Dynamische groepsverwerking in Microsoft Entra-id begrijpen en beheren

Overzicht

Dynamische lidmaatschapsgroepen in Microsoft Entra ID zijn een krachtige functie waarmee beheerders het beheer van groepslidmaatschappen kunnen automatiseren. Wijzigingen in lidmaatschappen worden doorgaans binnen een paar uur verwerkt.

Onder bepaalde voorwaarden kunnen klanten echter vertragingen ervaren in lidmaatschapsupdates. Verwerking kan langer dan 24 uur duren. Als u de onderliggende oorzaken begrijpt, kunnen beheerders hun configuraties optimaliseren en onnodige verwerkingsknelpunten voorkomen.

Hoe dynamische groepsverwerking werkt

Dynamische groepsverwerking werkt op sequentiële wijze. Wijzigingen voor één tenant worden in volgorde geëvalueerd en toegepast in plaats van allemaal tegelijk. Grote hoeveelheden wijzigingen, met name wanneer ze van invloed zijn op veel gebruikers of apparaten, kunnen leiden tot lange verwerkingswachtrijen. De lange wachtrijen kunnen de tijd verlengen die nodig is voor updates om de verwerking te voltooien.

Belangrijke factoren die van invloed zijn op de verwerkingstijd

De drie grootste factoren die van invloed zijn op de verwerking en kunnen ertoe leiden dat lidmaatschapsupdates langer duren, zijn:

  • Aantal dynamische groepen: tenants met een groot aantal dynamische groepen vereisen meer evaluaties, waardoor de verwerkingstijd toeneemt.

  • Aantal objectwijzigingen: Een groot aantal wijzigingen van gebruikers of apparaten kan een lange verwerkingswachtrij maken en de verwerkingstijd verlengen. Voorbeelden hiervan zijn wijzigingen in extensiekenmerken, toevoegingen of verwijderingen van apparaten en bulksgewijze gebruikersupdates.

  • Regelconfiguratie: Bepaalde regelconfiguraties kunnen van invloed zijn op de verwerkingstijd. De keuze van inefficiënte operators zoals Match, Containsof memberOf kan de verwerkingstijd verhogen. Regelcomplexiteit is ook een bijdragefactor.

Opmerking

Verouderde apparaten en inactieve gebruikersaccounts kunnen binnen het bereik blijven voor dynamische lidmaatschapsregels en kunnen worden toegevoegd aan groepen wanneer ze voldoen aan de regelvoorwaarden. Controleer en ruim verouderde apparaten en inactieve gebruikers op, zodat uw dynamische groepen alleen de objecten bevatten die u wilt beheren.

Beste praktijken voor dynamische lidmaatschapsgroepen in uw tenant

Houd rekening met de volgende aanbevolen procedures om een efficiënte verwerking te garanderen en vertragingen te minimaliseren.

Het aantal dynamische lidmaatschapsgroepen in uw tenant bewaken

Controleer regelmatig het aantal groepen in uw huurdersomgeving. Inactieve of verouderde groepen verwijderen.

Niet-essentiële groepen onderbreken

U kunt niet-essentiële groepen onderbreken om de verwerkingsprestaties te verbeteren. U kunt overwegen om groepsverwerking in deze omstandigheden te onderbreken:

  • Geplande grootschalige updates: U verwacht een groot aantal wijzigingen aan te brengen in groepslidmaatschap. U wilt bijvoorbeeld wijzigingen aanbrengen in meer dan 500 groepen of meer dan 20.000 wijzigingen aanbrengen in het lidmaatschap.
  • Onverwachte vertragingen: u ziet dat het groepslidmaatschap niet is gewijzigd en dat er onverwachte vertragingen optreden.

Als u de verwerking tijdelijk wilt stoppen, gebruikt u het script Alle groepen onderbreken. Sta de service toe zich te herstellen voordat u hervat.

Zet de groepen niet onmiddellijk weer aan. Wacht minimaal 24 uur zodat de groepsverwerking bijgewerkt kan worden. Controleer vervolgens uw auditlogboeken om te zien of ze weer terug zijn naar de basislijn. Verwijder indien nodig groepen in fasen in plaats van allemaal tegelijk.

Regelefficiëntie optimaliseren

  • Vermijd het gebruik van de Match operator in regels zoveel mogelijk. Gebruik in plaats daarvan de operator StartsWith, Equals of EndsWith.

  • Vermijd het gebruik van de Contains operator in regels zoveel mogelijk. Dit kan leiden tot een hogere verwerkingstijd.

  • Gebruik minder -or operators. Gebruik in plaats daarvan de -in operator om regels te groeperen in één criterium. Met groepeerregels kunt u ze gemakkelijker evalueren.

  • Vermijd indien mogelijk het gebruik van de memberOf operator. Het is momenteel beschikbaar als preview-versie en wordt geleverd met bugs en beperkingen. Het kan ook meer complexiteit veroorzaken, met name als een tenant een groot aantal groepen of frequente updates heeft. U wordt aangeraden bestaande memberOf groepen in uw tenant te verwijderen.

Raadpleeg eenvoudigere, efficiëntere regels maken voor dynamische lidmaatschapsgroepen in Microsoft Entra ID voor meer hulp bij het optimaliseren van dynamische groepsverwerking.

Samenvatting

Vertragingen in dynamische groepsverwerking vinden voornamelijk plaats vanwege grote hoeveelheden wijzigingen en grote aantallen groepen. Door best practices te volgen, zoals het optimaliseren van de efficiëntie van regels, het controleren van wijzigingen en het onderbreken van niet-essentiële groepen, kunnen IT-beheerders de verwerkingsprestaties verbeteren en onnodige vertragingen voorkomen.

Verwante inhoud

  • Last updated on