Správa pravidel pro dynamické skupiny členství v Microsoft Entra ID

Můžete vytvořit pravidla založená na atributech uživatele nebo zařízení, která umožní členství pro dynamické skupiny členství v Microsoft Entra ID, součást Microsoft Entra. Dynamické skupiny členství můžete přidávat a odebírat automaticky pomocí pravidel členství na základě atributů členů. V Microsoft Entra může mít jeden tenant maximálně 15 000 dynamických skupin členství.

Tento článek podrobně popisuje vlastnosti a syntaxi pro vytváření pravidel pro dynamické skupiny členství na základě uživatelů nebo zařízení.

Když se atributy uživatele nebo zařízení změní, systém vyhodnotí všechna pravidla pro dynamické skupiny členství v adresáři a zjistí, jestli by změna aktivovala přidání nebo odebrání jakékoli skupiny. Pokud uživatel nebo zařízení splňuje pravidlo pro skupinu, přidá se jako člen této skupiny. Pokud již pravidlo nesplňují, jsou odstraněni. Člena dynamické skupiny členství nemůžete přidat ani odebrat ručně.

• Můžete vytvořit dynamické skupiny členství pro uživatele nebo zařízení, ale nemůžete vytvořit pravidlo, které obsahuje uživatele i zařízení.
• Nemůžete vytvořit skupinu členství zařízení na základě atributů uživatele vlastníka zařízení. Pravidla členství zařízení můžou odkazovat pouze na atributy zařízení.

Tvůrce pravidel na webu Azure Portal

Microsoft Entra ID poskytuje tvůrci pravidel pro vytváření a aktualizaci důležitých pravidel rychleji. Tvůrce pravidel podporuje vytváření až pěti výrazů. Tvůrce pravidel usnadňuje vytvoření pravidla s několika jednoduchými výrazy, ale nedá se použít k reprodukci každého pravidla. Pokud tvůrce pravidel nepodporuje pravidlo, které chcete vytvořit, můžete použít textové pole.

Tady je několik příkladů pokročilých pravidel nebo syntaxe, které vyžadují použití textového pole:

• Pravidlo s více než pěti výrazy
• Pravidlo přímých podřízených
• Pravidla s operátorem -contains nebo -notContains
• Nastavení priority operátoru
• Pravidla se složitými výrazy, například (user.proxyAddresses -any (_ -startsWith "contoso"))

Další podrobné pokyny najdete v tématu Vytvoření nebo aktualizace dynamické skupiny členství.

Syntaxe pravidla pro jeden výraz

Jediný výraz je nejjednodušší formou pravidla členství a má pouze tři části uvedené výše. Pravidlo s jedním výrazem vypadá podobně jako v tomto příkladu: Property Operator Value, kde syntaxe vlastnosti je název object.property.

Následující příklad znázorňuje správně vytvořené pravidlo členství s jedním výrazem:

user.department -eq "Sales"

Závorky jsou volitelné pro jeden výraz. Celková délka textu pravidla členství nesmí překročit 3 072 znaků.

Vytvoření těla pravidla členství

Pravidlo členství, které automaticky naplní skupinu uživateli nebo zařízeními, je binární výraz, který má za následek pravdivý nebo nepravdivý výsledek. Tři části jednoduchého pravidla jsou:

• (If specific context requires): Nemovitost / Majetek
• Operátor
• Hodnota

Pořadí částí ve výrazu je důležité, aby nedocházelo k chybám syntaxe.

Podporované vlastnosti

Existují tři typy vlastností, které lze použít k vytvoření pravidla členství.

• Boolean
• Datum čas
• Řetězec
• Kolekce řetězců

Následují vlastnosti uživatele, které můžete použít k vytvoření jednoho výrazu.

Vlastnosti typu boolean

Vlastnosti typu dateTime

Vlastnosti typu řetězec

Vlastnosti typu kolekce řetězců

Vlastnosti používané pro pravidla zařízení najdete v tématu Pravidla pro zařízení.

Podporované operátory výrazů

Následující tabulka uvádí všechny podporované operátory a jejich syntaxi pro jeden výraz. Operátory lze použít s nebo bez předpony spojovníku (-). Operátor Contains provádí částečné shody řetězců, ale ne provádí shody položek v kolekci.

Použití operátorů -in a -notIn

Pokud chcete porovnat hodnotu atributu uživatele s více hodnotami, můžete použít operátory -in nebo -notIn. K zahájení a ukončení seznamu hodnot použijte symboly závorek "[" a "]".

V následujícím příkladu se výraz vyhodnotí jako true, pokud se hodnota user.department rovná některé z hodnot v seznamu:

   user.department -in ["50001","50002","50003","50005","50006","50007","50008","50016","50020","50024","50038","50039","51100"]

Použití operátorů -le a -ge

Při použití atributu employeeHireDate v pravidlech pro dynamické skupiny členství můžete použít operátory menší než (-le) nebo větší než (-ge).
Příklady:

user.employeehiredate -ge system.now -plus p1d 

user.employeehiredate -le 2020-06-10T18:13:20Z 

Použití operátoru -match

Operátor -match se používá pro porovnávání libovolného regulárního výrazu. Příklady:

user.displayName -match "^Da.*"   

Da, Dav a David jsou vyhodnoceny jako pravda, aDa je vyhodnoceno jako nepravda.

user.displayName -match ".*vid"

David vyhodnotí se jako pravda, Da vyhodnotí se jako nepravda.

Podporované hodnoty

Hodnoty použité ve výrazu se můžou skládat z několika typů, mezi které patří:

• Řetězce
• Logická hodnota – pravda, nepravda
• Čísla
• Pole – číselné pole, řetězcové pole

Při zadávání hodnoty ve výrazu je důležité použít správnou syntaxi, abyste se vyhnuli chybám. Tady je několik tipů pro syntaxi:

• Dvojité uvozovky jsou volitelné, pokud se nejedná o řetězec.
• Operace regulárních výrazů a řetězců nerozlišují velká a malá písmena.
• Ujistěte se, že jsou názvy vlastností správně formátované, jak je znázorněno, protože rozlišují malá a velká písmena.
• Pokud řetězcová hodnota obsahuje dvojité uvozovky, obě uvozovky by měly být uvozeny pomocí znaku `, například user.department -eq `"Sales`" je správná syntaxe, pokud je hodnota "Sales". Jednoduché uvozovky by měly být nahrazeny dvěma jednoduchými uvozovkami místo jedné pokaždé.
• Můžete také provést kontroly null pomocí null jako hodnoty, například user.department -eq null.

Použití hodnot Null

Chcete-li zadat hodnotu null v pravidle, můžete použít hodnotu null .

• Při porovnávání hodnoty null ve výrazu použijte parametr -eq nebo -ne.
• Uvozovky kolem slova null použijte pouze v případě, že chcete, aby to bylo interpretováno jako literálová řetězcová hodnota.
• Operátor -not nelze použít jako srovnávací operátor s hodnotou null. Pokud ji použijete, zobrazí se chyba, jestli používáte hodnotu null nebo $null.

Správný způsob, jak odkazovat na hodnotu null, je následující:

   user.mail –ne null

Pravidla s více výrazy

Spravovat pravidla pro dynamické skupiny členství může být složeno z více než jednoho výrazu propojeného logickými operátory -a, -nebo, a -ne. Logické operátory lze použít také v kombinaci.

Následující jsou příklady správně sestavených pravidel členství s více výrazy:

(user.department -eq "Sales") -or (user.department -eq "Marketing")
(user.department -eq "Sales") -and -not (user.jobTitle -startsWith "SDE")

Priorita operátorů

Všechny operátory jsou uvedené níže v pořadí podle priority od nejvyššího po nejnižší. Operátory na stejném řádku mají stejnou prioritu:

-eq -ne -startsWith -notStartsWith -contains -notContains -match –notMatch -in -notIn
-not
-and
-or
-any -all

Následující příklad znázorňuje prioritu operátoru, kde se pro uživatele vyhodnocují dva výrazy:

   user.department –eq "Marketing" –and user.country –eq "US"

Závorky jsou potřeba jenom v případě, že priorita nesplňuje vaše požadavky. Pokud například chcete, aby bylo oddělení vyhodnoceno jako první, ukazuje následující příklad, jak lze použít závorky k určení pořadí:

   user.country –eq "US" –and (user.department –eq "Marketing" –or user.department –eq "Sales")

Pravidla s komplexními výrazy

Pravidlo členství se může skládat ze složitých výrazů, ve kterých vlastnosti, operátory a hodnoty přebírají složitější formy. Výrazy se považují za složité, pokud platí některá z následujících možností:

• Vlastnost se skládá z kolekce hodnot; konkrétně vlastnosti s více hodnotami
• Výrazy používají operátory -any a -all.
• Hodnota výrazu může být jeden nebo více výrazů.

Vlastnosti s více hodnotami

Vlastnosti s více hodnotami jsou kolekce objektů stejného typu. Dají se použít k vytvoření pravidel členství pomocí logických operátorů -any a -all.

Použití operátorů -any a -all

Pomocí operátoru -any a -all můžete použít podmínku pro jednu nebo všechny položky v kolekci.

• -any (splněno, když alespoň jedna položka v kolekci odpovídá podmínce)
• -all (splněno, když všechny položky v kolekci odpovídají podmínce)

Příklad 1

assignedPlans je vlastnost s více hodnotami, která obsahuje seznam všech plánů služeb přiřazených uživateli. Následující výraz vybere uživatele, kteří mají plán služby Exchange Online (Plán 2) (jako hodnotu GUID), který je také ve stavu Povoleno:

user.assignedPlans -any (assignedPlan.servicePlanId -eq "efb87545-963c-4e0d-99df-69c6916d9eb0" -and assignedPlan.capabilityStatus -eq "Enabled")

Pravidlo, jako je tento, se dá použít k seskupení všech uživatelů, pro které je povolená služba Microsoft 365 nebo jiná funkce online služby Microsoftu. Pak byste mohli použít sadu zásad pro skupinu.

Příklad 2

Následující výraz vybere všechny uživatele, kteří mají jakýkoli plán služby přidružený ke službě Intune (identifikovaný názvem služby SCO):

user.assignedPlans -any (assignedPlan.service -eq "SCO" -and assignedPlan.capabilityStatus -eq "Enabled")

Příklad 3

Následující výraz vybere všechny uživatele, kteří nemají přiřazený plán služby:

user.assignedPlans -all (assignedPlan.servicePlanId -eq null)

Použití syntaxe podtržítka (_)

Syntaxe podtržítka (_) odpovídá výskytům určité hodnoty v jedné z vlastností kolekce vícehodnotových řetězců pro přidání uživatelů nebo zařízení do dynamické skupiny členství. Používá se s operátory -any nebo -all.

Tady je příklad použití podtržítka (_) v pravidle k přidání členů na základě user.proxyAddress (funguje to stejně pro user.otherMails). Toto pravidlo přidá do skupiny všechny uživatele s adresou proxy, která začíná na "contoso".

(user.proxyAddresses -any (_ -startsWith "contoso"))

Další vlastnosti a běžná pravidla

Vytvořit pravidlo "Přímí podřízení"

Můžete vytvořit skupinu obsahující všechny přímé podřízené vedoucího. Když se změní přímí podřízení vedoucího, členství ve skupině se automaticky upraví.

Pravidlo přímých sestav se konstruuje pomocí následující syntaxe:

Direct Reports for "{objectID_of_manager}"

Tady je příklad platného pravidla, kde "aaaaaaaaaa-1111-2222-bbbbbbbb" je ID objektu správce:

Direct Reports for "aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb"

Následující tipy vám můžou pomoct správně použít pravidlo.

• ID manažera je ID objektu manažera. Najdete ho v profilu manažera.
• Aby pravidlo fungovalo, ujistěte se, že je vlastnost Správce správně nastavená pro uživatele ve vaší organizaci. Aktuální hodnotu můžete zkontrolovat v profilu uživatele.
• Toto pravidlo podporuje pouze přímé podřízené vedoucího. Jinými slovy, nemůžete vytvořit skupinu s přímými podřízenými vedoucího a jejich podřízenými.
• Toto pravidlo nelze kombinovat s žádnými dalšími pravidly členství.

Vytvoření pravidla Všichni uživatelé

Pomocí pravidla členství můžete vytvořit skupinu obsahující všechny uživatele v organizaci. Když se uživatelé v budoucnu přidají nebo odeberou z organizace, členství ve skupině se upraví automaticky.

Pravidlo "Všichni uživatelé" je vytvořené pomocí jednoho výrazu pomocí operátoru -ne a hodnoty null. Toto pravidlo přidá uživatele typu host B2B a členské uživatele do skupiny.

user.objectId -ne null

Pokud chcete, aby vaše skupina vyloučila uživatele typu host a zahrnovala pouze členy vaší organizace, můžete použít následující syntaxi:

(user.objectId -ne null) -and (user.userType -eq "Member")

Vytvoření pravidla Všechna zařízení

Pomocí pravidla členství můžete vytvořit skupinu obsahující všechna zařízení v organizaci. Když se zařízení v budoucnu přidají nebo odeberou z organizace, členství ve skupině se automaticky upraví.

Pravidlo Všechna zařízení se konstruuje pomocí jednoho výrazu pomocí operátoru -ne a hodnoty null:

device.objectId -ne null

Vlastnosti rozšíření a vlastní vlastnosti rozšíření

Atributy rozšíření a vlastní vlastnosti rozšíření jsou podporovány jako řetězcové vlastnosti v pravidlech pro dynamické členské skupiny. atributy rozšíření je možné synchronizovat z místní služby Windows Server Active Directory nebo aktualizovat pomocí Microsoft Graphu a použít formát ExtensionAttributeX, kde X se rovná 1 až 15. Vlastnosti rozšíření s více hodnotami nejsou podporovány v pravidlech pro dynamické skupiny členství.

Tady je příklad pravidla, které jako vlastnost používá atribut rozšíření:

(user.extensionAttribute15 -eq "Marketing")

Vlastní vlastnosti rozšíření je možné synchronizovat z místní služby Windows Server Active Directory, z připojené aplikace SaaS nebo vytvořit pomocí Microsoft Graphu a jsou ve formátu user.extension_[GUID]_[Attribute], kde:

• [GUID] je upravená verze jedinečného identifikátoru v Microsoft Entra ID pro aplikaci, která vytvořila atribut. Obsahuje pouze znaky 0–9 a A-Z.
• [Attribute] je název vlastnosti při jejím vytvoření.

Příkladem pravidla, které používá vlastní vlastnost rozšíření, je:

user.extension_c272a57b722d4eb29bfe327874ae79cb_OfficeNumber -eq "123"

Vlastní vlastnosti rozšíření se také nazývají vlastnosti rozšíření adresáře nebo vlastnosti rozšíření Microsoft Entra.

Název vlastní vlastnosti najdete v adresáři dotazováním vlastnosti uživatele pomocí Graph Exploreru a vyhledáním názvu vlastnosti. Také nyní můžete v tvůrci pravidel pro skupiny s dynamickým členstvím vybrat odkaz Získat vlastnosti vlastního rozšíření, zadat jedinečné ID aplikace a získat kompletní seznam vlastností vlastních rozšíření, které použijete při vytváření pravidla pro dynamické skupiny s členstvím. Tento seznam můžete také aktualizovat, abyste získali všechny nové vlastnosti vlastního rozšíření pro danou aplikaci. Atributy rozšíření a vlastní vlastnosti rozšíření musí pocházet z aplikací ve vašem prostředí tenant.

Další informace naleznete v tématu Použití atributů v dynamických skupinách členství v článku Microsoft Entra Connect Sync: Rozšíření adresáře.

Pravidla pro zařízení

Můžete také vytvořit pravidlo, které vybere objekty zařízení pro členství ve skupině. Uživatele i zařízení nemůžete mít jako členy skupiny.

Pro Windows 10 je správný formát atributu deviceOSVersion takový: (device.deviceOSVersion -startsWith "10.0.1"). Formátování je možné ověřit pomocí rutiny PowerShellu Get-MgDevice:

Get-MgDevice -Search "displayName:YourMachineNameHere" -ConsistencyLevel eventual | Select-Object -ExpandProperty 'OperatingSystemVersion'

Můžete použít následující atributy zařízení.

Další kroky

Tyto články obsahují další informace o skupinách v Microsoft Entra ID.

• Zobrazení existujících skupin
• Vytvoření nové skupiny a přidání členů
• Správa nastavení skupiny
• Správa členství ve skupině
• Správa pravidel pro dynamické skupiny členství pro uživatele