Een rol toewijsbare groep maken in Microsoft Entra ID

Met Microsoft Entra ID P1 of P2 kunt u rollentoewijzingsgroepen maken en Microsoft Entra-rollen toewijzen aan deze groepen. U maakt een nieuwe roltoewijzingsgroep door Microsoft Entra-rollen in te stellen , kan worden toegewezen aan de groep op Ja of door de isAssignableToRole eigenschap in te truestellen op . Een roltoewijzingsgroep kan geen deel uitmaken van een dynamisch type lidmaatschapsgroep . In Microsoft Entra kan één tenant maximaal 500 roltoewijzingsgroepen hebben.

In dit artikel wordt beschreven hoe u een roltoewijsbare groep maakt met behulp van het Microsoft Entra-beheercentrum, PowerShell of Microsoft Graph API.

Vereisten

• Licentie voor Microsoft Entra ID P1 of P2
• Beheerder voor bevoorrechte rollen
• Microsoft.Graph-module bij gebruik van Microsoft Graph PowerShell
• Azure AD PowerShell-module bij het gebruik van Azure AD PowerShell
• U geeft beheerderstoestemming bij het gebruik van Graph Explorer voor de Microsoft Graph API

Raadpleeg Vereisten voor het gebruik van PowerShell of Graph Explorer voor meer informatie.

Microsoft Entra-beheercentrum

Tip

Stappen in dit artikel kunnen enigszins variëren op basis van de portal waaruit u begint.

1. Meld u aan bij het Microsoft Entra-beheercentrum als minimaal beheerder van bevoorrechte rollen.

2. Blader naar Identiteitsgroepen>>Alle groepen.

3. Selecteer Nieuwe groep.

4. Geef op de pagina Nieuwe groep het groepstype, de naam en de beschrijving op.

5. Microsoft Entra-rollen instellen kan worden toegewezen aan de groep op Ja.

   Deze optie is zichtbaar voor beheerders van bevoorrechte rollen, omdat deze rol deze optie kan instellen.

   

6. Selecteer de leden en eigenaren voor de groep. U hebt ook de mogelijkheid om rollen toe te wijzen aan de groep, maar het toewijzen van een rol is hier niet vereist.

7. Selecteer Maken.

   U ziet het volgende bericht:

   Het maken van een groep waaraan Microsoft Entra-rollen kunnen worden toegewezen, is een instelling die later niet kan worden gewijzigd. Weet u zeker dat u deze mogelijkheid wilt toevoegen?

   

8. Selecteer Ja.

   De groep wordt gemaakt met alle rollen die u eraan hebt toegewezen.

Powershell

Microsoft Graph PowerShell

Gebruik de opdracht New-MgGroup om een roltoewijzingsgroep te maken.

In dit voorbeeld ziet u hoe u een beveiligingsroltoewijzingsgroep maakt.

Connect-MgGraph -Scopes "Group.ReadWrite.All"
$group = New-MgGroup -DisplayName "Contoso_Helpdesk_Administrators" -Description "Helpdesk Administrator role assigned to group" -MailEnabled:$false -SecurityEnabled -MailNickName "contosohelpdeskadministrators" -IsAssignableToRole:$true

In dit voorbeeld ziet u hoe u een microsoft 365-groep maakt waaraan rollen kunnen worden toegewezen.

Connect-MgGraph -Scopes "Group.ReadWrite.All"
$group = New-MgGroup -DisplayName "Contoso_Helpdesk_Administrators" -Description "Helpdesk Administrator role assigned to group" -MailEnabled:$true -SecurityEnabled -MailNickName "contosohelpdeskadministrators" -IsAssignableToRole:$true -GroupTypes "Unified"

PowerShell voor Azure AD

Gebruik de opdracht New-AzureADMSGroup om een roltoewijsbare groep te maken.

$group = New-AzureADMSGroup -DisplayName "Contoso_Helpdesk_Administrators" -Description "Helpdesk Administrator role assigned to group" -MailEnabled $false -SecurityEnabled $true -MailNickName "contosohelpdeskadministrators" -IsAssignableToRole $true

Voor dit type groep isPublic is altijd onwaar en isSecurityEnabled altijd waar.

De gebruikers en service-principals van één groep kopiëren naar een groep die kan worden toegewezen aan rollen

#Basic set up
Install-Module -Name AzureAD
Import-Module -Name AzureAD
Get-Module -Name AzureAD

#Connect to Azure AD. Sign in as Privileged Role Administrator. This role can create a role-assignable group.
Connect-AzureAD

#Input variabled: Existing group
$idOfExistingGroup = "14044411-d170-4cb0-99db-263ca3740a0c"

#Input variables: New role-assignable group
$groupName = "Contoso_Bellevue_Admins"
$groupDescription = "This group is assigned to Helpdesk Administrator built-in role in Azure AD."
$mailNickname = "contosobellevueadmins"

#Create new security group which is a role assignable group. For creating a Microsoft 365 group, set GroupTypes="Unified" and MailEnabled=$true
$roleAssignablegroup = New-AzureADMSGroup -DisplayName $groupName -Description $groupDescription -MailEnabled $false -MailNickname $mailNickname -SecurityEnabled $true -IsAssignableToRole $true

#Get details of existing group
$existingGroup = Get-AzureADMSGroup -Id $idOfExistingGroup
$membersOfExistingGroup = Get-AzureADGroupMember -ObjectId $existingGroup.Id

#Copy users and service principals from existing group to new group
foreach($member in $membersOfExistingGroup){
if($member.ObjectType -eq 'User' -or $member.ObjectType -eq 'ServicePrincipal'){
Add-AzureADGroupMember -ObjectId $roleAssignablegroup.Id -RefObjectId $member.ObjectId
}
}

Microsoft Graph API

Gebruik de GROEPS-API maken om een roltoewijzingsgroep te maken.

In dit voorbeeld ziet u hoe u een beveiligingsroltoewijzingsgroep maakt.

POST https://graph.microsoft.com/v1.0/groups
{
    "description": "Helpdesk Administrator role assigned to group",
    "displayName": "Contoso_Helpdesk_Administrators",
    "isAssignableToRole": true,
    "mailEnabled": false,
    "mailNickname": "contosohelpdeskadministrators",
    "securityEnabled": true
}

In dit voorbeeld ziet u hoe u een microsoft 365-groep maakt waaraan rollen kunnen worden toegewezen.

POST https://graph.microsoft.com/v1.0/groups
{
  "description": "Helpdesk Administrator role assigned to group",
  "displayName": "Contoso_Helpdesk_Administrators",
  "groupTypes": [
    "Unified"
  ],
  "isAssignableToRole": true,
  "mailEnabled": true,
  "mailNickname": "contosohelpdeskadministrators",
  "securityEnabled": true,
  "visibility" : "Private"
}

Voor dit type groep isPublic is altijd onwaar en isSecurityEnabled altijd waar.

Volgende stappen

• Microsoft Entra-rollen toewijzen aan groepen
• Microsoft Entra-groepen gebruiken om roltoewijzingen te beheren
• Problemen met Microsoft Entra-rollen oplossen die zijn toegewezen aan groepen