6、云身份规划与设计及认证应用访问指南

云身份规划与设计及认证应用访问指南

一、云身份规划与设计

1.1 组管理策略

组的成员资格策略可通过以下三种方法控制：
- 开放访问
- 仅所有者可添加成员
- 组所有者批准

自助服务组管理（SSGM）可针对所有用户或特定 Azure AD 安全组中的部分用户启用。将用户添加到该组有两种方式：
|添加方式|适用场景|
| ---- | ---- |
|在云中创建组并通过 Azure AD 管理成员|适用于人员较少的组织，管理员可通过 Azure 管理门户有效管理用户|
|在本地 AD 中创建组，在本地 AD 中管理其成员资格，并使用 AAD Connect 将其同步到 Azure AD|适用于已经有本地组管理流程的大中型组织|

1.2 自助服务组管理（SSGM）

启用用户的 SSGM 后，用户可以创建组并提交加入组的请求。激活 SSGM 后，有以下选项：
- 允许用户创建自己的组：并非所有组织都倾向此选项，组织可关闭该功能。
- 限制使用 SSGM 的用户：此选项限制哪些用户可以使用 SSGM。

在 Azure 管理门户中创建的组默认禁用 SSGM，除非有明确的所有者，否则不能为组启用 SSGM。可以使用 PowerShell 查找所有没有有效所有者的组。

1.3 专用组和动态组

• 专用组 ：由 Azure AD 自动创建和管理的特殊组，例如包含 Azure AD 中每个用户账户的“所有用户”专用组。使用专用组需在 Azure AD