Un groupe dynamique recalcule ses membres à partir d'une règle portant sur les attributs utilisateur (par exemple user.department -eq "IT"). Si vous pouvez modifier un attribut que la règle évalue, sur votre propre compte ou un compte que vous contrôlez, vous faites en sorte de correspondre et Entra vous ajoute automatiquement, héritant de tout ce que le groupe accorde.
Correspondre à la règle#
# read a dynamic group's membership rule
az rest --method GET --url "https://graph.microsoft.com/v1.0/groups/<group>?\$select=membershipRule,groupTypes"
# set the matching attribute on a user you can edit (needs the right to write that attribute)
az rest --method PATCH --url "https://graph.microsoft.com/v1.0/users/<you>" \
--body '{"department":"IT"}'
Notes d'exploitation#
- Les attributs modifiables en libre-service (intitulé de poste, service dans certains locataires) sont le point d'entrée ; les attributs inscriptibles varient selon le locataire et le rôle.
- L'appartenance se recalcule de façon asynchrone, il y a donc un court délai avant que l'accès ne soit effectif.
- Les groupes dynamiques sous-tendent souvent l'attribution d'applications et de licences, et parfois des groupes assignables à des rôles, de sorte que l'accès hérité peut être important.
Outils#
- az cli / Graph (
groupsmembershipRule,usersPATCH). - ROADtools / AzureHound : règles et effets des groupes dynamiques.