概要
ルールを使用して、Microsoft Entra ID のユーザーまたはデバイスのプロパティに基づいて動的メンバーシップ グループを決定できます。 この記事では、Azure portal で動的メンバーシップ グループのルールを設定する方法について説明します。
ユーザーまたはデバイスのプロパティに基づくグループ メンバーシップは、セキュリティ グループと Microsoft 365 グループでサポートされています。 動的メンバーシップ グループのルールが適用されるときに、ユーザーとデバイスの属性はメンバーシップ ルールとの一致について評価されます。 ユーザーまたはデバイスの属性が変更されると、組織内のすべての動的メンバーシップ グループのルールが、変更のために処理されます。 ユーザーとデバイスは、動的メンバーシップ グループの条件を満たす場合、追加または削除されます。 Microsoft Entra ID では、1 つのテナントに最大 15,000 個の動的メンバーシップ グループを含めることができます。
注
セキュリティ グループにはデバイスまたはユーザーを含めることができますが、Microsoft 365 グループにはユーザーのみを含めることができます。
動的メンバーシップ グループを使用するには、Microsoft Entra ID P1 ライセンスまたは Intune for Education ライセンスが必要です。 詳細については、「 Microsoft Entra ID での動的メンバーシップ グループのルールの管理」を参照してください。
注
動的メンバーシップ グループルールは、テナント内のすべてのユーザーとデバイス (非アクティブまたは使用されなくなったオブジェクトを含む) を評価します。 古いデバイスと古いユーザーは、グループ メンバーシップが拡張され、動的メンバーシップ グループの処理が遅くなる可能性があります。 ルールを作成する前に、 古いデバイス と 非アクティブなユーザー をクリーンアップして、管理するオブジェクトのみがグループに反映されるようにします。
Azure portal のルール ビルダー
Microsoft Entra ID には、重要なルールをすばやく作成したり更新したりできるルール ビルダーが用意されています。 ルール ビルダーでは、最大で 5 つの式の作成がサポートされます。
ルール ビルダーを使用すると、いくつかの単純な式を使用してルールを簡単に作成できます。 ただし、すべてのルールを再現するために使用することはできません。 ルール ビルダーが作成するルールをサポートしていない場合は、テキスト ボックスを使用できます。
テキスト ボックスを必要とする高度な規則または構文の例を次に示します。
- 5 つを超える式を持つルール
- 直属の部下に関する規則
- 演算子の優先順位の設定
-
複雑な式を含むルール。例えば
(user.proxyAddresses -any (_ -contains "contoso"))
注
ルール ビルダーは、テキスト ボックスで作成された一部のルールを表示できない場合があります。 ルール ビルダーでルールを表示できない場合に、メッセージが表示されることがあります。 ルール ビルダーは、動的メンバーシップ グループのルールのサポートされている構文、検証、または処理をどのような方法でも変更しません。
メンバーシップ ルールの構文とサポートされているプロパティ、演算子、値の例については、「 Microsoft Entra ID での動的メンバーシップ グループのルールの管理」を参照してください。
動的メンバーシップ グループのルールを作成する
グループ管理者以上の権限で Microsoft Entra 管理センターにサインインします。
Microsoft Entra ID>Groups を選択します。
[ すべてのグループ] を選択し、[ 新しいグループ] を選択します。
[ グループ ] ウィンドウで、新しいグループの名前と説明を入力します。 ユーザーまたはデバイスの メンバーシップの種類 の値を選択し、[ 動的クエリの追加] を選択します。
ルール ビルダーで、最大 5 つの式を追加します。 5 つを超える式を追加するには、テキスト ボックスを使用する必要があります。
メンバーシップ クエリで使用できるカスタム拡張機能プロパティを表示するには:
- [ カスタム拡張機能のプロパティを取得する] を選択します。
- アプリケーション ID を入力し、 [プロパティの更新] を選択します。
ルールの作成が完了したら、[ 保存] を選択します。
[ 新しいグループ ] ページで、[ 作成 ] を選択してグループを作成します。
入力したルールが有効でない場合は、ルールを処理できなかった理由の説明がポータルに表示されます。 ルールを修正する方法を理解するには、こちらを注意深くお読みください。
既存のルールを更新する
グループ管理者以上の権限で Microsoft Entra 管理センターにサインインします。
[Microsoft Entra ID] を選びます。
[グループ]>[すべてのグループ] の順に選択します。
グループを選択して、そのプロファイルを開きます。
グループのプロファイル ページで、 [動的メンバーシップ ルール] を選択します。 ルール ビルダーでは、最大で 5 つの式がサポートされます。 5 つを超える式を追加するには、テキスト ボックスを使用する必要があります。
メンバーシップ ルールで使用できるカスタム拡張機能プロパティを表示するには:
- [ カスタム拡張機能のプロパティを取得する] を選択します。
- アプリケーション ID を入力し、 [プロパティの更新] を選択します。
ルールの更新が完了したら、[ 保存] を選択します。
ウェルカム メールのオンとオフを切り替える
管理者が新しい Microsoft 365 グループを作成すると、グループに追加されたユーザーはウェルカム メール通知を受け取ります。 後で、ユーザーまたはデバイスの属性 (セキュリティ グループのみ) が変更された場合、組織内の動的メンバーシップ グループのすべてのルールが変更のために処理されます。 追加されたユーザーは、ウェルカム通知も受け取ります。
Exchange PowerShell でこの動作を有効または無効にすることができます。
ルールの処理状態を確認する
動的メンバーシップ グループの概要ページで、ルール処理の状態と最後のメンバーシップ変更の日付を確認できます。
動的ルール処理ステータスには、次のステータス メッセージが表示されます。
- 評価中: グループの変更が受信され、更新プログラムが評価されています。
- 処理: 更新プログラムが処理されています。
- 更新完了: 処理が完了し、適用可能なすべての更新が行われました。
- 処理エラー: メンバーシップ ルールの評価中にエラーが発生したため、処理を完了できませんでした。
-
更新が一時停止されました:管理者は、動的メンバーシップ グループを更新するルールを一時停止しました。
MembershipRuleProcessingStateはPausedに設定されます。 - 未開始: 処理が開始されていません。
注
このページには、 一時停止処理 オプションが含まれます。 以前は、このオプションは、 membershipRuleProcessingState プロパティの変更によってのみ使用されていました。 少なくとも グループ管理者 ロールを持つユーザーは、この設定を管理でき、動的メンバーシップ グループの処理を一時停止および再開できます。 正しいロールを持たないグループ所有者には、この設定を編集するために必要な権限がありません。
[最後のメンバーシップの変更] には、次のステータス メッセージが表示されます。
- <日付と時刻>: メンバーシップはこの日時に最後に更新されました。
- 進行中: 更新は現在進行中です。
- 不明:最終更新時刻を取得することができません。 新しいグループである可能性があります。
重要
動的メンバーシップ グループの処理を一時停止および一時停止解除すると、 最後のメンバーシップ変更 日にプレースホルダー値が表示されます。 この値は、処理が完了した後に更新されます。
特定のグループのメンバーシップ ルールの処理中にエラーが発生した場合は、グループの概要ページの上部にアラートが表示されます。 組織内のすべてのグループに対して 24 時間以上、動的メンバーシップ グループの保留中の更新を処理できない場合は、 アラートが [すべてのグループ] の上に表示されます。
