Criar regras mais simples e eficientes para grupos de associação dinâmicâ no Microsoft Entra ID

Visão geral

Este artigo discute os métodos mais comuns que você pode usar para simplificar suas regras para grupos de associação dinâmica. Regras mais simples e eficientes resultam em melhores tempos de processamento para grupos dinâmicos.

Ao escrever regras de associação para grupos de associação dinâmica, siga as dicas neste artigo para garantir que você crie essas regras da maneira mais eficiente possível.

Minimizar o uso do operador -match

Minimize o uso do operador -match em regras o máximo possível. Em vez disso, verifique se é possível usar os operadores -startsWith, -endsWith ou -eq. -eq é preferencial quando o valor completo do atributo é conhecido; -startsWith e -endsWith serão os próximos mais eficientes quando apenas um prefixo ou sufixo for conhecido. Considere usar outras propriedades que permitem que você escreva regras para selecionar os usuários de um grupo sem usar o -match operador.

Por exemplo, se você quiser uma regra para o grupo que contém todos os usuários cuja cidade é Lagos, não use uma regra como estas:

  • user.city -match "ago"
  • user.city -match ".*?ago.*"

É melhor usar uma regra como este exemplo:

  • user.city -startsWith "Lag"

Ou, o melhor de tudo:

  • user.city -eq "Lagos"

Da mesma forma, para regras de domínio de email, não use:

  • user.mail -match ".*@Contoso.com$"
  • user.mail -notMatch ".*@Contoso.com$"

É melhor usar:

  • user.userPrincipalName -endsWith "@Contoso.com"
  • user.mail -notEndsWith "@Contoso.com"

Minimizar o uso do operador -contains

Assim como acontece com -match, minimize o uso do operador -contains nas regras tanto quanto possível. Em vez disso, explore se é possível usar o operador -startsWith, -endsWith ou -eq. O uso -contains pode aumentar os tempos de processamento, especialmente para locatários que têm muitos grupos de associação dinâmica.

Use menos operadores -or

Identifique quando sua regra usa diferentes valores para a mesma propriedade, vinculados por operadores -or. Em vez disso, use o -in operador para agrupá-los em um único critério. Um único critério facilita a avaliação da regra.

Por exemplo, não use uma regra como esta:

(user.department -eq "Accounts" -and user.city -eq "Lagos") -or 
(user.department -eq "Accounts" -and user.city -eq "Ibadan") -or 
(user.department -eq "Accounts" -and user.city -eq "Kaduna") -or 
(user.department -eq "Accounts" -and user.city -eq "Abuja") -or 
(user.department -eq "Accounts" -and user.city -eq "Port Harcourt")

É melhor usar uma regra como este exemplo:

  • user.department -eq "Accounts" -and user.city -in ["Lagos", "Ibadan", "Kaduna", "Abuja", "Port Harcourt"]

Por outro lado, identifique subcritérios semelhantes com a mesma propriedade que sejam diferentes de vários valores vinculados aos operadores -and. Em seguida, use o operador -notin para agrupá-los em um único critério a fim de facilitar o entendimento e avaliação da regra.

Por exemplo, não use uma regra como esta:

  • (user.city -ne "Lagos") -and (user.city -ne "Ibadan") -and (user.city -ne "Kaduna") -and (user.city -ne "Abuja") -and (user.city -ne "Port Harcourt")

É melhor usar uma regra como este exemplo:

  • user.city -notin ["Lagos", "Ibadan", "Kaduna", "Abuja", "Port Harcourt"]

Evitar critérios redundantes

Certifique-se de que não esteja usando critérios redundantes na sua regra. Por exemplo, não use uma regra como esta:

  • user.city -eq "Lagos" or user.city -startswith "Lag"

É melhor usar uma regra como este exemplo:

  • user.city -startswith "Lag"

Conteúdo relacionado

  • Last updated on