Tworzenie lub aktualizowanie grupy dynamicznej w identyfikatorze Entra firmy Microsoft
Możesz użyć reguł, aby określić członkostwo w grupie na podstawie właściwości użytkownika lub urządzenia w usłudze Microsoft Entra ID, część firmy Microsoft Entra. W tym artykule opisano sposób konfigurowania reguły dla grupy dynamicznej w witrynie Azure Portal.
Członkostwo dynamiczne jest obsługiwane w przypadku grup zabezpieczeń i Grupy Microsoft 365. Po zastosowaniu reguły członkostwa w grupie atrybuty użytkownika i urządzenia są oceniane pod kątem dopasowań do reguły członkostwa. Gdy atrybut zmieni się dla użytkownika lub urządzenia, wszystkie reguły grupy dynamicznej w organizacji są przetwarzane w celu zmiany członkostwa. Użytkownicy i urządzenia są dodawani lub usuwani, jeśli spełniają warunki grupy.
Grupy zabezpieczeń mogą być używane dla urządzeń lub użytkowników, ale Grupy Microsoft 365 mogą być tylko grupami użytkowników. Korzystanie z grup dynamicznych wymaga licencji Microsoft Entra ID P1 lub licencji usługi Intune for Education. Aby uzyskać więcej informacji, zobacz Reguły członkostwa dynamicznego dla grup .
Konstruktor reguł w witrynie Azure Portal
Identyfikator Entra firmy Microsoft udostępnia konstruktor reguł do szybszego tworzenia i aktualizowania ważnych reguł. Konstruktor reguł obsługuje konstrukcję do pięciu wyrażeń. Konstruktor reguł ułatwia tworzenie reguły za pomocą kilku prostych wyrażeń, jednak nie można jej używać do odtworzenia każdej reguły. Jeśli konstruktor reguł nie obsługuje reguły, którą chcesz utworzyć, możesz użyć pola tekstowego.
Poniżej przedstawiono kilka przykładów zaawansowanych reguł lub składni, dla których zalecamy konstruowanie przy użyciu pola tekstowego:
- Reguła z więcej niż pięcioma wyrażeniami
- Reguła raportów bezpośrednich
- Ustawianie pierwszeństwa operatora
- Reguły ze złożonymi wyrażeniami, na przykład
(user.proxyAddresses -any (_ -contains "contoso"))
Uwaga
Konstruktor reguł może nie być w stanie wyświetlić niektórych reguł skonstruowanych w polu tekstowym. Może zostać wyświetlony komunikat, gdy konstruktor reguł nie może wyświetlić reguły. Konstruktor reguł nie zmienia obsługiwanej składni, walidacji ani przetwarzania reguł grupy dynamicznej w żaden sposób.
Przykłady składni, obsługiwanych właściwości, operatorów i wartości dla reguły członkostwa można znaleźć w temacie Dynamiczne reguły członkostwa dla grup w usłudze Microsoft Entra ID.
Aby utworzyć regułę członkostwa w grupie
Napiwek
Kroki opisane w tym artykule mogą się nieznacznie różnić w zależności od portalu, od którego zaczynasz.
Zaloguj się do centrum administracyjnego firmy Microsoft Entra jako co najmniej Administracja istrator grup.
Wybierz pozycję Microsoft Entra ID.>Grupy.
Wybierz pozycję Wszystkie grupy i wybierz pozycję Nowa grupa.
Na stronie Grupa wprowadź nazwę i opis nowej grupy. Wybierz typ członkostwa dla użytkowników lub urządzeń, a następnie wybierz pozycję Dodaj zapytanie dynamiczne. Konstruktor reguł obsługuje maksymalnie pięć wyrażeń. Aby dodać więcej niż pięć wyrażeń, należy użyć pola tekstowego.
Aby wyświetlić niestandardowe właściwości rozszerzenia dostępne dla zapytania członkostwa:
- Wybierz pozycję Pobierz właściwości rozszerzenia niestandardowego
- Wprowadź identyfikator aplikacji, a następnie wybierz pozycję Odśwież właściwości.
Po utworzeniu reguły wybierz pozycję Zapisz.
Wybierz pozycję Utwórz na stronie Nowa grupa , aby utworzyć grupę.
Jeśli wprowadzona reguła nie jest prawidłowa, wyjaśnienie, dlaczego nie można przetworzyć reguły, zostanie wyświetlone w powiadomieniu w portalu. Uważnie przeczytaj go, aby dowiedzieć się, jak naprawić regułę.
Aby zaktualizować istniejącą regułę
Zaloguj się do centrum administracyjnego firmy Microsoft Entra jako co najmniej Administracja istrator grup.
Wybierz Microsoft Entra ID.
Wybierz pozycję Grupy>Wszystkie grupy.
Wybierz grupę, aby otworzyć jej profil.
Na stronie profilu grupy wybierz pozycję Reguły członkostwa dynamicznego. Konstruktor reguł obsługuje maksymalnie pięć wyrażeń. Aby dodać więcej niż pięć wyrażeń, należy użyć pola tekstowego.
Aby wyświetlić właściwości rozszerzenia niestandardowego dostępne dla reguły członkostwa:
- Wybierz pozycję Pobierz właściwości rozszerzenia niestandardowego
- Wprowadź identyfikator aplikacji, a następnie wybierz pozycję Odśwież właściwości.
Po zaktualizowaniu reguły wybierz pozycję Zapisz.
Włączanie lub wyłączanie powitalnej wiadomości e-mail
Po utworzeniu nowej grupy platformy Microsoft 365 zostanie wysłane powitalne powiadomienie e-mail użytkowników, którzy są dodawani do grupy. Później, jeśli jakiekolwiek atrybuty użytkownika lub urządzenia (tylko w przypadku grup zabezpieczeń) zmieniają się, wszystkie reguły grupy dynamicznej w organizacji są przetwarzane pod kątem zmian członkostwa. Użytkownicy, którzy są dodawani, otrzymają również powiadomienie powitalne. To zachowanie można wyłączyć w programie Exchange PowerShell.
Sprawdzanie stanu przetwarzania dla reguły
Stan przetwarzania reguł dynamicznych i data ostatniej zmiany członkostwa można zobaczyć na stronie Przegląd grupy.
Dla stanu dynamicznego przetwarzania reguł można wyświetlić następujące komunikaty o stanie:
- Ocena: zmiana grupy została odebrana i aktualizacje są oceniane.
- Przetwarzanie: Aktualizacje są przetwarzane.
- Ukończono aktualizację: przetwarzanie zostało ukończone i zostały wykonane wszystkie odpowiednie aktualizacje.
- Błąd przetwarzania: nie można ukończyć przetwarzania z powodu błędu oceniania reguły członkostwa.
- Aktualizacja wstrzymana: aktualizacje reguł członkostwa dynamicznego zostały wstrzymane przez administratora. Właściwość MembershipRuleProcessingState jest ustawiona na wartość "Wstrzymano".
Uwaga
Na tym ekranie możesz również wybrać opcję Wstrzymaj przetwarzanie. Wcześniej ta opcja była dostępna tylko za pośrednictwem modyfikacji właściwości membershipRuleProcessingState. Administratorzy globalni, administratorzy grup, administratorzy użytkowników i administratorzy usługi Intune mogą zarządzać tym ustawieniem i mogą wstrzymywać i wznawiać przetwarzanie grup dynamicznych. Właściciele grup bez odpowiednich ról nie mają uprawnień potrzebnych do edytowania tego ustawienia.
W obszarze Stan ostatniej zmiany członkostwa można wyświetlić następujące komunikaty o stanie:
- <Data i godzina>: godzina ostatniej aktualizacji członkostwa.
- W toku: Aktualizacje są obecnie w toku.
- Nieznany: nie można pobrać czasu ostatniej aktualizacji. Grupa może być nowa.
Ważne
Po wstrzymaniu i usunięciu członkostwa w grupie dynamicznej data "Ostatnia zmiana członkostwa" będzie zawierać wartość symbolu zastępczego. Ta wartość zostanie zaktualizowana po zakończeniu przetwarzania.
Jeśli podczas przetwarzania reguły członkostwa dla określonej grupy wystąpi błąd, w górnej części strony Przegląd grupy zostanie wyświetlony alert. Jeśli nie można przetworzyć oczekujących aktualizacji członkostwa dynamicznego dla wszystkich grup w organizacji przez ponad 24 godziny, w górnej części pozycji Wszystkie grupy zostanie wyświetlony alert.
Następne kroki
Poniższe artykuły zawierają dodatkowe informacje na temat używania grup w usłudze Microsoft Entra ID.