範圍篩選和屬性對應 - Microsoft Entra ID 至 Active Directory

發行項
07/08/2024

您可以根據您的業務需求自訂預設的屬性對應。因此，您可以變更或刪除現有的屬性對應，或建立新的屬性對應。

下列文件會引導您使用 Microsoft Entra 雲端同步完成屬性範圍設定，以從 Microsoft Entra ID 佈建至 Active Directory。如果您要尋找從 AD 到 Microsoft Entra ID 的屬性對應資訊，請參閱屬性對應 - Active Directory 至 Microsoft Entra ID。

Microsoft Entra ID 至 Active Directory 設定的結構描述

目前無法探索 AD 結構描述，而且有一組固定的對應集。下表提供 Microsoft Entra ID 到 Active Directory 設定的預設對應和結構描述。

目標屬性	來源屬性	對應類型	備註
adminDescription	Append("Group_",[objectId])	運算式	無法在 UI 中更新 - 不要更新用來從 AD 篩選到雲端同步在 UI 中看不到
cn	Append(Append(Left(Trim([displayName]),51),"_"),Mid([objectId],25,12))	運算式
description	Left(Trim([description]),448)	運算式
displayName	displayName	直接
isSecurityGroup	True	持續性	無法在 UI 中更新 - 不要更新在 UI 中看不到
成員	成員	直接	無法在 UI 中更新 - 不要更新在 UI 中看不到
msDS-ExternalDirectoryObjectId	Append("Group_",[objectId])	運算式	無法在 UI 中更新 - 不要更新用來聯結 - 在 AD 中對應在 UI 中看不到
ObjectGUID			無法在 UI 中更新 - 不要更新唯讀 - AD 中的錨點在 UI 中看不到
parentDistinguishedName	OU=Users,DC=<domain selected at configuration start>,DC=com	持續性	UI 中的預設
UniversalScope	True	持續性	無法在 UI 中更新 - 不要更新在 UI 中看不到

請注意，並非所有上述對應都能在入口網站中看到。如需有關屬性對應的詳細資訊，請參閱屬性對應。

範圍篩選目標容器

預設目標容器是 OU=User,DC=<domain selected at configuration start>,DC=com。您可以將此變更為自己的自訂容器。

您也可以使用屬性對應運算式搭配 Switch() 函式來設定多個目標容器。使用此運算式時，如果 displayName 值為 Marketing 或 Sales，則會在對應的 OU 中建立群組。如果沒有相符項目，則會在預設 OU 中建立群組。

Switch([displayName],"OU=Default,OU=container,DC=contoso,DC=com","Marketing","OU=Marketing,OU=container,DC=contoso,DC=com","Sales","OU=Sales,OU=container,DC=contoso,DC=com")

以下是此運算式的另一個範例。假設您有下列 3 個群組，而且具有下列 displayName 屬性值：

NA-Sales-Contoso
SA-Sales-Contoso
EU-Sales-Contoso

您可以使用下列 switch 陳述式來篩選和佈建群組：

Switch(Left(Trim([displayName]), 2), "OU=Groups,DC=contoso,DC=com", "NA","OU=NorthAmerica,DC=contoso,DC=com", "SA","OU=SouthAmerica,DC=contoso,DC=com", "EU", "OU=Europe,DC=contoso,DC=com")

根據預設，此陳述會將所有群組佈建到 Active Directory 中的 OU=Groups,DC=contoso,DC=com 容器。不過，如果群組以 NA 開頭，則會將群組佈建至 OU=NorthAmerica,DC=contoso,DC=com。同樣地，如果群組以 SA 開頭，則會佈建至 OU=SouthAmerica，DC=contoso，DC=com；若以 EU 開頭，則佈建至 OU=Europe，DC=contoso，DC=com。

如需詳細資訊，請參閱在 Microsoft Entra ID 中撰寫屬性對應之運算式的參考。

屬性範圍篩選

支援屬性型範圍篩選。您可以根據特定屬性來設定群組範圍。不過，請注意，Microsoft Entra ID 至 Active Directory 設定的屬性對應區段與傳統屬性對應區段稍有不同。

支援的子句

範圍篩選條件包含一個或多個子句。子句會評估每個群組的屬性，以決定哪些群組可以通過範圍篩選條件。例如，您可能有一個子句要求群組“displayName”屬性等於“Marketing”，此時只會佈建 Marketing 群組。

預設安全性群組

預設安全性群組會套用在所建立的每個子句之上，並使用“AND”邏輯。其中包含以下條件：

securityEnabled IS True AND
dirSyncEnabled IS FALSE AND
mailEnabled IS FALSE

系統一定會先套用預設安全性群組，並在使用單一子句時使用 AND 邏輯。接著，子句會遵循以下所述的邏輯。

單一子句可定義單一屬性值的單一條件。如果在單一範圍篩選器中建立多個子句，則系統會使用「AND」邏輯一起評估這些子句。也就是說，所有子句都必須評估為「true」，才能佈建使用者。

最後，您可以針對某個群組建立多個範圍篩選條件。如果有多個範圍篩選條件，則會使用 "OR" 邏輯一起評估這些篩選條件。 "OR" 邏輯表示，如果任何已設定範圍篩選中的所有子句都評估為 "true"，則會佈建群組。

支援的運算子

支援下列運算子：

運算子	描述
&
ENDS_WITH
EQUALS	如果評估的屬性完全符合輸入字串值 (區分大小寫)，子句會傳回 "true"。
GREATER_THAN	如果評估的屬性大於值，子句就會傳回 "true"。範圍篩選上指定的值必須是整數，而且使用者的屬性必須是整數 [0,1,2,...]。
GREATER_THAN_OR_EQUALS	如果評估的屬性大於或等於值，子句就會傳回 "true"。範圍篩選上指定的值必須是整數，而且使用者的屬性必須是整數 [0,1,2,...]。
INCLUDES
IS FALSE	如果評估的屬性包含布林值 false，子句會傳回 "true"。
IS_MEMBER_OF
IS NOT NULL	如果評估的屬性不是空的，子句會傳回 "true"。
IS NULL	如果評估的屬性是空的，子句會傳回 "true"。
IS TRUE	如果評估的屬性包含布林值 true，子句會傳回 "true"。
!&L
NOT EQUALS	如果評估的屬性不符合輸入字串值 (區分大小寫)，子句會傳回 "true"。
NOT REGEX MATCH	如果評估的屬性不符合規則運算式模式，子句會傳回 "true"。如果屬性為 null/empty，則會傳回 "false"。
現今
REGEX MATCH	如果評估的屬性符合規則運算式模式，子句會傳回 "true"。例如：$[1-9][0-9]$ 符合介於 10 到 99 之間的任何數字 (區分大小寫)。
VALID CERT MATCH

使用規則運算式篩選

更進階的篩選條件可能會使用 REGEX MATCH。這可讓您搜尋屬性，做為該屬性 substring 的字串。例如，假設您有數個群組，而且都有下列描述：

Contoso-Sales-US Contoso-Marketing-US Contoso-Operations-US Contoso-LT-US

現在，您只想將 Sales、Marketing 和 Operations 群組佈建至 Active Directory。您可以使用 REGEX MATCH 來完成這個工作。

REGEX MATCH description (?:^|\W)Sales|Marketing|Operations(?:$|\W)

REGEX MATCH 會搜尋我們提供的任何字詞描述，並只佈建這些群組。

建立屬性型篩選

若要建立屬性型篩選器，請使用下列步驟：

按一下 [新增屬性篩選器]
在 [名稱] 方塊中，提供篩選器的名稱
從下拉式清單中的 [目標屬性] 下選取目標屬性
在 [運算子] 下選取運算子。
在 [值] 下指定值。
按一下 [檔案] 。

如需詳細資訊，請參閱屬性對應以及在 Microsoft Entra ID 中撰寫屬性對應之運算式的參考。

共用方式為