Správa pravidel pro dynamické skupiny členství v Microsoft Entra ID

Můžete vytvořit pravidla založená na atributech uživatele nebo zařízení, která umožní členství pro dynamické skupiny členství v Microsoft Entra ID, součást Microsoft Entra. Dynamické skupiny členství můžete přidávat a odebírat automaticky pomocí pravidel členství na základě atributů členů. V Microsoft Entra může mít jeden tenant maximálně 15 000 dynamických skupin členství.

Tento článek podrobně popisuje vlastnosti a syntaxi pro vytváření pravidel pro dynamické skupiny členství na základě uživatelů nebo zařízení.

Když se atributy uživatele nebo zařízení změní, systém vyhodnotí všechna pravidla pro dynamické skupiny členství v adresáři a zjistí, jestli by změna aktivovala přidání nebo odebrání jakékoli skupiny. Pokud uživatel nebo zařízení splňuje pravidlo pro skupinu, přidá se jako člen této skupiny. Pokud už pravidlo nevyhovuje, odeberou se. Člena dynamické skupiny členství nemůžete přidat ani odebrat ručně.

• Můžete vytvořit dynamické skupiny členství pro uživatele nebo zařízení, ale nemůžete vytvořit pravidlo, které obsahuje uživatele i zařízení.
• Nemůžete vytvořit skupinu členství zařízení na základě atributů uživatele vlastníka zařízení. Pravidla členství zařízení můžou odkazovat pouze na atributy zařízení.

Tvůrce pravidel na webu Azure Portal

Microsoft Entra ID poskytuje tvůrci pravidel pro vytváření a aktualizaci důležitých pravidel rychleji. Tvůrce pravidel podporuje vytváření až pěti výrazů. Tvůrce pravidel usnadňuje vytvoření pravidla s několika jednoduchými výrazy, ale nedá se použít k reprodukci každého pravidla. Pokud tvůrce pravidel nepodporuje pravidlo, které chcete vytvořit, můžete použít textové pole.

Tady je několik příkladů pokročilých pravidel nebo syntaxe, které vyžadují použití textového pole:

• Pravidlo s více než pěti výrazy
• Pravidlo přímých sestav
• Pravidla s operátorem -contains nebo -notContains
• Priorita operátoru nastavení
• Pravidla se složitými výrazy, například (user.proxyAddresses -any (_ -startsWith "contoso"))

Další podrobné pokyny najdete v tématu Vytvoření nebo aktualizace dynamické skupiny členství.

Syntaxe pravidla pro jeden výraz

Jediný výraz je nejjednodušší formou pravidla členství a má pouze tři části uvedené výše. Pravidlo s jedním výrazem vypadá podobně jako v tomto příkladu: Property Operator Value, kde syntaxe vlastnosti je název object.property.

Následující příklad znázorňuje správně vytvořené pravidlo členství s jedním výrazem:

user.department -eq "Sales"

Závorky jsou volitelné pro jeden výraz. Celková délka textu pravidla členství nesmí překročit 3072 znaků.

Vytvoření těla pravidla členství

Pravidlo členství, které automaticky naplní skupinu uživateli nebo zařízeními, je binární výraz, který má za následek pravdivý nebo nepravdivý výsledek. Tři části jednoduchého pravidla jsou:

• Vlastnost
• Operátor
• Hodnota

Pořadí částí ve výrazu je důležité, aby nedocházelo k chybám syntaxe.

Podporované vlastnosti

Existují tři typy vlastností, které lze použít k vytvoření pravidla členství.

• Booleovský
• DateTime
• Řetězec
• Kolekce řetězců

Následují vlastnosti uživatele, které můžete použít k vytvoření jednoho výrazu.

Vlastnosti typu boolean

Vlastnosti typu dateTime

Vlastnosti řetězce typu

Vlastnosti kolekce řetězců typu

Vlastnosti používané pro pravidla zařízení najdete v tématu Pravidla pro zařízení.

Podporované operátory výrazů

Následující tabulka uvádí všechny podporované operátory a jejich syntaxi pro jeden výraz. Operátory lze použít s předponou spojovníku (-). Operátor Contains odpovídá částečnému řetězci, ale ne k položce v kolekci.

Použití operátorů -in a -notIn

Pokud chcete porovnat hodnotu atributu uživatele s více hodnotami, můžete použít operátory -in nebo -notIn. K zahájení a ukončení seznamu hodnot použijte symboly závorek "[" a "]".

V následujícím příkladu se výraz vyhodnotí jako true, pokud se hodnota user.department rovná některé z hodnot v seznamu:

   user.department -in ["50001","50002","50003","50005","50006","50007","50008","50016","50020","50024","50038","50039","51100"]

Použití operátorů -le a -ge

Při použití atributu employeeHireDate v pravidlech pro dynamické skupiny členství můžete použít operátory menší než (-le) nebo větší než (-ge).
Příklady:

user.employeehiredate -ge system.now -plus p1d 

user.employeehiredate -le 2020-06-10T18:13:20Z 

Použití operátoru -match

Operátor -match se používá pro porovnávání libovolného regulárního výrazu. Příklady:

user.displayName -match "^Da.*"   

Da, Dav, David vyhodnotit na true, aDa vyhodnotí na false.

user.displayName -match ".*vid"

David vyhodnotí hodnotu true, Da vyhodnotí se jako nepravda.

Podporované hodnoty

Hodnoty použité ve výrazu se můžou skládat z několika typů, mezi které patří:

• Řetězce
• Logická hodnota – true, false
• Čísla
• Matice – číselná matice, pole řetězců

Při zadávání hodnoty ve výrazu je důležité použít správnou syntaxi, abyste se vyhnuli chybám. Tady je několik tipů pro syntaxi:

• Dvojité uvozovky jsou volitelné, pokud se nejedná o řetězec.
• Operace regulárních výrazů a řetězců nerozlišují velká a malá písmena.
• Ujistěte se, že jsou názvy vlastností správně formátované, jak je znázorněno, protože rozlišují malá a velká písmena.
• Pokud řetězcová hodnota obsahuje dvojité uvozovky, obě uvozovky by měly být uvozovány pomocí znaku ', například user.department -eq '"Sales", je správná syntaxe, pokud je hodnota "Sales". Jednoduché uvozovky by měly být uvozené pomocí dvou jednoduchých uvozovek, nikoli jednou.
• Můžete také provést kontroly null pomocí null jako hodnoty, user.department -eq nullnapříklad .

Použití hodnot Null

Chcete-li zadat hodnotu null v pravidle, můžete použít hodnotu null .

• Při porovnávání hodnoty null ve výrazu použijte parametr -eq nebo -ne.
• Uvozovky kolem slova null použijte pouze v případě, že chcete, aby byla interpretována jako hodnota literálového řetězce.
• Operátor -not nelze použít jako srovnávací operátor s hodnotou null. Pokud ji použijete, zobrazí se chyba, jestli používáte hodnotu null nebo $null.

Správný způsob, jak odkazovat na hodnotu null, je následující:

   user.mail –ne null

Pravidla s více výrazy

Správa pravidel pro dynamické skupiny členství se může skládat z více než jednoho výrazu propojeného logickými operátory -, -nebo a -ne logickými operátory. Logické operátory lze použít také v kombinaci.

Tady jsou příklady správně vytvořených pravidel členství s více výrazy:

(user.department -eq "Sales") -or (user.department -eq "Marketing")
(user.department -eq "Sales") -and -not (user.jobTitle -startsWith "SDE")

Priorita operátoru

Všechny operátory jsou uvedené níže v pořadí podle priority od nejvyššího po nejnižší. Operátory na stejném řádku mají stejnou prioritu:

-eq -ne -startsWith -notStartsWith -contains -notContains -match –notMatch -in -notIn
-not
-and
-or
-any -all

Následující příklad znázorňuje prioritu operátoru, kde se pro uživatele vyhodnocují dva výrazy:

   user.department –eq "Marketing" –and user.country –eq "US"

Závorky jsou potřeba jenom v případě, že priorita nesplňuje vaše požadavky. Pokud například chcete, aby bylo oddělení vyhodnoceno jako první, ukazuje následující příklad, jak lze použít závorky k určení pořadí:

   user.country –eq "US" –and (user.department –eq "Marketing" –or user.department –eq "Sales")

Pravidla s komplexními výrazy

Pravidlo členství se může skládat ze složitých výrazů, ve kterých vlastnosti, operátory a hodnoty přebírají složitější formuláře. Výrazy se považují za složité, pokud platí některá z následujících možností:

• Vlastnost se skládá z kolekce hodnot; konkrétně vlastnosti s více hodnotami
• Výrazy používají operátory -any a -all.
• Hodnota výrazu může být jeden nebo více výrazů.

Vlastnosti s více hodnotami

Vlastnosti s více hodnotami jsou kolekce objektů stejného typu. Dají se použít k vytvoření pravidel členství pomocí logických operátorů -any a -all.

Použití operátorů -any a -all

Pomocí operátoru -any a -all můžete použít podmínku pro jednu nebo všechny položky v kolekci.

• -any (splněno, když alespoň jedna položka v kolekci odpovídá podmínce)
• -all (splněno, když všechny položky v kolekci odpovídají podmínce)

Příklad 1

assignedPlans je vlastnost s více hodnotami, která obsahuje seznam všech plánů služeb přiřazených uživateli. Následující výraz vybere uživatele, kteří mají plán služby Exchange Online (Plán 2) (jako hodnotu GUID), který je také ve stavu Povoleno:

user.assignedPlans -any (assignedPlan.servicePlanId -eq "efb87545-963c-4e0d-99df-69c6916d9eb0" -and assignedPlan.capabilityStatus -eq "Enabled")

Pravidlo, jako je tento, se dá použít k seskupení všech uživatelů, pro které je povolená služba Microsoft 365 nebo jiná funkce online služby Microsoftu. Pak můžete použít sadu zásad pro skupinu.

Příklad 2

Následující výraz vybere všechny uživatele, kteří mají jakýkoli plán služby přidružený ke službě Intune (identifikovaný názvem služby SCO):

user.assignedPlans -any (assignedPlan.service -eq "SCO" -and assignedPlan.capabilityStatus -eq "Enabled")

Příklad 3

Následující výraz vybere všechny uživatele, kteří nemají přiřazený plán služby:

user.assignedPlans -all (assignedPlan.servicePlanId -eq null)

Použití syntaxe podtržítka (_)

Syntaxe podtržítka (_) odpovídá výskytům určité hodnoty v jedné z vlastností kolekce vícehodnotových řetězců pro přidání uživatelů nebo zařízení do dynamické skupiny členství. Používá se s operátory -any nebo -all.

Tady je příklad použití podtržítka (_) v pravidle k přidání členů na základě user.proxyAddress (funguje to stejně pro user.otherMails). Toto pravidlo přidá do skupiny všechny uživatele s adresou proxy, která začíná na "contoso".

(user.proxyAddresses -any (_ -startsWith "contoso"))

Další vlastnosti a běžná pravidla

Vytvoření pravidla "Přímé sestavy"

Můžete vytvořit skupinu obsahující všechny přímé sestavy vedoucího. Když se přímé sestavy vedoucího v budoucnu změní, členství ve skupině se upraví automaticky.

Pravidlo přímých sestav se konstruuje pomocí následující syntaxe:

Direct Reports for "{objectID_of_manager}"

Tady je příklad platného pravidla, kde "aaaaaaaaaa-1111-2222-bbbbbbbb" je ID objektu správce:

Direct Reports for "aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb"

Následující tipy vám můžou pomoct správně použít pravidlo.

• ID správce je ID objektu správce. Najdete ho v profilu manažera.
• Aby pravidlo fungovalo, ujistěte se, že je vlastnost Správce správně nastavená pro uživatele ve vaší organizaci. Aktuální hodnotu můžete zkontrolovat v profilu uživatele.
• Toto pravidlo podporuje pouze přímé sestavy vedoucího. Jinými slovy, nemůžete vytvořit skupinu s přímými sestavami vedoucího a jejich sestavami.
• Toto pravidlo nelze kombinovat s žádnými dalšími pravidly členství.

Vytvoření pravidla Všichni uživatelé

Pomocí pravidla členství můžete vytvořit skupinu obsahující všechny uživatele v organizaci. Když se uživatelé v budoucnu přidají nebo odeberou z organizace, členství ve skupině se upraví automaticky.

Pravidlo "Všichni uživatelé" je vytvořené pomocí jednoho výrazu pomocí operátoru -ne a hodnoty null. Toto pravidlo přidá uživatele typu host B2B a členské uživatele do skupiny.

user.objectId -ne null

Pokud chcete, aby vaše skupina vyloučila uživatele typu host a zahrnovala pouze členy vaší organizace, můžete použít následující syntaxi:

(user.objectId -ne null) -and (user.userType -eq "Member")

Vytvoření pravidla Všechna zařízení

Pomocí pravidla členství můžete vytvořit skupinu obsahující všechna zařízení v organizaci. Když se zařízení v budoucnu přidají nebo odeberou z organizace, členství ve skupině se automaticky upraví.

Pravidlo Všechna zařízení se konstruuje pomocí jednoho výrazu pomocí operátoru -ne a hodnoty null:

device.objectId -ne null

Vlastnosti rozšíření a vlastní vlastnosti rozšíření

Atributy rozšíření a vlastní vlastnosti rozšíření jsou podporovány jako vlastnosti řetězce v pravidlech pro dynamické skupiny členství. Atributy rozšíření je možné synchronizovat z místní služby Windows Server Active Directory nebo aktualizovat pomocí Microsoft Graphu a použít formát ExtensionAttributeX, kde X se rovná 1 až 15. Vlastnosti rozšíření s více hodnotami nejsou podporovány v pravidlech pro dynamické skupiny členství.

Tady je příklad pravidla, které jako vlastnost používá atribut rozšíření:

(user.extensionAttribute15 -eq "Marketing")

Vlastní vlastnosti rozšíření je možné synchronizovat z místní služby Windows Server Active Directory, z připojené aplikace SaaS nebo vytvořit pomocí Microsoft Graphu a jsou ve formátu user.extension_[GUID]_[Attribute], kde:

• [GUID] je stripped verze jedinečného identifikátoru v Microsoft Entra ID pro aplikaci, která vytvořila vlastnost. Obsahuje pouze znaky 0–9 a A-Z.
• [Attribute] je název vlastnosti při jejím vytvoření.

Příkladem pravidla, které používá vlastní vlastnost rozšíření, je:

user.extension_c272a57b722d4eb29bfe327874ae79cb_OfficeNumber -eq "123"

Vlastní vlastnosti rozšíření se také nazývají vlastnosti rozšíření adresáře nebo rozšíření Microsoft Entra.

Název vlastní vlastnosti najdete v adresáři dotazováním vlastnosti uživatele pomocí Graph Exploreru a vyhledáním názvu vlastnosti. V tvůrci pravidel dynamických skupin členství teď můžete také vybrat odkaz Získat vlastní vlastnosti rozšíření, abyste zadali jedinečné ID aplikace a získali úplný seznam vlastností vlastních rozšíření, které se mají použít při vytváření pravidla pro dynamické skupiny členství. Tento seznam můžete také aktualizovat, abyste získali všechny nové vlastnosti vlastního rozšíření pro danou aplikaci. Atributy rozšíření a vlastní vlastnosti rozšíření musí být z aplikací ve vašem tenantovi.

Další informace naleznete v tématu Použití atributů v dynamických skupinách členství v článku Microsoft Entra Connect Sync: Rozšíření adresáře.

Pravidla pro zařízení

Můžete také vytvořit pravidlo, které vybere objekty zařízení pro členství ve skupině. Uživatele i zařízení nemůžete mít jako členy skupiny.

Pro Windows 10 je správný formát atributu deviceOSVersion následující: (device.deviceOSVersion -startsWith "10.0.1"). Formátování je možné ověřit pomocí rutiny PowerShellu Get-MgDevice:

Get-MgDevice -Search "displayName:YourMachineNameHere" -ConsistencyLevel eventual | Select-Object -ExpandProperty 'OperatingSystemVersion'

Můžete použít následující atributy zařízení.

Další kroky

Tyto články obsahují další informace o skupinách v Microsoft Entra ID.

• Zobrazení existujících skupin
• Vytvoření nové skupiny a přidání členů
• Správa nastavení skupiny
• Správa členství ve skupině
• Správa pravidel pro dynamické skupiny členství pro uživatele