瞭解群組類型、成員資格類型和存取管理

Microsoft Entra ID 提供數種管理存取資源、應用程式和工作的方式。 透過Microsoft Entra 群組，您可以將存取權和許可權授與使用者群組，而不是授與每位個別使用者的存取權。 將 Microsoft Entra 資源的存取限制為只有需要存取權的使用者，是零信任的核心安全性原則之一。

本文提供群組和訪問許可權如何一起使用的概觀，讓管理Microsoft Entra 使用者變得更容易，同時套用安全性最佳做法。

注意

你無法在 Azure 入口網站或 Microsoft Entra 系統管理中心中管理某些群組。

  • 從內部部署 Active Directory 同步的群組僅可在內部部署環境中進行管理。
  • 通訊組清單和啟用郵件功能的安全組只能在 Exchange 系統管理中心 或 Microsoft 365 系統管理中心中管理。 您必須登入並擁有該系統管理中心管理這些群組的適當許可權。

Microsoft Entra 群組概觀

有效使用群組可減少手動工作，例如將角色和許可權指派給個別使用者。 您可以指派角色給群組，並根據其工作職能或部門將成員指派給群組。 您可以建立套用至群組的條件式存取原則，然後將原則指派給群組。 由於群組的潛在用途，請務必瞭解其運作方式，以及其管理方式。

群組類型

您可以在 Microsoft Entra 系統管理中心管理兩種類型的群組：

  • 安全群組：用於管理共享資源的存取。

    • 安全組的成員可以包含使用者、裝置、服務主體。
    • 群組可以是其他群組的成員，有時稱為巢狀群組。 請參閱附註。
    • 用戶和服務主體可以是安全組的擁有者。

  • Microsoft 365 群組：提供合作機會。

    • Microsoft 365 群組的成員只能包含使用者。
    • 使用者與服務主體可以擁有 Microsoft 365 群組。
    • 組織外部的人員可以是群組的成員。
    • 如需詳細資訊，請參閱瞭解 Microsoft 365 群組。

注意

將現有的安全組巢狀至另一個安全組時，只有父群組中的成員可以存取共用的資源和應用程式。 如需管理巢狀群組的詳細資訊，請參閱 如何管理群組。

成員資格類型

  • 指定群組：讓你將特定使用者加入群組，並擁有獨特權限。
  • 使用者動態會員群組：允許你使用規則自動新增或移除使用者為成員。 如果成員的屬性有所變更，系統會查看目錄中動態成員資格群組的規則。 系統會檢查成員是否符合規則需求（已新增），或不再符合規則需求（已移除）。
  • 裝置動態成員群組：允許你使用規則自動新增或移除裝置為成員。 如果裝置的屬性出現變化，系統會檢閱您針對目錄所設定的組動態成員資格群組規則，以了解該裝置是否仍符合規則需求 (已新增)，或已不再符合規則需求 (已移除)。

重要

您可以針對裝置或使用者建立動態群組，但不能同時建立。 您無法依據裝置擁有者的屬性建立裝置群組。 裝置成員資格規則只能參照裝置屬性。 如需詳細資訊，請參閱 建立動態群組。

存取管理

Microsoft Entra ID 可藉由為單一使用者或群組提供訪問許可權，協助您授與組織資源的存取權。 使用群組可讓資源擁有者或Microsoft Entra 目錄擁有者將一組訪問許可權指派給群組的所有成員。 資源或目錄擁有者也可以將群組管理許可權授與部門經理或技術支援中心系統管理員等人員，以允許該人員新增和移除成員。 如需如何管理群組擁有者的詳細資訊，請參閱管理群組一文。

Microsoft Entra 群組可以管理存取權的資源可以是：

  • 您在 Microsoft Entra 組織中所擁有的部分許可權，例如管理使用者、應用程式、計費和其他對象之类的許可權。
  • 組織外部的應用程式，例如非Microsoft的軟體即服務（SaaS）應用程式。
  • Azure 服務。
  • SharePoint 網站。
  • 本地資源。

每個需要存取權限的應用程式、資源和服務都必須分開管理，因為其權限可能彼此不同。 請使用最低權限原則來授與存取權，以利縮減攻擊風險或安全性缺口。

指派類型

建立群組之後，您必須決定如何管理其存取權。

  • 直接指派：資源擁有者直接將使用者指派到該資源。

  • 小組作業。 資源擁有者會將 Microsoft Entra 群組指派給資源，這會自動授與所有群組成員對資源的存取權。 群組成員資格是由群組擁有者和資源擁有者所管理，任何一者皆可新增或移除群組內的成員。 有關管理群組成員資格的詳細資訊，請參閱 管理群組 一文。

  • 基於規則的指派：資源擁有者建立一個群組，並使用規則定義哪些使用者被指派到特定資源。 此規則是以指派給個別使用者的屬性為基礎。 資源擁有者會管理規則，判斷允許存取資源所需的屬性和值。 如需詳細資訊，請參閱 建立動態群組。

  • 外部權限指派：存取來自外部來源，例如本地目錄或 SaaS 應用程式。 在此情況下，資源擁有者會指派群組以提供資源的存取權，然後由外部來源管理該群組成員。

雲端群組管理的最佳實務

以下是在雲端中管理群組的最佳做法：

  • 啟用自助群組管理：允許使用者搜尋並加入群組，或建立和管理自己的Microsoft 365群組。
    • 讓小組能夠自行組織，同時降低IT的系統管理負擔。
    • 套用 組命名原則 來封鎖使用受限制字組並確保一致性。
    • 啟用群組到期原則以防止非使用中的群組積聚，系統會在指定期限後自動刪除未使用的群組，除非由群組擁有者更新。
    • 設定群組以自動接受加入或需要核准的所有使用者。
    • 如需詳細資訊，請參閱 在 Microsoft Entra ID中設定自助群組管理。
  • 善用敏感性標籤：利用敏感性標籤根據Microsoft 365群體的安全與合規需求分類與治理。
  • 動態群組自動化會員：實作動態會員規則，根據部門、地點或職稱等屬性自動新增或移除群組中的使用者與裝置。
    • 將手動更新降到最低，並減少揮之不去的存取風險。
    • 此功能適用於Microsoft 365 個群組和安全組。
  • 定期存取審查：利用Microsoft Entra身份治理功能排程定期存取審查。
    • 確保被指派群組的成員資格始終保持正確且相關。
    • 如需詳細資訊，請參閱 在 Microsoft Entra ID 中建立或更新動態成員資格群組
  • 使用存取套件管理成員資格：使用 Microsoft Entra Identity Governance 建立存取套件，以簡化多個群組成員資格的管理。 使用存取套件可以達成以下目的：
    • 包含成員資格的核准工作流程
    • 定義存取到期的準則
    • 提供集中方式，授與、檢閱和撤銷跨群組和應用程式的存取權
    • 如需詳細資訊，請參閱在權利管理中建立存取套件
  • 指派多個群組擁有者：至少指派兩位擁有者到一個群組，以確保連續性並減少對單一個人的依賴。
    • 如需詳細資訊，請參閱管理Microsoft Entra 群組和群組成員資格
  • 使用群組授權：群組授權簡化使用者配置並確保授權分配一致。
  • 強制執行基於角色的存取控制（RBAC）：指派角色以控制誰能管理群組。

相關內容

  • 上次更新時間：