Administrativa enheter i Microsoft Entra-ID

I den här artikeln beskrivs administrativa enheter i Microsoft Entra-ID. En administrativ enhet är en Microsoft Entra-resurs som kan vara en container för andra Microsoft Entra-resurser. En administrativ enhet kan endast innehålla användare, grupper eller enheter.

Administrativa enheter begränsar behörigheter i en roll till valfri del av organisationen som du definierar. Du kan till exempel använda administrativa enheter för att delegera rollen Supportadministratör till regionala supportspecialister, så att de bara kan hantera användare i den region som de ger support till.

Användare kan vara medlemmar i flera administrativa enheter. Du kan till exempel lägga till användare i administrativa enheter efter geografi och division. Megan Bowen kan finnas i de administrativa enheterna "Seattle" och "Marketing".

Distributionsscenario

Det kan vara användbart att begränsa det administrativa omfånget genom att använda administrativa enheter i organisationer som består av oberoende avdelningar av något slag. Tänk på exemplet med ett stort universitet som består av många autonoma skolor (School of Business, School of Engineering och så vidare). Varje skola har ett team med IT-administratörer som styr åtkomst, hanterar användare och anger principer för sin skola.

En central administratör kan:

• Skapa en administrativ enhet för Skolan för företag.
• Fyll i den administrativa enheten med endast elever och personal inom Företagshögskolan.
• Skapa en roll med administratörsbehörigheter över endast Microsoft Entra-användare i den administrativa utbildningsenheten School of Business.
• Lägg till IT-teamet för företagsskolan i rollen, tillsammans med dess omfång.

Krav

Här är några av begränsningarna för administrativa enheter.

• Administrativa enheter kan inte kapslas.
• Administrativa enheter är för närvarande inte tillgängliga i Microsoft Entra ID-styrning.

Grupper

Genom att lägga till en grupp i en administrativ enhet hamnar själva gruppen i hanteringsomfånget för den administrativa enheten, men inte medlemmarna i gruppen. Med andra ord kan en administratör som är begränsad till den administrativa enheten hantera gruppens egenskaper, till exempel gruppnamn eller medlemskap, men de kan inte hantera egenskaperna för användare eller enheter i gruppen (såvida inte dessa användare och enheter läggs till separat som medlemmar i den administrativa enheten).

En användaradministratör som är begränsad till en administrativ enhet som innehåller en grupp kan till exempel inte göra följande:

För att användaradministratören ska kunna hantera användaregenskaper eller användarautentiseringsmetoder för enskilda medlemmar i gruppen måste gruppmedlemmarna (användarna) läggas till direkt som medlemmar i den administrativa enheten.

Licenskrav

Användning av administrativa enheter kräver en Microsoft Entra ID P1-licens för varje administratör för administrativa enheter som har tilldelats katalogroller över omfånget för den administrativa enheten och en kostnadsfri licens för Microsoft Entra-ID för varje administrativ enhetsmedlem. Det är tillgängligt att skapa administrativa enheter med en kostnadsfri licens för Microsoft Entra ID. Om du använder regler för dynamiskt medlemskap för administrativa enheter kräver varje administrativ enhetsmedlem en Microsoft Entra ID P1-licens. Information om hur du hittar rätt licens för dina krav finns i Jämföra allmänt tillgängliga funktioner i de kostnadsfria versionerna och Premium-utgåvorna.

Hantera administrativa enheter

Du kan hantera administrativa enheter med hjälp av administrationscentret för Microsoft Entra, PowerShell-cmdletar och skript eller Microsoft Graph API. Mer information finns i:

• Skapa eller ta bort administrativa enheter
• Lägga till användare, grupper eller enheter i en administrativ enhet
• Hantera användare eller enheter för en administrativ enhet med regler för dynamiskt medlemskap (förhandsversion)
• Tilldela Microsoft Entra-roller med omfång för administrativa enheter
• Arbeta med administrativa enheter: Beskriver hur du arbetar med administrativa enheter med hjälp av PowerShell.
• Stöd för Administrationsenhet Graph: Innehåller detaljerad dokumentation om Microsoft Graph för administrativa enheter.

Planera dina administrativa enheter

Du kan använda administrativa enheter för att logiskt gruppera Microsoft Entra-resurser. En organisation vars IT-avdelning är utspridda globalt kan skapa administrativa enheter som definierar relevanta geografiska gränser. I ett annat scenario, där en global organisation har underorganiseringar som är halvautonoma i sin verksamhet, kan administrativa enheter representera underorganiseringarna.

Kriterierna för vilka administrativa enheter skapas styrs av organisationens unika krav. Administrativa enheter är ett vanligt sätt att definiera struktur i Microsoft 365-tjänster. Vi rekommenderar att du förbereder dina administrativa enheter med deras användning i Microsoft 365-tjänster i åtanke. Du kan få ut maximalt värde av administrativa enheter när du kan associera gemensamma resurser i Microsoft 365 under en administrativ enhet.

Du kan förvänta dig att skapande av administrativa enheter i organisationen går igenom följande steg:

1. Inledande implementering: Din organisation börjar skapa administrativa enheter baserat på inledande kriterier och antalet administrativa enheter ökar när kriterierna förfinas.
2. Beskärning: När kriterierna har definierats tas administrativa enheter som inte längre krävs bort.
3. Stabilisering: Organisationsstrukturen definieras och antalet administrativa enheter kommer inte att ändras nämnvärt på kort sikt.

Scenarier som stöds för närvarande

Som global administratör eller privilegierad rolladministratör kan du använda administrationscentret för Microsoft Entra för att:

• Skapa administrativa enheter
• Lägga till användare, grupper eller enheter som medlemmar i administrativa enheter
• Hantera användare eller enheter för en administrativ enhet med regler för dynamiskt medlemskap (förhandsversion)
• Tilldela IT-personal till administratörsroller med enhetsomfattning.

Administratörer med administrativ enhetsomfattning kan använda Administrationscenter för Microsoft 365 för grundläggande hantering av användare i sina administrativa enheter. En gruppadministratör med omfång för administrativa enheter kan hantera grupper med hjälp av PowerShell, Microsoft Graph och Administrationscenter för Microsoft 365.

Administrativa enheter gäller endast omfång för hanteringsbehörigheter. De hindrar inte medlemmar eller administratörer från att använda sina standardanvändarbehörigheter för att bläddra bland andra användare, grupper eller resurser utanför den administrativa enheten. I Administrationscenter för Microsoft 365 filtreras användare utanför en begränsad administratörs administrativa enheter bort. Men du kan bläddra bland andra användare i administrationscentret för Microsoft Entra, PowerShell och andra Microsoft-tjänster.

I följande avsnitt beskrivs aktuellt stöd för scenarier med administrativa enheter.

Hantering av administrativa enheter

Användarhantering

Grupphantering

Enhetshantering

Hantering av enheter i Intune stöds inte just nu.

Nästa steg

• Skapa eller ta bort administrativa enheter
• Begränsade administrativa hanteringsenheter
• Begränsningar för administrativa enheter