當您建立原則時，您可以使用 指派篩選， 根據您建立的規則來指派原則。 您可以將指派篩選套用至 Intune 註冊的裝置和 Intune 管理的應用程式。 有關指派篩選的概覽，請移至 在 Microsoft Intune 中指派應用程式、原則和設定檔時使用篩選。
當您建立指派篩選時，應考慮一些效能建議。
本文列出並說明適用於您原則和應用程式的 Intune 群組、目標設定和篩選建議。 目標是協助您在大型環境中做出 Intune 部署的架構和設計決策。
這些效能建議及其實作可能會有所不同，且取決於您自己的環境 & 其他因素，包括可管理性和簡單性。
本文內容：
- 取得 Intune 群組和目標設定概念的概觀
- 取得一些效能建議
如需動態群組的指導方針，請移至 在 Microsoft Entra ID 中為動態群組建立更簡單、更有效率的規則。
Intune 群組和目標設定概念概觀
讓我們來檢視一下 Intune 中可用的群組、目標和篩選功能。
Microsoft Entra 群組
Intune 幾乎專門使用 Microsoft Entra 群組進行分組和目標設定。 當您在 Microsoft Intune 系統管理中心選取 [群組] 時，您會看到 Microsoft Entra 群組。
Microsoft Entra 群組是 Intune 的重要部分，因為這些群組為：
- 用來將應用程式、原則及其他工作負載指派給使用者和裝置的物件
- 用來定義系統管理員可在 Intune 系統管理中心檢視和管理的裝置，例如角色型存取控制 (RBAC) 中的範圍群組
虛擬群組
[所有使用者] 和 [所有裝置] 指派是 Intune「虛擬」群組。 這些虛擬群組預設可在所有 Intune 租用戶中使用，而且不會產生任何管理額外負荷。 例如，您不需要建立或調整任何 Microsoft Entra ID 規則來保持其成員填入。
[所有使用者] 和 [所有裝置] 群組也具有高度的可調整性和最佳化，主要是因為它們不需要像其他群組那樣從 Microsoft Entra ID 同步處理。
工作分派篩選
將應用程式或原則指派給 Microsoft Entra ID 或虛擬群組之後，您可以使用指派篩選，將這些應用程式和原則的指派範圍縮小到特定使用者或裝置群組。
您的指派篩選會根據裝置內容，篩選裝置在該指派的 (或) 。
篩選是在裝置簽入時進行高效能、低延遲的適用性評估，而不需要預先計算群組成員資格。
效能建議
本節包含一些建議，可改善在 Microsoft Intune 中指派原則時的效能。
這些建議著重於改善效能並減少工作負載指派的延遲。 它們在大型 Intune 環境中工作時影響最大，例如擁有 >100,000 個裝置的環境。 這些建議應與其他設計層面搭配考慮，例如可管理性、易用性、角色型管理和簡單性。
使用內建的虛擬群組
| 可行事項 | 禁止事項 |
|---|---|
使用 [所有使用者] 和 [所有裝置] 虛擬群組，而不是使用 Microsoft Entra 動態群組建立您自己的所有使用者/所有裝置版本。 |
請勿在 Intune 中為原則和應用程式目標設定建立您自己的「所有使用者」或「所有裝置」動態群組。 |
較大的群組需要較長的時間才能在 Microsoft Entra ID 和 Intune 之間同步成員資格更新。 [ 所有使用者 ] 和 [所有裝置 ] 通常是您擁有的最大群組。 如果您將 Intune 工作負載指派給具有許多使用者或裝置的大型 Microsoft Entra 群組，則同步處理待處理項目可能會發生在 Intune 環境中。 此待辦項目會影響原則和應用程式部署，其需要較長的時間才能到達受管理的裝置。
從 Microsoft Entra 更新至 Intune 通常會在 5 分鐘內完成。 這不是即時的。 這個時間可能會影響註冊作業。 系統管理員應在幾分鐘後註冊裝置，而不是在將註冊使用者新增至群組後立即註冊。
內建的 [所有使用者] 和 [所有裝置] 群組是不存在於 Microsoft Entra ID 中的僅限 Intune 群組物件。 Microsoft Entra ID 與 Intune 之間不會持續同步。 因此，群組成員資格是即時的。
注意事項
如需 Intune 簽入原則重新整理間隔的相關資訊，請移至 Intune 原則重新整理間隔。
您也可以將此最佳化套用至您可能擁有的其他大型且經常變更的群組，例如「所有 Windows 裝置」或「所有 iOS 裝置」。 不要建立並鎖定這些群組，而是使用現有的「所有使用者」或「所有裝置」虛擬群組，因為 Intune 原則和應用程式會自動依平台設定範圍。
在) Intune (超過 100,000 個成員使用非常大的群組時，預期初始目標設定可能會有一些延遲。 Microsoft Entra ID 與 Intune 之間會發生第一次設定程序。 第一次完整同步處理總是比後續的增量同步處理花費更長的時間。
重複使用群組
| 可行事項 | 禁止事項 |
|---|---|
|
重複使用相同的群組物件來指派多個原則。 |
請勿建立相同群組的重複複本來針對不同的原則。
請勿建立專用的「應用程式群組」或「原則群組」。 |
在幕後，Intune 會將 Microsoft Entra 群組成員轉換為每個使用者和裝置的指派目標訊息。 當群組物件相同時，此程序會高度最佳化。
例如，當「工程」使用者群組以 10 個原則為目標時，Intune 群組和目標設定的運作效果最佳。 當工程使用者是 10 個不同群組的成員，且每個群組都指派給不同的原則時，就無法發揮最佳效果。
我們已看到一些設計未使用此指引。 例如，IT 系統管理員會建立「Install_Edge」群組、建立「Deploy_Edge_Config_Policy」群組，然後在每個群組中放置相同的裝置，基於效能不建議這樣做。
類似且不建議的模式是建立「應用程式群組」。 應用程式群組是指每個應用程式都為其建立了數個 Microsoft Entra 群組。 例如，若要管理 Microsoft Edge 應用程式，系統管理員會建立下列群組：
- Edge_Required
- Edge_Available
- Edge_Uninstall
系統管理員會將個別使用者或裝置新增至這些群組。 這些應用程式群組會大幅增加 Intune 必須訂閱並監視成員資格更新的 Microsoft Entra 群組數目，效率較低。 低效率的群組同步設計會影響建立新作業並將其傳遞至裝置的速度。
進行累加式群組變更
| 可行事項 | 禁止事項 |
|---|---|
|
請小心 Microsoft Entra ID 中的大型群組巢狀變更。 |
請勿一次進行大型群組巢狀變更。 |
Microsoft Entra ID 中的大型群組成員資格變更可能會在 Intune 中產生一連串的目標變更。 這些突發可能會延遲環境中其他作業的目標定位。
如果一組系統管理員管理您的群組，而另一組系統管理員管理 Microsoft Entra ID，則您應該傳達 Microsoft Entra ID 變更可能對 Intune 目標設定產生的影響。
例如，如果 Microsoft Entra 系統管理員在 Intune 用於目標的現有群組內建立新的大型群組巢狀結構，則 Intune 會開始同步處理所有群組和群組成員資格。 處理所有成員資格所需的時間取決於 Microsoft Entra ID 中所做的群組變更的數目和大小。
此建議也適用於「非巢狀」群組。 如需巢狀群組的詳細資訊，請移至 管理 Microsoft Entra 群組和群組成員資格。
使用指派篩選來包含和排除
| 可行事項 | 禁止事項 |
|---|---|
|
使用指派篩選來達成正確的使用者+裝置組合來進行目標設定。 |
使用 [包含] 和 [排除] 群組時，請勿混用使用者群組和裝置群組。 |
此建議也是支持聲明。 我們不建議或支援建立使用者群組的指派，並從該指派中排除裝置群組，反之亦然。
由於動態群組的計時/延遲特性，因此存在此建議。 排除的群組 成員資格並非即時，這可能會導致裝置無法正確地接收應用程式或原則指派。 若要深入了解，請移至 指派原則和設定檔 - 支援矩陣。
建議您指派給使用者群組，而不是混合排除。 然後，使用指派篩選來動態包含或排除適當的裝置。
使用指派篩選，而非動態群組進行裝置屬性目標設定
| 可行事項 | 禁止事項 |
|---|---|
|
針對簡單的裝置屬性使用篩選， (作業系統類型、製造商、型號、擁有權、裝置類別) 。 |
當群組僅由 Intune 使用時，請勿針對簡單的裝置內容使用動態群組。 |
使用簡單屬性規則的動態裝置群組 (例如或 device.deviceOwnership -eq "Company") 引入device.deviceOSType -eq "Windows"額外的處理步驟，當群組僅由Intune取用時，沒有任何好處。 指派篩選會在裝置簽入時直接評估相同的屬性，而不需要評估群組成員資格。
例如，您可以將原則指派給 [所有裝置]，並使用該規則operatingSystemSKU -eq "Windows"套用篩選器，而不是使用規則device.deviceOSType -eq "Windows"建立動態群組並將原則指派給該群組。 結果相同，但篩選會在簽入時評估，而不取決於群組成員資格處理。
在下列情況時，請考慮將動態裝置群組移轉至指派篩選：
- 群組只用於Intune原則或應用程式指派， (不能用於條件式存取、授權或其他服務) 。
- 群組規則會使用指派篩選 支援的裝置屬性，例如 OS 版本、製造商、型號、擁有權或類別。
- 您想要 簡化目標架構 ，並減少對群組成員資格評估的相依性。
注意事項
對於 Autopilot 設定檔目標設定、條件式存取 (跨工作負載案例、授權) 和以使用者為基礎的分組，動態群組仍然是必要的。 如需動態群組的指導方針，請移至 在 Microsoft Entra ID 中為動態群組建立更簡單、更有效率的規則。
避免 memberOf 動態群組規則
| 可行事項 | 禁止事項 |
|---|---|
在動態群組規則中使用直接屬性比較 (-eq、 、 -startsWith-in) 。 |
請勿在 memberOf Intune 目標設定的動態群組規則中使用運算子。 |
memberOf運算子會觸發可傳遞的群組成員資格查閱，這會增加顯著的處理複雜度。 在大型環境中， memberOf由於查閱的遞迴性質，以規則為基礎的規則可能會導致較長的評估時間並產生非預期的成員資格結果。
如果您需要根據裝置在另一個群組中的成員資格來鎖定裝置，請評估是否可以使用直接裝置屬性或指派篩選來重新設計案例。 例如，不要 device.memberOf -any (group.objectId -in ['<groupId>'])考慮裝置是否共用可在更簡單的規則或篩選中使用的通用屬性 (例如註冊設定檔名稱、裝置類別或製造商) 。
注意事項
如需最佳化動態群組規則的詳細資訊，請參閱最佳 化規則效率。
摘要
在 Intune 中建立和管理作業時，請納入其中一些建議。 使用群組或虛擬群組，並套用指派篩選條件，以協助精簡目標範圍。 請記住最佳做法：
- 請勿建立您自己的 [所有使用者] 或 [所有裝置] 群組版本。 使用 Intune 虛擬群組，因為它們不需要在將新使用者或裝置新增至環境時同步處理 Microsoft Entra ID。
- 若要最佳化目標設定，請盡可能重複使用群組。
- 對 Intune 群組進行大型巢狀變更時請務必小心。 Intune 必須處理所有這些變更，並針對受該變更影響的所有群組計算有效變更。
- Intune 不支援混合群組排除。 因此，除了群組或虛擬群組指派之外，還使用指派篩選來動態包含和排除裝置。
- 當群組僅由 Intune 取用時，請使用指派篩選，而不是動態裝置群組。
- 避免
memberOf加入動態群組規則。 請改用直接屬性比較。
如需在虛擬群組、靜態群組、動態群組、作業篩選器和註冊時間分組) 目標設定方法 (之間進行選擇的指導方針，請移至 Microsoft Intune 中選擇正確的目標設定方法。