Overview
注意
Defender for Endpoint 计划 1 和计划 2 支持创建设备组功能。
在企业方案中，通常为安全运营团队分配一组设备。 这些设备基于一组属性（例如其域、计算机名或指定标记）组合在一起。
在Microsoft Defender for Endpoint中，可以创建设备组并将其用于：
- 将相关警报和数据的访问权限限制为分配了 RBAC 角色的特定Microsoft Entra用户组
- 为不同的设备集配置不同的自动修正设置
- 指定在自动调查期间应用的特定修正级别
- 在调查中，使用组筛选器将“设备”列表筛选为特定的设备组。
可以在基于角色的访问的上下文中创建设备组 (RBAC) ，通过向用户组分配设备组 () 来控制谁可以执行特定操作或查看信息。 有关详细信息，请参阅 使用基于角色的访问控制管理门户访问权限。
提示
如需全面了解 RBAC 应用程序，请阅读：SOC 是否因 RBAC 而陷入停滞。
在创建设备组的过程中，你将：
- 设置该组的自动修正级别。 有关修正级别的详细信息，请参阅 使用自动调查来调查和修正威胁。
- 指定匹配规则，该规则根据设备名称、域、标记和 OS 平台确定哪些设备属于设备组。 如果设备也与其他组匹配，则仅将其添加到排名最高的设备组。
- 选择应有权访问设备组的Microsoft Entra用户组。
- 创建设备组后，根据其相对于其他组的位置对其进行排序。
注意
如果未向其分配任何Microsoft Entra组，则所有用户都可以访问该设备组。
创建设备组
注意
Defender 商业版中的设备组管理方式不同。 有关详细信息，请参阅 Microsoft Defender 商业版 中的设备组。
注意
每个租户最多可以创建 2,000 个设备组。
Important
在开始之前，请确保你要分配的 Microsoft Entra 用户组已配置了 RBAC 角色。
在 Microsoft Defender 门户中https://security.microsoft.com，转到“设置>终结点>权限”部分>“设备组”。 或者，若要直接转到“设备组”选项卡，请使用 https://security.microsoft.com/securitysettings/endpoints/machine_groups。
在“设备组”选项卡上，选择“ 添加设备组”。
“ 添加设备组 ”向导随即打开。 在“ 常规 ”页上，配置以下设置：
- 设备组名称：输入设备组的唯一描述性名称。
-
修正级别：选择以下值之一：
- 无自动响应
- Semi - 所有文件夹均需批准
- Semi - 非临时文件夹需经批准
- Semi - 系统文件夹需经批准
- 完全修正
- 说明：输入可选说明。
选择“下一步”。
在“ 设备 ”页上，配置确定哪些设备属于组的匹配规则。 可以根据设备名称、域、标记和 OS 平台定义条件。 与所有指定条件匹配的设备将添加到组中。 有关匹配规则和自动调查如何协同工作的信息，请参阅 自动调查的启动方式。
提示
若要对设备进行分组使用标记，请参阅 创建和管理设备标记。
选择 下一步。
在 “预览设备 ”页上，选择“ 显示预览 ”，最多显示 10 个与在上一页上配置的设备规则匹配的设备。 如果对预览的设备感到满意，请选择“ 下一步”。
在 “用户访问 ”页上，分配可以访问所创建设备组的用户组。
注意
只能向已被分配了 RBAC 角色的 Microsoft Entra 用户组授予访问权限。
准备好创建设备组后，选择“ 提交”。
管理设备组
可以提升或降级设备组的排名，以便在匹配期间为其提供更高或更低的优先级。 排名为 1 的设备组是排名最高的组。 当设备与多个组匹配时，它仅添加到排名最高的组。 还可以编辑和删除组。
警告
删除设备组可能会影响电子邮件通知规则。 如果在电子邮件通知规则下配置了设备组，则会从该规则中删除该设备组。 如果设备组是为电子邮件通知配置的唯一组，则电子邮件通知规则将与设备组一起删除。
默认情况下，具有门户访问权限的所有用户都可以访问设备组。 可以通过将Microsoft Entra用户组分配给设备组来更改默认行为。
与任何组不匹配的设备将添加到未分组的设备 (默认) 组。 不能更改或删除此组的排名。 但是，可以更改此组的修正级别，并定义可以访问此组的Microsoft Entra用户组。
注意
将更改应用到设备组配置可能需要长达几分钟的时间。 在某些环境中，更改可能需要几个小时才能完全传播。 例如，新建设备组在创建后，可能需要数小时才会显示在 资产>设备 下的筛选选项中。
添加设备组定义
设备组定义可以包含每个条件的多个值。 可以将多个标记、设备名称和域设置为单个设备组的定义。
- 创建新的设备组，然后选择“ 设备 ”选项卡。
- 为其中一个条件添加第一个值。
- 选择此选项
+可添加更多相同属性类型的行。
提示
在同一条件类型的行之间使用“OR”运算符，这允许每个属性多个值。 可以为每个属性类型（标记、设备名称、域）添加最多 10 行 (值) 。
有关设备组定义的详细信息，请参阅设备组 - Microsoft 365 安全中心。