Adaptive Bereiche

Beschreibung des Microsoft Purview-Diensts

Wenn Sie eine Kommunikationscompliancerichtlinie, eine Aufbewahrungsrichtlinie oder eine Richtlinie für automatische Bezeichnungen erstellen, können Sie einen adaptiven Bereich für Ihre Richtlinie hinzufügen. Eine einzelne Richtlinie kann einen oder mehrere adaptive Bereiche aufweisen.

• Ein adaptiver Bereich verwendet eine Abfrage, die Sie angeben, sodass Sie die Mitgliedschaft von Benutzern oder Gruppen definieren können, die in dieser Abfrage enthalten sind. Diese dynamischen Abfragen werden täglich für die Attribute oder Eigenschaften ausgeführt, die Sie für den ausgewählten Bereich angeben. Sie können einen oder mehrere adaptive Bereiche mit einer einzelnen Richtlinie verwenden.
• Beispielsweise können Sie Benutzern je nach Abteilung unterschiedliche Richtlinieneinstellungen zuweisen, indem Sie vorhandene Microsoft Entra-Attribute verwenden, ohne den Verwaltungsaufwand für das Erstellen und Verwalten von Gruppen für diesen Zweck zu erhöhen.

Vorteile der Verwendung adaptiver Bereiche

Folgende Vorteile bietet die Verwendung adaptiver Bereiche:

• Keine Grenzwerte für die Anzahl der Elemente pro Richtlinie. Adaptive Richtlinien unterliegen zwar immer noch den Beschränkungen der maximalen Anzahl von Richtlinien pro Mandant, die flexiblere Konfiguration führt jedoch wahrscheinlich zu viel weniger Richtlinien.
• Leistungsfähigeres Zielgruppen-Targeting für Ihre Richtlinien. Beispielsweise können Sie Benutzern je nach geografischem Standort unterschiedliche Einstellungen zuweisen, ohne dass der Verwaltungsaufwand für das Erstellen und Verwalten von Gruppen groß wäre.
• Abfragebasierte Bereiche bieten Widerstandsfähigkeit gegenüber geschäftlichen Veränderungen, die sich möglicherweise nicht zuverlässig in der Gruppenmitgliedschaft oder externen Prozessen widerspiegeln, die auf abteilungsübergreifende Kommunikation angewiesen sind.
• Eine einzelne Richtlinie kann Standorte für Microsoft Teams und Viva Engage enthalten, während jeder Standort eine eigene Richtlinie erfordert, wenn Sie keinen adaptiven Bereich verwenden.
• Unterstützung für Microsoft Entra-Verwaltungseinheiten.

Weitere Vorteile der Verwendung adaptiver Bereiche, die für Richtlinien für die Aufbewahrung spezifisch sind, finden Sie unter Adaptive oder statische Richtlinienbereiche für die Aufbewahrung.

Informationen zur Konfiguration finden Sie unter Konfigurieren adaptiver Bereiche.

Funktionsweise adaptiver Bereiche mit Microsoft Entra-Verwaltungseinheiten

Während adaptive Bereiche in Microsoft Purview erstellt und konfiguriert werden, um die dynamische Ausrichtung von Richtlinien für die Compliance zu unterstützen, werden administrative Einheiten in Microsoft Entra ID erstellt und konfiguriert. Sie bieten die Möglichkeit, einer oder mehreren Verwaltungseinheiten Administratoren zuzuweisen, so dass diese jetzt eingeschränkten Administratoren nur die Benutzer in den ihnen zugewiesenen Verwaltungseinheiten verwalten können. Diese Konfiguration unterstützt die bewährte Sicherheitsmethode der geringsten Rechte. In der Regel sind Verwaltungseinheiten um bestimmte Geografien, Abteilungen oder Geschäftsbereiche herum konzipiert.

Diese Verwaltungsgrenze fließt in Microsoft Purview für unterstützte Lösungen ein, um sicherzustellen, dass eingeschränkte Administratoren nur die Benutzer verwalten können, deren Verwaltung ihnen zugewiesen wurde.

Um beispielsweise zu zeigen, wie Verwaltungseinheiten in adaptive Bereiche integriert werden, betrachten Sie einen Administrator mit eingeschränkter Compliance, der einen adaptiven Benutzerbereich nur für Benutzer in Frankreich erstellen möchte:

1. Einem Complianceadministrator sind zwei Verwaltungseinheiten zugewiesen: "Alle Benutzer in Europa " und "Alle Benutzer in Nordamerika". Wenn sie einen adaptiven Bereich erstellen, können sie nur diese Verwaltungseinheiten auswählen und zuweisen. Sie können keinen adaptiven Bereich erstellen, um Benutzer aus anderen Verwaltungseinheiten zu verwalten.
2. Sie erstellen einen neuen adaptiven Bereich für Benutzer und wählen die Verwaltungseinheit Alle Benutzer in Europa aus. Da der adaptive Bereich nur für Benutzer in Frankreich gelten soll, verwenden sie das Microsoft Entra ID-Attribut Land oder Region , um Frankreich anzugeben (CountryOrRegion = Frankreich). Wenn sie dieses Attribut falsch konfigurieren und einen gültigen Wert in Microsoft Entra ID angeben, z. B. Indien, die Benutzer mit diesem Wert jedoch nicht in der Verwaltungseinheit Alle Benutzer in Europa enthalten sind, enthält der Bereich keine Benutzer.
3. Wenn nur dieser adaptive Bereich für eine Richtlinie ausgewählt wird, die auf alle Benutzer ausgerichtet ist, wird die Richtlinie nur auf Benutzer in Frankreich angewendet.
4. Als wiederverwendbares Konfigurationselement kann derselbe adaptive Bereich für andere Konformitätsrichtlinien verwendet werden.

Wenn der Complianceadministrator beide Verwaltungseinheiten zu diesem adaptiven Bereich hinzufügt, ist das Endergebnis immer noch dasselbe, da Benutzer im Verwaltungsbereich Nordamerika Frankreich nicht als Land- oder Regionsattribut angegeben haben. Der Complianceadministrator weiß jedoch, dass er nur Benutzer in Frankreich ansprechen muss, sodass es effizienter ist, die Abfrage nur für die europäische Verwaltungseinheit auszuführen. Wenn sich die Anforderungen ändern, können Sie jederzeit Verwaltungseinheiten zu einem vorhandenen adaptiven Bereich hinzufügen oder daraus entfernen.

Maximalwerte für adaptive Richtlinienbereiche

Es gibt keine Begrenzung für die Anzahl der adaptiven Richtlinienbereiche, die Sie einer Richtlinie hinzufügen können, aber es gibt einige Maximalgrenzen für die Abfrage, die jeden adaptiven Bereich definiert:

• Zeichenfolgenlänge für Attribut- oder Eigenschaftswerte: 200
• Anzahl der Attribute oder Eigenschaften ohne Gruppe oder innerhalb einer Gruppe: 10
• Anzahl von Gruppen: 10
• Anzahl der Zeichen in einer erweiterten Abfrage: 10.000
• Das Gruppieren von Attributen oder Eigenschaften innerhalb einer Gruppe wird nicht unterstützt. Diese Einschränkung bedeutet, dass die maximale Anzahl von Eigenschaften oder Attributen, die in einem einzelnen adaptiven Bereich unterstützt werden, 100 beträgt.
• Für Richtlinien für die automatische Bezeichnung unterstützt ein adaptiver SharePoint-Bereich bis zu 50.000 Websites pro Richtlinie.

Konfigurieren adaptiver Bereiche

Wenn Sie sich für die Verwendung adaptiver Bereiche entscheiden, werden Sie aufgefordert, den gewünschten adaptiven Bereich auszuwählen. Es gibt drei verschiedene Arten von adaptiven Bereichen, und jeder unterstützt unterschiedliche Attribute oder Eigenschaften:

^* Datenarchiv-Websites (Legacyfeature) in SharePoint werden nicht unterstützt.

Die Eigenschaftennamen für Websites basieren auf verwalteten SharePoint-Websiteeigenschaften. Informationen zu den benutzerdefinierten Attributen finden Sie unter Verwenden von benutzerdefinierten SharePoint-Websiteeigenschaften zum Anwenden der Microsoft 365 Aufbewahrung mit adaptiven Richtlinienbereichen.

Die Attributnamen für Benutzer und Gruppen basieren auf filterbaren Empfängereigenschaften , die Microsoft Entra-Attributen zugeordnet sind. Zum Beispiel:

• Alias wird dem LDAP-Namen "mailNickname " zugeordnet, der im Microsoft Entra Admin Center als "E-Mail" angezeigt wird.
• E-Mail-Adressen werden dem LDAP-Namen proxyAddresses zugeordnet, der als Proxyadresse im Microsoft Entra Admin Center angezeigt wird.

Sie können die in der Tabelle aufgeführten Attribute und Eigenschaften einfach angeben, wenn Sie einen adaptiven Bereich mithilfe des einfachen Abfrage-Generators konfigurieren. Der erweiterte Abfrage-Generator unterstützt zusätzliche Attribute und Eigenschaften, wie im folgenden Abschnitt beschrieben.

Konfigurieren eines adaptiven Bereichs

Bevor Sie den adaptiven Bereich konfigurieren, verwenden Sie den vorherigen Abschnitt, um zu ermitteln, welche Art von Bereich erstellt werden soll und welche Attribute und Werte verwendet werden sollen. Möglicherweise müssen Sie mit anderen Administratoren zusammenarbeiten, um diese Informationen zu bestätigen.

Sie müssen Administratoren die richtigen Rollengruppen zuweisen, um einen adaptiven Bereich zu erstellen. Jede Rollengruppe mit der Rolle Bereichsmanager kann einen adaptiven Bereich erstellen. Die Rolle Scope Manager ist in den folgenden integrierten Rollengruppen enthalten:

• Complianceadministrator
• Compliancedatenadministrator
• Organisationsverwaltung
• Datensatzverwaltung
• Kommunikationscompliance
• Communication Compliance Admins

Für SharePoint-Websites ist möglicherweise eine zusätzliche SharePoint-Konfiguration erforderlich, wenn Sie benutzerdefinierte Websiteeigenschaften verwenden möchten.

Verwenden Sie die folgenden Anweisungen, um adaptive Bereiche zu erstellen und zu konfigurieren.

1. Anmelden beim Microsoft Purview-Portal>Einstellungen>Rollen und Bereiche>Adaptive Bereiche.

2. Wählen Sie auf der Seite " Adaptive Bereiche " die Option + Bereich erstellen aus.

3. Folgen Sie den Eingabeaufforderungen in der Konfiguration, in der Sie zum ersten Mal aufgefordert werden, eine Verwaltungseinheit zuzuweisen. Wenn Ihrem Konto Verwaltungseinheiten zugewiesen sind, müssen Sie eine Verwaltungseinheit auswählen, die den Geltungsbereich der Mitgliedschaft einschränkt.

   Hinweis

   Da Verwaltungseinheiten noch keine SharePoint-Websites unterstützen, können Sie keinen adaptiven Bereich für SharePoint-Websites erstellen, wenn Sie Verwaltungseinheiten auswählen.

   Wenn Sie den adaptiven Bereich nicht mithilfe von Verwaltungseinheiten einschränken möchten oder Ihre Organisation keine administrativen Einheiten konfiguriert hat, behalten Sie den Standardwert des vollständigen Verzeichnisses bei.

4. Wählen Sie den Typ des Bereichs und dann die Attribute oder Eigenschaften aus, die Sie zum Erstellen der dynamischen Mitgliedschaft verwenden möchten. Geben Sie die Attribut- oder Eigenschaftswerte ein.

   Um beispielsweise einen adaptiven Bereich zu konfigurieren, der Benutzer in Europa identifiziert, wählen Sie zuerst Benutzer als Bereichstyp aus. Wählen Sie dann das Attribut "Land" oder "Region " aus, und geben Sie "Europa" ein:

   

   Einmal täglich wird diese Abfrage für Entra ID ausgeführt und identifiziert alle Benutzer, für die der Wert Europe in ihrem Konto für das Attribut Land oder Region angegeben ist.

   Wichtig

   Da die Abfrage nicht sofort ausgeführt wird, wird nicht überprüft, ob Sie den Wert richtig eingegeben haben.

   Wählen Sie Attribut hinzufügen (für Benutzer und Gruppen) oder Eigenschaft hinzufügen (für Websites) aus, um eine beliebige Kombination von Attributen oder Eigenschaften zu verwenden, die für ihren Bereichstyp unterstützt werden. Verwenden logischer Operatoren zum Erstellen von Abfragen. Die unterstützten Operatoren sind ist gleich, ist ungleich, beginnt mit und beginnt nicht mit. Sie können ausgewählte Attribute oder Eigenschaften gruppieren. Zum Beispiel:

   

   Alternativ können Sie den erweiterten Abfrage-Generator auswählen, um Ihre eigenen Abfragen anzugeben:

   • Für Benutzer - und Microsoft 365-Gruppenbereiche : Verwenden Sie die OPATH-Filtersyntax. So erstellen Sie beispielsweise einen Benutzerbereich, der die Mitgliedschaft nach Abteilung, Land/Region und Bundesland definiert:

     

     Einer der Vorteile der Verwendung des erweiterten Abfrage-Generators für diese Bereiche ist eine größere Auswahl von Abfrageoperatoren:

     • und
     • oder
     • nicht
     • eq (gleich)
     • ne (ungleich)
     • lt (kleiner als)
     • gt (größer als)
     • wie (Zeichenfolgenvergleich)
     • nicht wie (Zeichenfolgenvergleich)

   • Für SharePoint-Websitebereiche : Verwenden Sie die Keyword Query Language (KeyQL). Möglicherweise sind Sie bereits mit der Verwendung von KeyQL zum Durchsuchen von SharePoint mithilfe indizierter Websiteeigenschaften vertraut. Informationen zum Angeben dieser KeyQL-Abfragen finden Sie in der Syntaxreferenz zur Schlüsselwortabfrage (KeyQL).

     Da SharePoint-Websitebereiche beispielsweise automatisch alle SharePoint-Websitetypen enthalten, zu denen Microsoft 365-Gruppen- und OneDrive-Websites gehören, können Sie die indizierte Websiteeigenschaft SiteTemplate verwenden, um bestimmte Websitetypen ein- oder auszuschließen. Die Vorlagen, die Sie angeben können:

     • SITEPAGEPUBLISHING für moderne Kommunikationswebsites
     • GROUP für Microsoft 365 mit Gruppen verbundenen Websites
     • TEAMCHANNEL für private Microsoft Teams-Kanalwebsites
     • STS für eine klassische SharePoint-Teamwebsite
     • SPSPERSfür OneDrive Websites

     Um also einen adaptiven Bereich zu erstellen, der nur moderne Kommunikationswebsites umfasst und mit Microsoft 365-Gruppen verbundene und OneDrive-Websites ausschließt, geben Sie die folgende KeyQL-Abfrage an:

     SiteTemplate=SITEPAGEPUBLISHING
     

     Sie können diese erweiterten Abfragen unabhängig von der Bereichskonfiguration validieren.

     Hinweis

     Sie müssen den erweiterten Abfrage-Generator verwenden, wenn Sie inaktive Postfächer ausschließen möchten. Umgekehrt können Sie nur auf inaktive Postfächer abzielen. Verwenden Sie für diese Konfiguration die OPATH-Eigenschaft IsInactiveMailbox:

     • Um inaktive Postfächer auszuschließen, stellen Sie sicher, dass die Abfrage Folgendes enthält: (IsInactiveMailbox -eq "False")
     • Wenn Sie nur auf inaktive Postfächer abzielen möchten, geben Sie Folgendes an: (IsInactiveMailbox -eq "True")

5. Erstellen Sie so viele adaptive Bereiche, wie Sie benötigen. Sie können einen oder mehrere adaptive Bereiche auswählen, wenn Sie Ihre Richtlinie erstellen.

Es kann bis zu fünf Tage dauern, bis die Abfragen vollständig ausgefüllt sind und keine Änderungen sofort vorgenommen werden. Berücksichtigen Sie diese Verzögerung, indem Sie einige Tage warten, bevor Sie einer Richtlinie einen neu erstellten Bereich hinzufügen.

Erweiterte Abfragen überprüfen

Sie können erweiterte Abfragen manuell validieren, indem Sie die PowerShell- und SharePoint-Suche verwenden:

• Verwenden von PowerShell für die Bereichstypen "Benutzer" und "Microsoft 365"-Gruppen
• Verwenden SharePoint Suchen nach dem Bereichstyp SharePoint Websites

So führen Sie eine Abfrage mithilfe von PowerShell aus

1. Stellen Sie eine Verbindung mit Exchange Online PowerShell her , indem Sie ein Konto mit den entsprechenden Exchange Online-Administratorberechtigungen verwenden.

2. Verwenden Sie entweder Get-Recipient, Get-Mailbox oder Get-User mit dem Parameter -Filter und ihrer OPATH-Abfrage für den adaptiven Bereich, angegeben in geschweiften Klammern ({,}). Wenn Ihre Attributwerte Zeichenfolgen sind, setzen Sie diese Werte in doppelte oder einfache Anführungszeichen.

   Sie können bestimmen, ob Get-Mailbox, Get-Recipient oder Get-User für die Validierung verwendet werden soll, indem Sie feststellen, welches cmdlet von der OPATH-Eigenschaft unterstützt wird, die Sie für Ihre Abfrage auswählen.

   Wichtig

   Get-Mailbox unterstützt den Empfängertyp MailUser nicht, daher müssen Sie Get-Recipient oder Get-User verwenden, um Abfragen zu überprüfen, die lokale Postfächer in einer Hybridumgebung enthalten.

   Verwenden Sie zum Überprüfen eines Benutzerbereichs den entsprechenden Befehl:

   • Get-Mailbox with -RecipientTypeDetails UserMailbox,SharedMailbox,RoomMailbox,EquipmentMailbox
   • Get-Recipient with -RecipientTypeDetails UserMailbox,MailUser,SharedMailbox,RoomMailbox,EquipmentMailbox

   Um einen Microsoft 365 Gruppenbereich zu überprüfen, verwenden Sie Folgendes:

   • Get-Mailbox mit -GroupMailbox oder Get-Recipient mit -RecipientTypeDetails GroupMailbox

   Um beispielsweise einen Benutzerbereich zu validieren, der mit dem Attribut "Abteilung" verknüpft ist, das auf den Wert "Marketing" gesetzt ist, können Sie Folgendes verwenden:

   Get-Recipient -RecipientTypeDetails UserMailbox,MailUser -Filter {Department -eq "Marketing"} -ResultSize Unlimited
   

   Zum Überprüfen eines Benutzerbereichs im Zusammenhang mit dem EmailAddresses-Attribut muss der Wert im Allgemeinen das Präfix smtp: enthalten. So schließen Sie beispielsweise einen Benutzer aus, bei dem "E-Mail-Adressen" Folgendes enthält admin@contoso.com:

   Get-Mailbox -RecipientTypeDetails UserMailbox -Filter {EmailAddresses -notlike "smtp:admin@contoso.com"} -ResultSize Unlimited
   

   Um einen Microsoft 365-Gruppenbereich zu überprüfen, der mit dem CustomAttribute15-Attribut der Gruppe zusammenhängt, das auf "Marketing" als Wert festgelegt ist, können Sie Folgendes verwenden:

   Get-Mailbox -RecipientTypeDetails GroupMailbox -Filter {CustomAttribute15 -eq "Marketing"} -ResultSize Unlimited
   

   Tipp

   Wenn Sie diese Befehle zum Überprüfen eines Benutzerbereichs verwenden, und die Anzahl der zurückgegebenen Empfänger höher als erwartet ist, liegt dies möglicherweise daran, dass Benutzer, die nicht über eine gültige Lizenz für adaptive Bereiche verfügen, miteinbezogen sind. Auf diese Benutzer wurden die Richtlinieneinstellungen nicht angewendet.

   In einer Hybridumgebung haben Sie möglicherweise nicht lizenzierte Benutzerkonten ohne lokales Exchange Postfach oder in Exchange Online. Sie können diese Benutzer identifizieren, indem Sie den folgenden Befehl ausführen: Get-User -RecipientTypeDetails User

3. Stellen Sie sicher, dass die Ausgabe mit den erwarteten Benutzern oder Gruppen für Ihren adaptiven Bereich übereinstimmt. Wenn dies nicht der Fall ist, überprüfen Sie Ihre Abfrage und die Werte mit dem zuständigen Administrator für Microsoft Entra ID oder Exchange.

   Hinweis

   Die Ausgabe dieser Befehle stimmt möglicherweise nicht mit der Mitgliederliste für denselben Filter innerhalb der Bereichsdetails auf der Seite Adaptive Bereiche überein. In der Mitgliederliste in den Bereichsdetails werden Vermittlungspostfächer im Bereich angezeigt, während dies bei der Befehlsausgabe nicht der Fall ist. Darüber hinaus kann es bis zu fünf Tage dauern, bis Änderungen an Abfragen des adaptiven Bereichs wirksam werden und in der Detailansicht des Geltungsbereichs der Seite "Adaptive Bereiche" widergespiegelt werden.

So führen Sie eine Abfrage mithilfe der SharePoint-Suche aus

1. Wechseln Sie mit einem Konto mit der SharePoint-Administratorrolle zu https://<your_tenant>.sharepoint.com/search.
2. Verwenden Sie die Suchleiste, um Ihre KeyQL-Abfrage anzugeben.
3. Stellen Sie sicher, dass die Suchergebnisse mit den erwarteten Site-URLs für Ihren adaptiven Bereich übereinstimmen. Wenn dies nicht der Fall ist, überprüfen Sie Ihre Abfrage und die URLs mit dem zuständigen Administrator für SharePoint.

Anzeigen von Mitgliedschaftsdetails im adaptiven Bereich

Nachdem Sie eine Abfrage für einen adaptiven Bereich in Microsoft Purview erstellt haben, können Sie die Mitgliedsdetails des Bereichs anzeigen.

Führen Sie die folgenden Schritte aus, um auf die Mitgliederdetailseite eines adaptiven Bereichs in Microsoft Purview zuzugreifen:

1. Melden Sie sich beim Microsoft Purview-Portal an, wenn Sie noch nicht angemeldet sind.

2. Wählen Sie Einstellungen>Rollen und Bereiche>Adaptive Bereiche aus.

3. Wählen Sie einen vorhandenen adaptiven Bereich aus der Liste aus.

4. Wählen Sie im Flyoutbereich "Details " die Option "Bereichsdetails" aus.

5. Es wird eine Liste der Bereichsmitglieder angezeigt. Überprüfen Sie die Spalte "Status " in der Liste, in der für Mitglieder innerhalb des adaptiven Bereichs "Hinzugefügt" oder "Entfernt" angezeigt wird, wenn sich das Mitglied zuvor im adaptiven Bereich befand, aber jetzt entfernt wurde, stimmen sie nicht mehr mit der Bereichsabfrage überein.

6. Verwenden Sie optional die Option "Exportieren ", um eine Liste der angezeigten Bereichsmember in eine CSV-Datei herunterzuladen.

   Wenn der Umfang der Mitgliedschaft groß ist (1.000 oder mehr) oder Sie den Export anpassen möchten, verwenden Sie das PowerShell-Cmdlet Get-AdaptiveScopeMembers.