基于组成员身份的 Azure AD 动态组答案

【问题标题】：Azure AD Dynamic Group based on Group Membership基于组成员身份的 Azure AD 动态组
【发布时间】：2018-11-16 16:28:45
【问题描述】：

是否可以根据用户的其他组成员身份创建 Azure AD 动态组，还是只能根据用户属性动态分配？

我想要创建的是一个“所有人”类型的组，它将包括 ExceptionGroup 中的所有人除了用户。这是针对 O365 许可的，因此默认情况下所有用户都将获得基本 O365 许可，但需要 Project 的用户将应用不同的许可。

（它需要完全分开的原因是因为 O365 商业高级版和项目所需的 SharePoint 许可证之间存在冲突——如果有其他方法可以解决这部分问题，我也许可以避免这种类型动态组。）

【问题讨论】：

也欢迎提出解决许可问题的更好方法的建议，因为这不是对这个问题的直接答案。

标签： azure-active-directory

【解决方案1】：

Philippe 是正确的，您不能直接创建使用组成员身份作为条件的查询，但如果您将 Azure AD 与本地 ActiveDirectory 环境同步，您当然可以使用计划脚本将值放入 extensionAttributeX 字段，然后根据没有问题的条件构建标准。

我们需要使用 distinctName 参数来创建基于 OU 成员资格的动态组，但也不支持 DN 字段。因此，如果使用运行 Powershell 脚本的计划作业，我会将 extensionAttribute9 的值更新为 DN（如果它已更改），然后我们的 Azure Connect 同步负责将该数据导入 Azure AD 以进行动态组成员分配。

为组成员执行此操作的 Powershell 脚本示例如下所示：

Import-Module ActiveDirectory
$exclude = Get-ADGroupMember -Identity "excludeGroup" -Recursive | select -ExpandProperty SamaccountName
$population = Get-ADUser -Filter {enabled -eq $true}

foreach($p in $population) {
    if (-not $exclude.Contains($p.SamAccountName)) { Set-ADUser -Replace @{extensionAttribute4 = "Good"} }
}

将其放入按计划运行的脚本中，然后根据 extensionAttribute4 中的值（或您尚未使用或不喜欢的任何 extensionAttribute）创建动态 Azure AD 组成员资格。

请确保在本地 AD 和 Azure AD 之间同步这些字段，但 IIRC 是默认设置。

【讨论】：

【解决方案2】：

不，目前不能将组成员身份用作动态组查询的一部分。

【讨论】：