動的なメンバーシップ グループの規則を使用して、管理単位のユーザーまたはデバイスを管理する

1. Microsoft Entra 管理センターに、少なくとも特権ロール管理者としてサインインします。

2. ユーザーまたはデバイスを追加する管理単位を選択します。

3. [プロパティ] を選択します。

4. [ メンバーシップの種類 ] ボックスの一覧で、追加するルールの種類に応じて、[ 動的ユーザー ] または [ 動的デバイス] を選択します。

   

5. [ 動的クエリの追加] を選択します。

6. ルール ビルダーを使用して、動的メンバーシップ グループの規則を指定します。 詳細については、 Azure portal のルール ビルダーを参照してください。

   

7. 完了したら、[ 保存] を選択して、動的メンバーシップ グループのルールを保存します。

8. [ プロパティ ] ページで、[ 保存 ] を選択してメンバーシップの種類とクエリを保存します。

   次のメッセージが表示されます。

   管理単位の種類を変更した後、指定した動的メンバーシップ グループの規則に基づいて既存のメンバーシップが変更される可能性があります。

9. [ はい ] を選択して続行します。

ルールを編集する手順については、 次の「動的メンバーシップ グループのルールを編集する」 セクションを参照してください。

1. 動的メンバーシップ グループのルールを作成します。 詳細については、「 Microsoft Entra ID での動的メンバーシップ グループのルールの管理」を参照してください。

2. Connect-MgGraph コマンドを使用して、特権ロール管理者ロールが割り当てられているユーザーと Microsoft Entra ID で接続します。

   Connect-MgGraph -Scopes "AdministrativeUnit.ReadWrite.All"
   

3. New-MgDirectoryAdministrativeUnit コマンドを使用して、次のパラメーターを使用して、動的メンバーシップ グループのルールを含む新しい管理単位を作成します。

   • MembershipType : Dynamic または Assigned
   • MembershipRule前の手順で作成した動的メンバーシップの規則
   • MembershipRuleProcessingState : On または Paused

   # Create an administrative unit for users in the United States
   $params = @{
      displayName = "Example Admin Unit"
      description = "Example Dynamic Membership Admin Unit"
      membershipType = "Dynamic"
      membershipRule = "(user.country -eq 'United States')"
      membershipRuleProcessingState = "On"
   }
   
   New-MgDirectoryAdministrativeUnit -BodyParameter $params
   

1. 動的メンバーシップ グループのルールを作成します。 詳細については、「 Microsoft Entra ID のグループの動的メンバーシップルール」を参照してください。

2. Create administrativeUnit API を使用して、動的メンバーシップ グループのルールを含む新しい管理単位を作成します。

   次に、Windows デバイスに適用する動的メンバーシップ グループの規則の例を示します。

   要求

   POST https://graph.microsoft.com/v1.0/directory/administrativeUnits
   

   本文

   {
     "displayName": "Windows Devices",
     "description": "All Contoso devices running Windows",
     "membershipType": "Dynamic",
     "membershipRule": "(deviceOSType -eq 'Windows')",
     "membershipRuleProcessingState": "On"
   }
   

1. Microsoft Entra 管理センターに、少なくとも特権ロール管理者としてサインインします。

2. [Entra ID]>[ロールと管理者]>[管理単位] に移動します。

3. 編集する動的メンバーシップ グループのルールが設定された管理単位を選択します。

4. ルール ビルダーを使用して動的メンバーシップ グループのルールを編集するには、[メンバーシップ ルール] を選択します。

   

   左側のナビゲーションで [動的メンバーシップ ルール] を選択して、ルール ビルダーを開くこともできます。

5. 完了したら、[ 保存] を選択して、動的メンバーシップ グループルールの変更を保存します。

Update-MgDirectoryAdministrativeUnit コマンドを使用して、動的メンバーシップ グループルールを編集します。

# Set a new rules for dynamic membership groups for an administrative unit
$adminUnit = Get-MgDirectoryAdministrativeUnit -Filter "displayName eq 'Example Admin Unit'"
$params = @{
   membershipRule = "(user.country -eq 'Germany')"
}

Update-MgDirectoryAdministrativeUnit -AdministrativeUnitId $adminUnit.Id -BodyParameter $params

Update administrativeUnit API を使用して、動的メンバーシップ グループのルールを編集します。

要求

PATCH https://graph.microsoft.com/v1.0/directory/administrativeUnits/{id}

本文

{
  "membershipRule": "(user.country -eq "Germany")"
}

1. Microsoft Entra 管理センターに、少なくとも特権ロール管理者としてサインインします。

2. [Entra ID]>[ロールと管理者]>[管理単位] に移動します。

3. 割り当てるために変更する管理単位を選択します。

4. [プロパティ] を選択します。

5. [ メンバーシップの種類 ] ボックスの一覧 で、[割り当て済み] を選択します。

   

6. [ 保存] を 選択してメンバーシップの種類を保存します。

   次のメッセージが表示されます。

   管理単位の種類を変更した後は、動的な規則は処理されなくなります。 現在の管理単位メンバーは管理単位に残り、その管理単位にメンバーシップが割り当てられます。

7. [ はい ] を選択して続行します。

   メンバーシップの種類の設定を [動的] から [割り当て済み] に変更しても、現在のメンバーは管理単位内にそのまま維持されます。 さらに、管理単位にグループを追加する機能が有効になっています。

Update-MgDirectoryAdministrativeUnit コマンドを使用して、動的メンバーシップ グループのルールを編集します。

# Change an administrative unit to assigned
$adminUnit = Get-MgDirectoryAdministrativeUnit -Filter "displayName eq 'Example Admin Unit'"
$params = @{
   membershipRuleProcessingState = "Paused"
   membershipType = "Assigned"
}

Update-MgDirectoryAdministrativeUnit -AdministrativeUnitId $adminUnit.Id -BodyParameter $params

Update administrativeUnit API を使用して、メンバーシップの種類の設定を変更します。

要求

PATCH https://graph.microsoft.com/v1.0/directory/administrativeUnits/{id}

本文

{
  "membershipType": "Assigned"
}