Gestión dinámica de membresía de grupos en Microsoft Entra ID

Debido a la viabilidad de aumentar la colaboración entre los usuarios, los administradores prefieren grupos de Microsoft 365 o grupos de seguridad. Para mejorar aún más la estrategia de colaboración, los grupos dinámicos en Microsoft Entra ID (anteriormente conocido como Azure AD) asignan usuarios automáticamente según reglas específicas. Estos grupos dinámicos de Microsoft 365 reducen el trabajo del administrador al especificar la membresía del grupo dinámico según los atributos de los miembros en lugar de agregarles usuarios.

Exploremos la importancia, la necesidad, la creación y más de las membresías de grupos dinámicos y sus reglas en Microsoft Entra.

¿Qué es Microsoft Dynamic Group?

Un grupo dinámico es una característica especializada dentro de los grupos de Microsoft 365 o grupos de seguridad en Entra ID que utiliza reglas en lugar de asignaciones directas de usuarios. Las reglas o criterios definidos por los administradores asignan la membresía del grupo para el grupo dinámico de Microsoft Entra. Los atributos del usuario, como departamento, ubicación, puesto de trabajo u otros atributos personalizados, se evalúan automáticamente para determinar quién debe ser miembro del grupo.

Diferencia entre lista de distribución dinámica y membresía de grupo dinámico

Algunos de nosotros podemos pensar que la membresía dinámica es lo mismo que miembros del grupo de distribución dinámica en Exchange Online. Sin embargo, no lo es. Si bien los grupos de distribución dinámica solo facilitan la colaboración por correo electrónico, la membresía dinámica permite la colaboración de los usuarios en todos los servicios de Microsoft 365.

Por ejemplo, los administradores pueden crear MS Teams específicos para miembros de grupos dinámicos, mientras que esto no es posible para listas de distribución dinámicas.

Requisitos de licencia para grupos dinámicos en Microsoft 365

Asegúrese de tener una licencia de Microsoft Entra P1 o P2 en su inquilino para configurar grupos dinámicos. Si su organización necesita tener un total de 1000 usuarios en todos los grupos dinámicos, necesitará un mínimo de 1000 licencias Entra ID P1. Pero no es necesario asignar esas licencias a los usuarios para que sean miembros de grupos dinámicos.

Gestión dinámica de membresías de grupos en Microsoft Entra

Encuentre el siguiente conjunto de operaciones principales que ayudan a administrar la membresía de grupos dinámicos en Microsoft Entra:

• Crear una regla de membresía de grupo dinámico en Entra
• Validar reglas de membresía de grupos dinámicos
• Comprobar el estado del procesamiento de reglas dinámicas
• Modificaciones dinámicas de membresía de grupo
• Desactivar el correo electrónico de bienvenida para grupos dinámicos
• Eliminar grupos de membresía dinámica

Antes de comenzar el proceso, inicie sesión en el centro de administración de Microsoft Entra con su cuenta de administrador global o al menos de usuario.

Crear una regla de membresía de grupo dinámico en Entra

Para crear grupos dinámicos de Microsoft 365 en Entra, siga los pasos que se describen a continuación.

1. En el centro de administración de Microsoft Entra, navegue hasta Identidad → Grupos → Todos los grupos.
2. Seleccione el botón 'Nuevo grupo' .
3. Seleccione el 'Tipo de grupo' ya sea Microsoft 365 o seguridad según los requisitos del grupo.
4. Introduzca el nombre del grupo en el cuadro de texto 'Nombre del grupo' .
5. Proporcione la descripción del grupo en el cuadro de texto "Descripción del grupo" si es necesario.

6. Seleccione el 'Tipo de membresía' como 'Usuario dinámico' o 'Dispositivo dinámico' según sus necesidades. del grupo.

   • Usuario dinámico: seleccione esta opción si desea filtrar los usuarios dinámicamente en función de sus propiedades asociadas. Con esta opción, puede asignar usuarios del grupo según las propiedades del usuario, como departamento, ubicación de uso, tipo de membresía, ciudad, etc.
   • Dispositivo dinámico: seleccione esta opción si desea filtrar los usuarios dinámicamente en función de las propiedades o atributos de los dispositivos que están utilizando. Con esta opción, puede asignar usuarios del grupo según propiedades como el tipo de sistema operativo del dispositivo, el modelo del dispositivo, la identificación del dispositivo, etc.
     Nota: La opción de dispositivo dinámico solo está disponible para los grupos de seguridad de Entra ID.

   • Asignado : si selecciona esta opción, se creará un grupo M365 normal o un grupo de seguridad en consecuencia.

     

7. Si desea seleccionar propietarios adicionales además del administrador, seleccione la opción 'No se seleccionaron propietarios' .
8. Después de la selección, elija los usuarios en la ventana emergente "Agregar propietarios".
9. A continuación, haga clic en la opción 'Seleccionar'.
10. Haga clic en la opción 'Agregar consulta dinámica', lo llevará a la página 'Reglas de membresía dinámica'.

11. Usando el generador de reglas, defina la regla usando la Propiedad, Operador y Valor con respecto a las necesidades de su grupo.
    Ejemplo de regla de membresía dinámica:
    Supongamos que desea crear un grupo dinámico de Microsoft 365 para todos los empleados de su organización que pertenecen a un departamento específico, como el departamento de "I+D". Puede definir una regla de membresía dinámica como esta:

    Property	Operator	Value
    Department	Equals	R&D

12. Para agregar otra consulta como regla, haga clic en el botón 'Agregar expresión' , luego use el botón 'Y/O' operación y defina la regla utilizando el generador de reglas Entra ID.

    

    Puntos para recordar:

    • Puede configurar hasta cinco consultas utilizando el generador de reglas en el portal de Entra. Para seleccionar más que eso, debe escribir las reglas como consultas en el cuadro de texto a continuación usando la opción 'Editar' opción. Para escribir correctamente las consultas para sus reglas sin ningún error de sintaxis, consulte el documento de Microsoft sobre las reglas de membresía dinámica para grupos.
    • Microsoft anunció recientemente la función de vista previa para crear grupos dinámicos y unidades administrativas que se completan incorporando miembros de otros grupos mediante la función ' atributo memberOf'. Por el momento, memberOf aún no es compatible con el generador de reglas. Debe ingresar su regla en el editor de reglas como se describe a continuación.
      Regla de usuario: user.memberof -any (group.objectId -in [ ])
      Regla de dispositivo: device.memberof -any (group.objectId -in [])
      
13. Para obtener propiedades de una aplicación, seleccione 'Obtener propiedades de extensión personalizadas', ingrese el ID de la aplicación y elija el botón 'Actualizar propiedades'.
    Nota: El ID de la aplicación aquí ayuda a obtener los usuarios que utilizan la extensión personalizada. propiedades dentro de la aplicación o servicio. Después de recuperar esos usuarios, puede compararlos y seleccionarlos con el operador y las reglas adecuados.
14. Seleccione 'Guardar' y finalmente haga clic en el botón 'Crear'.

Validar reglas de membresía de grupos dinámicos (vista previa)

Si bien las reglas de membresía dinámica pueden ayudar a agregar usuarios a un grupo dinámico, es crucial verificar su exactitud para garantizar que los usuarios cumplan con los criterios requeridos. Para superar esta circunstancia, Microsoft ha introducido una nueva función de vista previa llamada "Validar reglas", que permite a los administradores confirmar si las reglas funcionan como se espera.

Estos son los pasos para usar esta función en el centro de administración de Microsoft Entra:

1. Después de configurar ciertas reglas, cambie a la opción de pestaña 'Validar reglas (vista previa)' en la página 'Reglas de membresía dinámica' .

2. Haga clic en el botón 'Agregar usuarios', seleccione los usuarios y haga clic en el botón 'Seleccionar' .

   

3. Finalmente, haga clic en el botón 'Validar'.

   

Se mostrará el estado de los usuarios (es decir, si estarán presentes en el grupo o no). También puede ver el motivo de cualquier error de validación utilizando la opción 'Ver detalles'.

Verificar el estado de procesamiento de reglas dinámicas

Para verificar el estado de la regla de membresía dinámica que ha creado mediante las consultas, simplemente siga los pasos a continuación.

1. Vaya a la página Identidad → Grupos → Todos los grupos en la página de inicio del centro de administración de Microsoft Entra.
2. Seleccione el grupo que está configurado mediante membresía dinámica.
3. En la página 'Descripción general' del grupo respectivo, el 'Estado de procesamiento de reglas dinámicas' proporciona el estado de las reglas configuradas. El estado de procesamiento de reglas dinámicas puede mostrar los siguientes mensajes:

Not started

No se ha iniciado el procesamiento de reglas.

Evaluating

Se están evaluando las actualizaciones de reglas recibidas.

Processing

Se están procesando las actualizaciones de las reglas de membresía del grupo.

Succeeded

Todo el proceso relacionado con las reglas se ha completado.

Processing error

Procesamiento incompleto debido a la ocurrencia de un error en la evaluación de la regla de membresía.

Updated paused

Las actualizaciones se están pausando porque el administrador habilita la opción "Pausar procesamiento".

Nota: Para conocer el error y realizar una investigación más profunda, puede consultar los registros de auditoría de los cambios de membresía del grupo usando el Opción 'Registros de auditoría'.

Además de esto, puede verificar los últimos cambios de membresía que han tenido lugar dentro del grupo dinámico usando el estado 'Último cambio de membresía'.

<Date and time>

Hora de la última actualización de la membresía.

In Progress

Actualmente se están realizando cambios.

Unknown

No se puede determinar la hora de la última actualización, posiblemente porque el grupo es nuevo y aún no ha recibido ninguna actualización.

Nota: Verá el siguiente mensaje como una alerta en la parte superior de la página Descripción general del grupo si se produce un error al procesar el regla de membresía para un grupo específico.

“Las membresías de grupos dinámicos no se han actualizado debido a retrasos en el sistema. Estamos trabajando para resolver el problema. ”

Además, si no se pueden procesar actualizaciones de membresía pendientes para todos los grupos durante más de 24 horas, la alerta aparecerá en la parte superior de la página "Todos los grupos".

Modificaciones dinámicas de membresía de grupos

Para actualizar la membresía del grupo dinámico, simplemente siga los pasos que se detallan a continuación en el centro de administración de Microsoft Entra.

1. Seleccione el grupo que se configura a través de la membresía dinámica.
2. Después de eso, seleccione la pestaña 'Reglas de membresía dinámica' y reconfigure las reglas según sus nuevos requisitos.
3. Una vez hecho esto, haga clic en el botón 'Guardar'.

Desactivar el correo electrónico de bienvenida para grupos dinámicos

Al igual que deshabilitar el correo electrónico de bienvenida para los nuevos usuarios de los grupos normales de Microsoft 365, puede deshabilitar el correo de bienvenida para los usuarios del grupo dinámico de Microsoft 365. Para deshabilitar dichos correos electrónicos, primero conecte el módulo Exchange Online PowerShell.

Después de eso, ejecute el siguiente cmdlet con el UPN del grupo de membresía dinámica respectivo.

Set-UnifiedGroup -Identity <DynamicGroupUPN> -UnifiedGroupWelcomeMessageEnable:$false

Nota: Esta configuración no se aplica a los grupos dinámicos creados dentro de los grupos de seguridad, ya que los grupos de seguridad no tienen ningún UPN específico.

Eliminar grupos de membresía dinámica

Como sabemos, un grupo de membresía dinámica es un tipo de grupo de Seguridad/Microsoft 365, y el proceso de eliminación también es similar. Para eliminar un grupo dinámico, siga estos pasos:

1. Seleccione el grupo de la lista de todos los grupos disponibles en Entra ID.
2. Haga clic en el botón 'Eliminar'.
3. Confirme seleccionando 'Sí'.

Limitaciones de los grupos dinámicos de Microsoft

Algunas de las limitaciones importantes del grupo de Microsoft 365 con tipo de membresía de usuario dinámico son:

1. Una organización de Microsoft 365 puede tener una combinación de un máximo de 5000 grupos dinámicos y unidades administrativas dinámicas.
2. Las reglas de membresía de dispositivos para grupos solo pueden hacer referencia a los atributos del dispositivo y no se pueden crear en función de los atributos del usuario relacionados con el propietario del dispositivo.
3. Un inquilino de Microsoft Entra puede tener hasta 500 grupos dinámicos utilizando la regla del atributo 'memberOf'.
4. Los grupos dinámicos de Microsoft 365 se pueden asignar con 50 grupos de miembros.
5. El atributo 'memberOf' no se puede utilizar para definir la membresía de otro grupo dinámico 'memberOf'.
6. Actualmente, Microsoft Entra ID no admite la concesión de ningún rol a los usuarios de forma indirecta a través de membresías de grupos dinámicos.

En conclusión, la membresía dinámica de grupos en Microsoft Entra es una característica poderosa para automatizar la administración de usuarios, garantizar actualizaciones en tiempo real y simplificar las tareas administrativas. Al aprovechar Entra ID, las organizaciones pueden gestionar grupos dinámicos de manera eficiente en su espacio de trabajo digital.

¡Estén atentos para obtener más información y tutoriales sobre cómo optimizar su experiencia de Microsoft 365!