Управление группами Microsoft Entra и членством в группах

Статья
01/05/2024

Группы Microsoft Entra используются для управления пользователями, которым требуются одинаковые разрешения и доступ к ресурсам, например потенциально ограниченные приложения и службы. Вместо добавления специальных разрешений отдельным пользователям будет создана группа, которая применяет специальные разрешения ко всем членам этой группы.

В этой статье рассматриваются основные сценарии групп, в которых одна группа добавляется в один ресурс, а пользователи добавляются в эту группу в качестве членов. Более сложные сценарии, такие как динамическое членство и создание правил, см. в документации по управлению пользователями Microsoft Entra.

Перед добавлением групп и членов изучите статью Сведения о группах и правах доступа в Azure Active Directory, которая поможет вам решить, какие варианты следует использовать при создании группы.

Создание простой группы и добавление участников

Совет

Действия, описанные в этой статье, могут немного отличаться на портале, с который вы начинаете работу.

Вы можете создать базовую группу и добавить участников одновременно с помощью Центра администрирования Microsoft Entra. Роли Microsoft Entra, которые могут управлять группами, включают группы Администратор istrator, user Администратор istrator, привилегированные роли Администратор istrator или global Администратор istrator. Просмотрите соответствующие роли Microsoft Entra для управления группами

Чтобы создать простую группу и добавить членов, сделайте следующее:

Войдите в Центр администрирования Microsoft Entra как минимум группы Администратор istrator.
Перейдите к группам>удостоверений>Все группы.
Выберите Создать группу.
Выберите тип группы. Дополнительные сведения о типах групп см. в статье Сведения о группах и правах доступа в Azure Active Directory.
- Выбор типа группы Microsoft 365 включает параметр Адрес электронной почты группы.
Укажите имя группы. Выберите осмысленное имя группы, которое легко запомнить. Будет выполнена проверка, чтобы определить, уже ли используется имя. Если имя уже используется, вам будет предложено изменить имя своей группы.
- Имя группы не может начинаться с пробела. При запуске имени с пробелом группа не будет отображаться в качестве параметра для таких шагов, как добавление назначений ролей в члены группы.
Адрес электронной почты группы: доступно только для типов групп Microsoft 365. Введите адрес электронной почты вручную или используйте адрес электронной почты, созданный на основе указанного имени группы.
Описание группы. Добавьте дополнительное описание группы.
Переключение ролей Microsoft Entra можно назначить параметру группы "Да", чтобы использовать эту группу для назначения ролей Microsoft Entra участникам.
- Этот параметр доступен только с лицензиями P1 или P2.
- У вас должна быть роль администратора привилегированных ролей или глобального администратора.
- При включении этого параметра автоматически выбирается тип членства Назначенное.
- Возможность добавлять роли при создании группы добавляется в процесс.
- Дополнительные сведения о группах с возможностью назначения ролей.
Выберите значение в поле Тип членства. Дополнительные сведения о типах членства см. в статье Сведения о группах и правах доступа в Azure Active Directory.
При необходимости добавьте владельцев или членов. Членов и владельцев можно добавить после создания группы.
1. Щелкните ссылку в разделе Владельцы или Члены, чтобы заполнить список всех пользователей в каталоге.
2. Выберите пользователей из списка и нажмите кнопку Выбрать в нижней части окна.
Нажмите кнопку создания. Ваша группа создана и готова для управления другими параметрами.

Отключение отправки приветственного сообщения электронной почты для группы

Приветственное уведомление отправляется всем пользователям при добавлении в новую группу Microsoft 365 независимо от типа членства. Если изменяются любые атрибуты пользователя или устройства, все правила динамических групп в организации обрабатываются на предмет возможных изменений членства. После этого добавляемым пользователям также отправляются приветственные уведомления. Такое поведение можно отключить в Exchange PowerShell.

Добавление или удаление членов и владельцев

Члены и владельцы могут быть добавлены и удалены из существующих групп. Процесс одинаков для членов и владельцев. Для добавления и удаления членов и владельцев вам потребуется роль администратора групп или администратора пользователей.

Нужно одновременно добавить несколько членов? См. сведения о параметре пакетного добавления членов.

Добавление участников или владельцев группы

Войдите в Центр администрирования Microsoft Entra как минимум группы Администратор istrator.
Перейдите к группам>удостоверений>Все группы.
Выберите группу, которой будете управлять.
Выберите Члены или Владельцы.
Выберите + Добавить (членов или владельцев).
Прокрутите список или введите имя в поле поиска. Вы можете одновременно выбрать несколько имен. Когда вы будете готовы, нажмите кнопку Выбрать.

Страница Общие сведения о группе обновится, чтобы отобразить количество участников, добавленных в группу.

Удаление участников или владельцев группы

Войдите в Центр администрирования Microsoft Entra как минимум группы Администратор istrator.
Перейдите к группам>удостоверений>Все группы.
Выберите группу, которой будете управлять.
Выберите Члены или Владельцы.
Выберите поле рядом с именем из списка и нажмите кнопку "Удалить ".

Изменение параметров группы

Вы можете изменить имя группы, описание или тип членства. Чтобы изменить параметры группы, вам потребуется роль администратора групп или администратора пользователей.

Чтобы изменить параметры группы, сделайте следующее:

Войдите в Центр администрирования Microsoft Entra как минимум группы Администратор istrator.
Перейдите к группам>удостоверений>Все группы.
Прокрутите список или введите имя группы в поле поиска. Выберите группу, которой будете управлять.
Выберите Свойства в боковом меню.
Измените Общие параметры по необходимости, например:
- Имя группы. Измените существующее имя группы.
- Описание группы. Измените существующее описание группы.
- Тип группы. Тип группы нельзя изменить после создания. Чтобы изменить тип группы, необходимо удалить группу и создать новую.
- Тип членства. Измените тип членства. Если для параметра группы можно назначить роли Microsoft Entra, изменить тип членства нельзя. Дополнительные сведения о доступных типах членства см. в статье Сведения о группах и правах доступа в Azure Active Directory.
- Идентификатор объекта. Невозможно изменить идентификатор объекта, но можно скопировать его и использовать в командах PowerShell для группы. Дополнительные сведения об использовании командлетов PowerShell см . в командлетах Microsoft Entra для настройки параметров группы.

Добавление и удаление группы в другой группе

Для типа группы безопасности можно добавить существующую группу в другую группу (также называемую вложенными группами). В зависимости от типов членства в группе можно добавить группу в качестве члена другой группы так же, как и пользователь, который применяет такие параметры, как разрешения доступа и роли к вложенным группам. Но для вложенных групп идентификатор Microsoft Entra id не применяет назначенное членство к общим ресурсам и приложениям.

Чтобы изменить членство группы, вам потребуется роль администратора групп или администратора пользователей. Дополнительные сведения о группах безопасности см. в разделе "Что знать перед созданием группы".

В настоящее время мы не поддерживаем:

добавление группы в другую группу, синхронизированную с локальной службой Active Directory;
Добавление групп безопасности в группы Microsoft 365.
Добавление групп Microsoft 365 в группы безопасности или другие группы Microsoft 365.
Назначено членство в общих ресурсах и приложениях для вложенных групп безопасности.
Применение лицензий к вложенным группам безопасности.
Добавление групп рассылки в сценарии вложенности.
добавление групп безопасности в качестве элементов групп безопасности с поддержкой электронной почты.
Добавление групп в качестве членов группы с возможностью назначения ролей.

Добавление группы в другую группу

Войдите в Центр администрирования Microsoft Entra как минимум группы Администратор istrator.
Перейдите к группам>удостоверений>Все группы.
На странице "Все группы" найдите и выберите группу, которую вы хотите стать членом другой группы.

Примечание.

Одним действием группу можно добавить только в одну другую группу. Подстановочные знаки не поддерживаются в поле поиска Выбор группы.
На странице "Обзор" группы выберите Членство в группах в боковом меню.
Выберите + Добавить членства.
Найдите группу, в которую хотите добавить свою группу, и нажмите кнопку Выбрать.

В этом упражнении мы добавим "политику MDM - Запад" в группу "Политика MDM — все организации". Группа MDM - policy - West будет иметь тот же доступ, что и группа "Политика MDM - Все организации".

Теперь вы можете просмотреть страницу "Политика управления мобильными устройствами — Запад — Членства в группах", чтобы просмотреть связи между группой и членами.

Чтобы подробнее изучить связь между группой и членом, выберите имя родительской группы ("Политика управления мобильными устройствами — Все организации") и просмотрите страницу "Политика управления мобильными устройствами — Запад".

Удаление группы из другой группы

Вы можете удалить существующую группу безопасности из другой группы безопасности; Однако удаление группы также удаляет любой унаследованный доступ для своих членов.

На странице "Все группы" найдите и выберите группу, необходимую для удаления в качестве члена другой группы.
На странице "Обзор" группы выберите Членство в группах.
Выберите родительскую группу на странице Членство в группах.
Выберите Удалить.

В этом упражнении мы теперь удалим группу "Политика управления мобильными устройствами — Запад" из группы "Политика управления мобильными устройствами — Все организации".

Удаление группы

Удаление группы может потребоваться по разным причинам. Вот наиболее распространенные из них:

Выберите неправильный параметр типа группы.
По ошибке создан дубликат группы.
Группа больше не нужна.

Войдите в Центр администрирования Microsoft Entra как минимум группы Администратор istrator.
Перейдите к группам>удостоверений>Все группы.
Найдите и выберите группу для удаления.
Выберите команду Удалить.