Organizowanie użytkowników i urządzeń za pomocą grup dla usługi Microsoft Intune

Usługa Microsoft Intune używa grup zabezpieczeń z usługi Microsoft Entra ID na potrzeby różnych organizacji. Te wymagania obejmują grupowanie użytkowników lub urządzeń według lokalizacji geograficznej, działu, charakterystyki sprzętu i nie tylko. Aby umożliwić korzystanie z grup usługi Entra przez usługę Intune, centrum administracyjne usługi Intune zawiera interfejs użytkownika grup usługi Entra ze wszystkimi jego funkcjami. Wszystkie grupy wyświetlane w usłudze Entra oraz nowe grupy, które może utworzyć administrator usługi Intune, są widoczne w usługach Intune, Entra i innych produktach współużytkujących interfejs użytkownika grup usługi Entra, takich jak platforma Microsoft 365.

Administratorzy usługi Intune używają dobrze zdefiniowanych grup podczas wdrażania zasad, wdrażania aplikacji i przypisywania uprawnień innym użytkownikom administracyjnym, aby mogli pomóc w administrowaniu różnymi aspektami subskrypcji usługi Intune.

Ten artykuł koncentruje się na korzystaniu z centrum administracyjnego usługi Intune do tworzenia grup do użycia z usługą Intune, w tym na szczegółowych informacjach o uprawnieniach wymaganych do zarządzania tymi grupami i korzystania z nich w centrum administracyjnym.

Możesz dowiedzieć się więcej o grupach usługi Microsoft Entra w dokumentacji usługi Entra.

Kontrola dostępu oparta na rolach do pracy z grupami

Domyślnie wszystkie konta użytkowników usługi Microsoft Entra mają uprawnienia do tworzenia i konfigurowania nowych grup bez przypisywania roli kontroli dostępu opartej na rolach (RBAC) usługi Entra. Te uprawnienia obejmują korzystanie z węzła Grupy w centrum administracyjnym usługi Intune.

Tylko użytkownik, który utworzył grupę, użytkownicy przypisani jako właściciele i użytkownicy mający wystarczające uprawnienia RBAC usługi Entra do zarządzania grupami usługi Entra mogą edytować właściwości grupy. Inni użytkownicy bez uprawnień do edytowania grupy mogą wyświetlać jej członkostwo, a jeśli administrują usługą Intune, mogą przypisywać zasady, aplikacje i przypisania ról usługi Intune do grupy.

Poniższa wbudowana rola RBAC usługi Microsoft Entra jest najmniej uprzywilejowaną rolą wbudowaną, która obejmuje wystarczające uprawnienia do edytowania grup usługi Entra utworzonych przez innych użytkowników i zarządzania nimi:

• Administrator grup — ta rola zapewnia uprawnienia wystarczające do dodawania i edytowania grup z poziomu centrów administracyjnych usług Microsoft Intune, Microsoft Entra i Microsoft 365.

Podczas pracy z kontrolą dostępu opartą na rolach firma Microsoft zaleca przestrzeganie zasady najmniejszych uprawnień, używając tylko kont mających minimalne wymagane uprawnienia dla zadania oraz ograniczając używanie i przypisywanie uprzywilejowanych ról administracyjnych, takich jak administrator usługi Intune.

Aby dowiedzieć się więcej o grupach usługi Microsoft Entra i dostępie do grupy, zobacz Dowiedz się więcej o grupach i prawach dostępu w dokumentacji usługi Entra.

Wymagania dotyczące grup używanych z usługą Intune

Administratorzy usługi Intune powinni znać następujące aspekty grup usługi Microsoft Entra podczas tworzenia nowych grup lub przypisywania ich do wdrażania zasad lub ról administracyjnych.

Zabezpieczenia — grupy używane z usługą Intune muszą być grupami, które są włączone dla zabezpieczeń. Zazwyczaj wymaga to ustawienia typu grupy na Zabezpieczenia podczas tworzenia grupy. Aby uzyskać szczegółowe informacje, zobacz typy grup w usłudze Microsoft Entra. Grupa zabezpieczeń obsługuje zarówno użytkowników, jak i urządzenia jako członków.

Domyślnie grupy platformy Microsoft 365 w usłudze Microsoft Entra nie są zabezpieczone, obsługują wyłącznie użytkowników jako członków i nie są obsługiwane przez usługę Intune. Chociaż możesz użyć programu Microsoft Graph PowerShell do tworzenia grup platformy Microsoft 365 z włączonymi zabezpieczeniami, które obsługuje usługa Intune (aby uzyskać szczegółowe informacje, zobacz Zarządzanie grupami zabezpieczeń za pomocą programu Microsoft 365 PowerShell), podobnie jak domyślne grupy platformy Microsoft 365, mogą one obejmować tylko użytkowników, a nie urządzenia.

Członkostwo — usługa Intune obsługuje zarówno członkostwa w grupach przypisanych, jak i dynamicznych. Wybierz typ członkostwa w zależności od planowanego sposobu zarządzania członkostwem w grupie — ręcznie lub automatycznie na podstawie reguł. Aby uzyskać szczegółowe informacje, zobacz typy członkostwa w usłudze Microsoft Entra. Aby na przykład przypisać wbudowaną rolę RBAC usługi Intune, taką jak menedżer zabezpieczeń punktu końcowego do użytkowników administracyjnych, użyj grupy z ręcznie przypisanymi członkami w celu ograniczenia osób, które otrzymają tę uprzywilejowaną rolę. I odwrotnie, aby wdrożyć domyślny zestaw zasad konfiguracji urządzeń na wszystkich urządzeniach z systemem Windows 11, możesz użyć grupy, która dynamicznie dodaje członków na podstawie wersji systemu operacyjnego urządzenia. Użycie grupy dynamicznej może pomóc zapewnić, że urządzenia zarejestrowane w usłudze Intune automatycznie otrzymają zamierzone zasady domyślne bez konieczności ręcznego dodawania urządzenia do grupy.

Grupy Wszystkie użytkownicy usługi Intune i Wszystkie urządzenia

Oprócz grup usługi Microsoft Entra, które można tworzyć i używać z usługą Intune, usługa Intune zawiera dwie grupy wirtualne, które są dostępne tylko w kontekście usługi Intune i w centrum administracyjnym usługi Intune:

• Wszyscy użytkownicy — ta grupa automatycznie obejmuje każdego użytkownika, który ma licencję na usługę Intune.
• Wszystkie urządzenia — ta grupa automatycznie obejmuje każde urządzenie, które zostało zarejestrowane w usłudze Intune.

Te grupy wirtualne zapewniają łatwy sposób kierowania wszystkich odpowiednich użytkowników lub urządzeń za pomocą zasad i przypisań usługi Intune, które powinny być powszechnie stosowane.

Możesz na przykład wdrożyć zasady zgodności usługi Intune w grupie Wszystkie urządzenia, aby określić minimalny poziom wymagań dotyczących zgodności, które muszą spełniać wszystkie urządzenia w organizacji. Później możesz wdrożyć więcej wymagań dla określonych grup usługi Entra, aby zastosować dodatkowe wymagania, które mogą istnieć dla określonych grup urządzeń lub użytkowników.

Dodawanie grup do usługi Intune

Tworząc grupę w centrum administracyjnym usługi Microsoft Intune, w rzeczywistości tworzysz grupę w usłudze Microsoft Entra ID. Poniższa procedura zawiera podstawowe wskazówki dotyczące tworzenia grup w centrum administracyjnym usługi Intune. Aby uzyskać bardziej szczegółowe informacje, zobacz następujące artykuły dotyczące usługi Microsoft Entra:

• Zarządzanie grupami usługi Microsoft Entra i członkostwem w grupach
• Utwórz podstawową grupę i dodaj członków przy użyciu usługi Microsoft Entra ID
• Reguły członkostwa dynamicznego dla grup w Tożsamości Microsoft Entra

Aby utworzyć grupy w centrum administracyjnym usługi Microsoft Intune:

1. Zaloguj się do centrum administracyjnego usługi Microsoft Intune w witrynie https://go.microsoft.com/fwlink/?linkid=2109431, a następnie wybierz pozycję Grupy>Nowa grupa:

   

2. Zostanie otwarte okienko Nowa grupa, które jest tym samym interfejsem, który znajduje się w aplikacji Microsoft Entra:

   

   Skonfiguruj następujące opcje dla nowej grupy:

   1. Ustaw Typ grupy na Zabezpieczenia.

   2. W polu Nazwa grupy określ opisową nazwę, która jednoznacznie identyfikuje grupę. Ta nazwa jest widoczna dla użytkowników pracujących z grupami w centrum administracyjnym.

   3. W polu Opis grupy, który jest opcjonalny, podaj inne szczegóły dotyczące grupy, takie jak jej przeznaczenie.

   4. W polu Typ członkostwa wybierz jedną z następujących opcji:

      • Przypisane — w przypadku tego typu członkostwa musisz ręcznie dodać użytkowników do grupy, co można zrobić teraz lub później po utworzeniu grupy.

        Aby dodać użytkowników w tym momencie, znajdź i wybierz pozycję Nie wybrano żadnych członków , aby otworzyć okienko Dodaj członków .

        W tym okienku użyj karty Użytkownicy lub urządzenia , gdzie możesz zaznaczyć pole wyboru obok każdego obiektu, który chcesz dodać do tej grupy.

        Jeśli chcesz zagnieździć grupę w tej grupie, możesz również wybrać kartę Grupy . Grupa, której członkiem jest grupa, jest nazywana grupą nadrzędną. Podczas zagnieżdżania grup należy zachować ostrożność, ponieważ relacje członkostwa mogą nie być jasne dla administratorów, którzy później będą używać grupy nadrzędnej do przypisywania zadań. Wszelkie zmiany członkostwa wprowadzone w grupie zagnieżdżonej są automatycznie stosowane do obowiązującego członkostwa grupy nadrzędnej.

        Ważna

        Należy unikać tworzenia grup zawierających zarówno użytkowników, jak i urządzenia, ponieważ może to prowadzić do konfliktów zasad i nieprzewidywalnego zachowania podczas wdrożeń usługi Intune.

        Porada

        Aby utworzyć grupy urządzeń, możesz użyć kategorii urządzeń, aby automatycznie dołączyć urządzenia do grupy w momencie ich rejestracji w usłudze Intune. Aby uzyskać szczegółowe informacje, zobacz Kategorie urządzeń.

      • Użytkownik dynamiczny — w przypadku tego typu członkostwa wybierz pozycję Dodaj zapytanie dynamiczne , a następnie skonfiguruj reguły członkostwa dynamicznego. Aby uzyskać wskazówki, zobacz Zarządzanie regułami dynamicznych grup członkostwa w usłudze Microsoft Entra ID.

        Ważna

        Aby korzystać z dynamicznych grup użytkowników, musisz mieć licencję na usługę Microsoft Entra ID P1 dla każdego użytkownika, który jest członkiem grupy dynamicznej.

      • Urządzenie dynamiczne — w przypadku tego typu członkostwa wybierz pozycję Dodaj zapytanie dynamiczne , a następnie skonfiguruj reguły członkostwa dynamicznego. Aby uzyskać wskazówki, przejdź do:

        • Zarządzanie regułami dynamicznych grup członkostwa w usłudze Microsoft Entra ID
        • Szybsze i prostsze tworzenie reguł dla grup członkostwa dynamicznego
        • Opis przetwarzania grup dynamicznych i zarządzanie nim

        Porada

        Dla członków dynamicznych grup urządzeń nie jest wymagana żadna określona licencja usługi Tożsamość usługi Entra.

        Uwaga

        Przed utworzeniem dynamicznej grupy urządzeń dla kierowania zasad usługi Intune rozważ, czy filtr przypisania może osiągnąć ten sam wynik. Jeśli reguła jest ukierunkowana na właściwości urządzenia, takie jak typ systemu operacyjnego, producent, model, własność lub kategoria urządzenia, filtr przypisania jest oceniany podczas ewidencjonowania bez zależności od przetwarzania członkostwa w grupie. Aby uzyskać więcej informacji, przejdź do tematu Zalecenia dotyczące wydajności grupowania, kierowania i filtrowania w dużych środowiskach usługi Microsoft Intune.

   5. Konfiguracja właścicieli jest opcjonalna. Domyślnie użytkownik, który tworzy grupę, jest jej właścicielem. Aby dodać innych właścicieli, wybierz pozycję Nie wybrano właścicieli , a następnie kartę Użytkownicy , gdzie możesz wybrać co najmniej jednego użytkownika, aby dodać go jako właściciela tej grupy.

3. Wybierz pozycję Utwórz , aby dodać nową grupę. Twoja grupa jest widoczna na liście.

Edytowanie grupy

Jako administrator usługi Intune możesz edytować grupy, na przykład zmieniać członków grupy, właściciela i właściwości.

Aby edytować istniejącą grupę, wykonaj następujące czynności:

1. Zaloguj się do Centrum administracyjnego usługi Microsoft Intune.
2. Wybierz pozycję Grupy>Wszystkie grupy>Wybierz nazwę grupy do edycji.
3. W grupie menu Zarządzaj wybierz obszar grupy, który chcesz edytować, na przykład Właściwości, Członkowie lub Właściciele. W usłudze Intune zostanie wyświetlony interfejs użytkownika powiązany z tą opcją konfiguracji.

Usuwanie grupy

Jako administrator usługi Intune, możesz usuwać grupy, które nie są już potrzebne.

Aby usunąć istniejącą grupę, wykonaj następujące czynności:

1. Zaloguj się do Centrum administracyjnego usługi Microsoft Intune.
2. Wybierz pozycję Grupy>,wszystkie grupy.
3. Zaznacz pole wyboru obok każdej grupy, którą chcesz usunąć, a następnie wybierz pozycję Usuń z opcji w górnej części widoku Wszystkie grupy . Możesz także wybrać nazwę grupy, aby otworzyć stronę Przegląd pojedynczej grupy, a następnie wybrać pozycję Usuń* u góry tego widoku.

Zawartość pokrewna

• Wybieranie odpowiedniej metody kierowania w usłudze Microsoft Intune
• Przypisywanie licencji użytkowników do usługi Intune
• Przypisywanie ról usługi Microsoft Intune do grup użytkowników na potrzeby kontroli dostępu opartej na rolach