ikuti langkah-langkah ini untuk membuat unit administratif dengan aturan untuk grup keanggotaan dinamis untuk pengguna atau perangkat.

Pusat Admin

1. Masuk ke Microsoft Entra admin center sebagai Administrator Peran Istimewa setidaknya.

2. Pilih unit administratif yang ingin Anda tambahkan pengguna atau perangkatnya.

3. Pilih Properti.

4. Dalam daftar Jenis keanggotaan, pilih Pengguna Dinamis atau Perangkat Dinamis, bergantung pada jenis aturan yang ingin Anda tambahkan.

   

5. Pilih Tambahkan kueri dinamis.

6. Gunakan pembangun aturan untuk menentukan aturan untuk grup keanggotaan dinamis. Untuk informasi selengkapnya, lihat penyusun aturan di portal Microsoft Azure.

   

7. Setelah selesai, pilih Simpan untuk menyimpan aturan untuk grup keanggotaan dinamis.

8. Pada halaman Properti, pilih Simpan untuk menyimpan jenis dan kueri keanggotaan.

   Pesan berikut ditampilkan:

   Setelah mengubah jenis unit administratif, keanggotaan yang ada mungkin berubah berdasarkan aturan untuk grup keanggotaan dinamis yang Anda sediakan.

9. Pilih Ya untuk melanjutkan.

Untuk langkah-langkah tentang cara mengedit aturan Anda, lihat bagian Edit aturan berikut untuk grup keanggotaan dinamis.

PowerShell

1. Buat aturan grup keanggotaan dinamis. Untuk informasi selengkapnya, lihat Mengelola aturan untuk grup keanggotaan dinamis di ID Microsoft Entra.

2. Gunakan perintah Connect-MgGraph untuk menyambungkan dengan MICROSOFT Entra ID dengan pengguna yang telah diberi peran Administrator Peran Istimewa.

   Connect-MgGraph -Scopes "AdministrativeUnit.ReadWrite.All"
   

3. Gunakan perintah New-MgDirectoryAdministrativeUnit untuk membuat unit administratif baru dengan aturan untuk grup keanggotaan dinamis menggunakan parameter berikut:

   • MembershipType: Dynamic atau Assigned
   • MembershipRule: Aturan keanggotaan dinamis yang Anda buat di langkah sebelumnya
   • MembershipRuleProcessingState: On atau Paused

   # Create an administrative unit for users in the United States
   $params = @{
      displayName = "Example Admin Unit"
      description = "Example Dynamic Membership Admin Unit"
      membershipType = "Dynamic"
      membershipRule = "(user.country -eq 'United States')"
      membershipRuleProcessingState = "On"
   }
   
   New-MgDirectoryAdministrativeUnit -BodyParameter $params
   

API Grafik

1. Buat aturan untuk grup keanggotaan dinamis. Untuk informasi selengkapnya, lihat Aturan keanggotaan dinamis untuk grup di ID Microsoft Entra.

2. Gunakan API Buat administratifUnit untuk membuat unit administratif baru dengan aturan untuk grup keanggotaan dinamis.

   Berikut ini menunjukkan contoh aturan untuk grup keanggotaan dinamis yang berlaku untuk perangkat Windows.

   Permintaan

   POST https://graph.microsoft.com/v1.0/directory/administrativeUnits
   

   Isi

   {
     "displayName": "Windows Devices",
     "description": "All Contoso devices running Windows",
     "membershipType": "Dynamic",
     "membershipRule": "(deviceOSType -eq 'Windows')",
     "membershipRuleProcessingState": "On"
   }
   

Mengedit aturan untuk grup keanggotaan dinamis

Ketika unit administratif telah dikonfigurasi untuk grup keanggotaan dinamis, perintah yang biasa untuk menambahkan atau menghapus anggota untuk unit administratif dinonaktifkan karena mesin grup keanggotaan dinamis mempertahankan kepemilikan satu-satunya untuk menambahkan atau menghapus anggota. Untuk membuat perubahan pada keanggotaan, Anda dapat mengedit aturan untuk grup keanggotaan dinamis.

Pusat Admin

1. Masuk ke Microsoft Entra admin center sebagai Administrator Peran Istimewa setidaknya.

2. Telusuri ke Entra IDPeran & adminUnit Admin.

3. Pilih unit administratif yang memiliki aturan untuk grup keanggotaan dinamis yang ingin Anda edit.

4. Pilih Aturan keanggotaan untuk mengedit aturan untuk grup keanggotaan dinamis menggunakan penyusun aturan.

   

   Anda juga dapat membuka penyusun aturan dengan memilih Aturan keanggotaan dinamis di navigasi kiri.

5. Setelah selesai, pilih Simpan untuk menyimpan perubahan aturan grup keanggotaan dinamis.

PowerShell

Gunakan perintah Update-MgDirectoryAdministrativeUnit untuk mengedit aturan grup keanggotaan dinamis.

# Set a new rules for dynamic membership groups for an administrative unit
$adminUnit = Get-MgDirectoryAdministrativeUnit -Filter "displayName eq 'Example Admin Unit'"
$params = @{
   membershipRule = "(user.country -eq 'Germany')"
}

Update-MgDirectoryAdministrativeUnit -AdministrativeUnitId $adminUnit.Id -BodyParameter $params

API Grafik

Gunakan API Perbarui administrativeUnit untuk mengedit aturan untuk grup keanggotaan dinamis.

Permintaan

PATCH https://graph.microsoft.com/v1.0/directory/administrativeUnits/{id}

Isi

{
  "membershipRule": "(user.country -eq "Germany")"
}

Mengubah unit administratif dinamis menjadi ditetapkan

Ikuti langkah-langkah ini untuk mengubah unit administratif dengan aturan untuk grup keanggotaan dinamis ke unit administratif tempat anggota ditetapkan secara manual.

Pusat Admin

1. Masuk ke Microsoft Entra admin center sebagai Administrator Peran Istimewa setidaknya.

2. Telusuri ke Entra IDPeran & adminUnit Admin.

3. Pilih unit administratif yang ingin Anda ubah menjadi ditetapkan.

4. Pilih Properti.

5. Dalam daftar Jenis keanggotaan, pilih Ditetapkan.

   

6. Pilih Simpan untuk menyimpan jenis keanggotaan.

   Pesan berikut ditampilkan:

   Setelah mengubah jenis unit administratif, aturan dinamis tidak akan diproses lagi. Anggota unit administrasi saat ini akan tetap berada di unit administrasi dan unit administrasi akan memiliki keanggotaan yang ditetapkan.

7. Pilih Ya untuk melanjutkan.

   Saat pengaturan jenis keanggotaan diubah dari dinamis menjadi ditetapkan, anggota saat ini tetap utuh di unit administratif. Selain itu, kemampuan untuk menambahkan grup ke unit administratif diaktifkan.

PowerShell

Gunakan perintah Update-MgDirectoryAdministrativeUnit untuk mengedit aturan untuk grup keanggotaan dinamis.

# Change an administrative unit to assigned
$adminUnit = Get-MgDirectoryAdministrativeUnit -Filter "displayName eq 'Example Admin Unit'"
$params = @{
   membershipRuleProcessingState = "Paused"
   membershipType = "Assigned"
}

Update-MgDirectoryAdministrativeUnit -AdministrativeUnitId $adminUnit.Id -BodyParameter $params

API Grafik

Gunakan API Perbarui Unit administratif untuk mengubah pengaturan jenis keanggotaan.

Permintaan

PATCH https://graph.microsoft.com/v1.0/directory/administrativeUnits/{id}

Isi

{
  "membershipType": "Assigned"
}

Langkah berikutnya

• Menetapkan peran Microsoft Entra dengan cakupan unit administratif
• Tambahkan pengguna atau grup ke unit administratif
• Unit administratif Microsoft Entra: Pemecahan Masalah dan FAQ