Microsoft Entra ID で動的メンバーシップ グループの規則を管理する

Microsoft Entra の一部である Microsoft Entra ID では、ユーザーまたはデバイスの属性ベースの規則を作成し、動的メンバーシップ グループのメンバーシップを有効にすることができます。 メンバー属性に基づいたメンバーシップ規則を使用して、動的メンバーシップ グループを自動的に追加または削除することができます。 Microsoft Entra では、1 つのテナントに最大 15,000 個の動的メンバーシップ グループを含めることができます。

この記事では、ユーザーまたはデバイスに基づいて動的メンバーシップ グループの規則を作成するためのプロパティと構文について説明します。

ユーザーまたはデバイスの属性が変更されると、システムはディレクトリ内のすべての動的メンバーシップ グループの規則を評価し、この変更によってグループの追加または削除がトリガーされるかどうかを確認します。 ユーザーまたはデバイスがグループのルールを満たしている場合、それらはそのグループのメンバーとして追加されます。 ルールに適合しなくなった場合は、削除されます。 動的メンバーシップ グループのメンバーを手動で追加または削除することはできません。

• ユーザーまたはデバイスの動的メンバーシップ グループは作成できますが、ユーザーとデバイスの両方を含む規則は作成できません。
• デバイス所有者のユーザー属性に基づいてデバイス メンバーシップ グループを作成することはできません。 デバイス メンバーシップ ルールでは、デバイスの属性のみを参照できます。

Azure portal のルール ビルダー

Microsoft Entra ID には、重要なルールをすばやく作成したり更新したりできるルール ビルダーが用意されています。 ルール ビルダーでは、最大で 5 つの式の作成がサポートされます。 ルール ビルダーを使用すると、いくつかの単純な式を使ってルールを簡単に作成できますが、すべてのルールの再現に使用することはできません。 作成したいルールがルール ビルダーでサポートされていない場合は、テキスト ボックスを使用できます。

テキスト ボックスの使用を必要とする高度なルールまたは構文の例を次に示します。

• 5 つを超える式を持つルール
• 直接の部下のルール
• -contains 演算子または -notContains 演算子を使用したルール
• 演算子の優先順位の設定
• 複雑な式を持つルール (例: (user.proxyAddresses -any (_ -startsWith "contoso")))

詳細な手順については、「動的メンバーシップ グループの作成または更新」をご覧ください。

単一式のルール構文

単一式は、メンバーシップ ルールの最もシンプルな形式であり、前述の 3 つの部分でのみ構成されます。 単一式のルールはこの Property Operator Value の例のようになります。プロパティの構文は object.property の名前です。

次は、単一式で正しく構成されたメンバーシップ ルールの例です。

user.department -eq "Sales"

単一式の場合、かっこは省略可能です。 メンバーシップ ルール本文の合計文字数が 3,072 文字を超えないようにしてください。

メンバーシップ ルールの本文の作成

グループにユーザーまたはデバイスを自動的に入力するメンバーシップ ルールは、true または false に帰結するバイナリ式です。 シンプルなルールの要素は次の 3 つです。

• プロパティ
• 演算子
• 値

構文エラーを避けるためには、式内の部分の順序が重要です。

サポートされるプロパティ

メンバーシップ ルールを作成するとき、3 種類のプロパティを使用できます。

• Boolean
• DateTime
• 文字列
• 文字列コレクション

次は、単一式の作成に使用できるユーザー プロパティです。

ブール型のプロパティ

dateTime 型のプロパティ

文字列型のプロパティ

文字列コレクション型のプロパティ

デバイス ルールに使用されるプロパティについては、「デバイスのルール」を参照してください。

サポートされている式の演算子

次の表は、サポートされているすべての演算子とその単一式用の構文をまとめたものです。 演算子は、ハイフン (-) のプレフィックスがあってもなくても使用できます。 Contains 演算子では部分文字列一致が行われますが、コレクション内の項目一致ではありません。

-in および -notIn 演算子の使用

ユーザー属性の値を複数の値に対して比較する場合は、-in または -notIn 演算子を使用できます。 値の一覧の始まりと終わりを示す目的で "[" と "]" の角かっこ記号を使用します。

次の例の式は、user.department の値が一覧内のいずれかの値に等しい場合に true に評価されます。

   user.department -in ["50001","50002","50003","50005","50006","50007","50008","50016","50020","50024","50038","50039","51100"]

-le 演算子と -ge 演算子の使用

動的メンバーシップ ルールの規則で employeeHireDate 属性を使用する場合、Less Than 演算子 (-le)、または Greater Than 演算子 (-ge) を使用できます。
例 :

user.employeehiredate -ge system.now -plus p1d 

user.employeehiredate -le 2020-06-10T18:13:20Z 

-match 演算子の使用

-match 演算子は、正規表現の照合に使用されます。 例 :

user.displayName -match "^Da.*"   

Da、 Dav、 David は true と評価され、aDa は false と評価されます。

user.displayName -match ".*vid"

David は true と評価され、 Da は false と評価されます。

サポート状況の値

式内で使用される値は、次に挙げるいくつかの型で構成できます。

• 文字列
• ブール値 – true、false
• 数値
• 配列 – 数値配列、文字列配列

式内で値を指定するとき、エラーを回避するために、正しい構文を使用することが重要です。 構文のヒント:

• 値が文字列でなければ、二重引用符は任意です。
• 正規表現と文字列の操作では、大文字と小文字は区別されません。
• プロパティ名は大文字と小文字が区別されるため、表示されているとおりに正しい形式であることを確認します。
• 文字列値に二重引用符が含まれているとき、両方の引用符を ` 文字でエスケープしてください。たとえば、"Sales" が値のとき、user.department -eq `"Sales`" が正しい構文です。 単一引用符をエスケープするには、毎回 1 つではなく 2 つの単一引用符を使用する必要があります。
• null を値として使用し、Null チェックを実行することもできます。たとえば、user.department -eq null のようになります。

Null 値の使用

ルールで null 値を指定するには、null 値を使用します。

• 式で null 値を比較するとき、-eq または -ne を使用します。
• リテラル文字列値として解釈する場合にのみ、null という語を引用符で囲みます。
• -not 演算子は、null の比較演算子として使用できません。 使うと、null または $null のどちらを使ってもエラーになります。

null 値を参照する正しい方法は次のとおりです。

   user.mail –ne null

複数の式を持つルール

動的メンバーシップ グループの規則は、複数の単項式を論理演算子 (-and、-or、-not) で結合して構成できます。 論理演算子は組み合わせて使用することもできます。

複数の式で正しく構築されたメンバーシップ ルールの例を次に示します。

(user.department -eq "Sales") -or (user.department -eq "Marketing")
(user.department -eq "Sales") -and -not (user.jobTitle -startsWith "SDE")

演算子の優先順位

演算子はすべて、優先順位の一番高いものから一番低いものの順で下に一覧表示されます。 同じ行にある演算子の優先順位は同じです。

-eq -ne -startsWith -notStartsWith -contains -notContains -match –notMatch -in -notIn
-not
-and
-or
-any -all

次の例は、演算子の優先順位を示しています。この例では、ユーザーに対して 2 つの式が評価されます。

   user.department –eq "Marketing" –and user.country –eq "US"

優先順位が要件を満たさない場合にのみ、かっこを追加する必要があります。 たとえば、部門を最初に評価する場合、次のようにかっこを使用して順序を決定します。

   user.country –eq "US" –and (user.department –eq "Marketing" –or user.department –eq "Sales")

複雑な式を持つルール

メンバーシップ ルールは、プロパティ、演算子、値がより複雑な形式をとる複雑な式で構成できます。 次のいずれかが当てはまるとき、式が複雑であると見なされます。

• プロパティが値の集まりで、具体的には複数値プロパティで構成される
• 式で -any 演算子と -all 演算子が使用される
• 式の値自体が 1 つまたは複数の式になる

複数値プロパティ

複数値プロパティは、同じ型のオブジェクトのコレクションです。 論理演算子の -any と -all でメンバーシップ ルールを作成するときに使用できます。

-any 演算子と -all 演算子を使用する

コレクション内の 1 つの項目またはすべての項目に条件を適用するには、それぞれ -any および -all 演算子を使用できます。

• -any (コレクション内の少なくとも 1 つの項目が条件に一致するときに満たされる)
• -all (コレクション内のすべての項目が条件に一致するときに満たされる)

例 1

assignedPlans は、ユーザーに割り当てられたすべてのサービス プランをリストする複数値プロパティです。 次の式では、同様に [有効] 状態にある Exchange Online (プラン 2) サービス プランを (GUID 値として) 持っているユーザーが選択されます。

user.assignedPlans -any (assignedPlan.servicePlanId -eq "efb87545-963c-4e0d-99df-69c6916d9eb0" -and assignedPlan.capabilityStatus -eq "Enabled")

このようなルールを使用し、Microsoft 365 またはその他の Microsoft Online Service 機能が有効になっているすべてのユーザーをグループ化できます。 次に、一連のポリシーをグループに適用できます。

例 2

次の式は、Intune サービス (サービス名 "SCO" によって識別されます) に関連付けられた何らかのサービス プランを持っているすべてのユーザーを選択します。

user.assignedPlans -any (assignedPlan.service -eq "SCO" -and assignedPlan.capabilityStatus -eq "Enabled")

例 3

次の式では、サービス プランが割り当てられていないすべてのユーザーを選択します:

user.assignedPlans -all (assignedPlan.servicePlanId -eq null)

アンダースコア (_) 構文を使用する

アンダースコア (_) の構文と、いずれかの複数値の文字列コレクション型プロパティで特定の値の出現回数を一致させて、ユーザーまたはデバイスを動的メンバーシップ グループに追加します。 -any 演算子または -all 演算子と共に使用します。

ルール内でアンダースコア (_) を使用して、user.proxyAddress (user.otherMails の場合と同様に機能します) に基づいてメンバーを追加する例を以下に示します。 このルールにより、「contoso」で始まるプロキシ アドレスを持つユーザーがグループに追加されます。

(user.proxyAddresses -any (_ -startsWith "contoso"))

その他のプロパティと一般的なルール

"直属の部下" ルールを作成する

マネージャーのすべての直接の部下が含まれたグループを作成できます。 将来、マネージャーの直属の部下が変更されたとき、グループのメンバーシップが自動的に調整されます。

直属の部下ルールは次の構文で構成されます。

Direct Reports for "{objectID_of_manager}"

有効なルールの例を以下に示します。ここで、"aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb" はマネージャーの objectID です。

Direct Reports for "aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb"

次のヒントはルールを正しく使用するために役立ちます。

• マネージャー ID はマネージャーのオブジェクト ID です。 マネージャーのプロファイルにあります。
• ルールを機能させるには、組織のユーザーに対して [マネージャー ID] プロパティを正しく設定します。 現在の値はユーザーのプロファイルで確認できます。
• このルールでは、マネージャーの直属の部下のみがサポートされます。 つまり、マネージャーの直属の部下とさらにその部下でグループを作成することはできません。
• このルールは、他のメンバーシップ ルールと組み合わせることができません。

"すべてのユーザー" ルールを作成する

メンバーシップ ルールを使用し、組織内のすべてのユーザーを含むグループを作成できます。 将来、ユーザーが組織に追加されたり、組織から削除されたりしたとき、メンバーシップは自動的に調整されます。

"すべてのユーザー" ルールは、-ne 演算子と null 値を利用した単一式で構成されます。 このルールでは、B2B ゲスト ユーザーとメンバー ユーザーがグループに追加されます。

user.objectId -ne null

グループでゲスト ユーザーを除外し、ご自身の組織のメンバーのみを含めるようにする場合は、次の構文を使用できます。

(user.objectId -ne null) -and (user.userType -eq "Member")

"すべてのデバイス" ルールを作成する

メンバーシップ ルールを使用し、組織内のすべてのデバイスを含むグループを作成できます。 今後、デバイスが組織に追加されたり、組織から削除されたりしたとき、メンバーシップは自動的に調整されます。

"すべてのデバイス" ルールは、-ne 演算子と null 値を利用した単一式で構成されます。

device.objectId -ne null

拡張機能プロパティとカスタム拡張機能プロパティ

拡張機能属性とカスタム拡張機能プロパティは、動的メンバーシップ グループの規則で文字列プロパティとしてサポートされています。 拡張属性はオンプレミスの Window Server Active Directory から同期するか、または Microsoft Graph を使用して更新でき、"ExtensionAttributeX" という形式をとることができます (X は 1 ～ 15)。 複数値の拡張機能プロパティは、動的メンバーシップ グループの規則ではサポートされていません。

プロパティとして拡張機能属性を使用するルールの例を示します。

(user.extensionAttribute15 -eq "Marketing")

カスタム拡張機能プロパティはオンプレミス Windows Server Active Directory または接続されている SaaS アプリケーションから同期するか、Microsoft Graph を使用して作成でき、形式は user.extension_[GUID]_[Attribute] にすることができます。

• [GUID] は、プロパティを作成したアプリケーションの Microsoft Entra ID における一意の識別子のハイフンが削除されたバージョンです。 ここには、0 から 9 と A から Z の文字のみが含まれます
• [Attribute] は作成されたプロパティの名前です

カスタム拡張機能プロパティを使用するルールの例を次に示します。

user.extension_c272a57b722d4eb29bfe327874ae79cb_OfficeNumber -eq "123"

カスタム拡張機能プロパティは、ディレクトリまたは Microsoft Entra 拡張機能プロパティとも呼ばれます。

カスタム プロパティ名は、Graph Explorer を使用してユーザーのプロパティを問い合わせ、プロパティ名を探すことで見つけられます。 また、動的メンバーシップ グループのルール ビルダーにある [カスタム拡張機能のプロパティを取得します] リンクを選択し、一意のアプリ ID を入力すると、動的メンバーシップ グループの規則の作成時に使用するカスタム拡張機能プロパティの完全な一覧が表示されるようになりました。 この一覧を最新の情報に更新して、そのアプリの新しいカスタム拡張機能プロパティを取得することもできます。 拡張属性とカスタム拡張プロパティは、テナント内のアプリケーションからのものである必要があります。

詳しくは、「Microsoft Entra Connect Sync: ディレクトリ拡張機能」の記事にある「動的メンバーシップ グループで属性を使用する」を参照してください。

デバイスのルール

グループのメンバーシップのデバイス オブジェクトを選択するルールを作成することもできます。 グループ メンバーとしてユーザーとデバイスの両方を含めることはできません。

Windows 10 の場合、deviceOSVersion 属性の正しい形式は次のとおりです: (device.deviceOSVersion -startsWith "10.0.1")。 書式設定は、Get-MgDevice PowerShell コマンドレットを使用して検証できます。

Get-MgDevice -Search "displayName:YourMachineNameHere" -ConsistencyLevel eventual | Select-Object -ExpandProperty 'OperatingSystemVersion'

次のデバイス属性を使用できます。

次のステップ

これらの記事では、Microsoft Entra ID でのグループに関する追加情報が提供されています。

• 既存のグループの表示
• 新しいグループの作成とメンバーの追加
• グループの設定の管理
• グループのメンバーシップの管理
• ユーザーの動的メンバーシップ グループのルールを管理する