4、深入了解Azure Active Directory：用户、组、角色与设备管理

深入了解Azure Active Directory：用户、组、角色与设备管理

1. 组账户概述

在访问管理中，逐个为用户应用权限或角色是一项繁琐的任务。为了解决这一复杂性，Azure Active Directory（Azure AD）引入了组的概念。通过将用户分组创建组账户，然后将权限或角色应用于组，组内的所有成员都能获得相应的访问权限，这大大简化了访问管理。同时，组也可以像用户一样从本地同步到云端。

Azure AD允许创建两种类型的组：安全组和Microsoft 365组。以下是它们的区别：
| 组类型 | 特点 | 管理方式 |
| — | — | — |
| 安全组 | 用于轻松控制对资源的访问，例如创建“All HR”安全组并授予其对所有人力资源相关资源的访问权限。 | 需要Azure AD管理员进行管理操作。 |
| Microsoft 365组 | 与安全组目的相同，但提供了额外的功能，如访问共享邮箱、共享日历、SharePoint等，还能扩展协作并为外部用户提供访问权限。 | 用户和管理员都可以使用。 |

组的成员身份有三种不同的访问方式：
- 分配式 ：直接将用户（或组）添加为组的成员，也称为直接成员身份。
- 动态用户 ：使用成员属性来控制组成员身份。例如，如果用户所在部门为人力资源（HR），则该用户将被添加到“All HR”组。Azure会持续审查用户属性，当有新的HR部门用户加入或有人离开该部门时，会自动添加或移除用户。
- 动态设备 ：仅适用于安全组，类似于动态用户概念