Creación de un grupo asignable a roles en Microsoft Entra ID

Con Microsoft Entra ID P1 o P2, puedes crear grupos asignables a roles y asignar roles de Microsoft Entra a estos grupos. Para crear un nuevo grupo de asignación de roles, establece Roles de Microsoft Entra se puede asignar al grupo en Sí o establece la propiedad isAssignableToRole establecida en true. Un grupo asignable a roles no puede formar parte de un tipo de grupo de pertenencia dinámica. En Microsoft Entra, un único inquilino puede tener un máximo de 500 grupos asignables a roles.

En este artículo, se describe cómo crear un grupo asignable por roles utilizando el Centro de administración Microsoft Entra, PowerShell o API Microsoft Graph.

Requisitos previos

• Una licencia de Microsoft Entra ID P1 o P2
• Administrador de roles con privilegios
• Módulo Microsoft.Graph cuando se usa Microsoft Graph PowerShell
• Módulo de PowerShell de Azure AD al usar Azure AD PowerShell
• Consentimiento del administrador al usar Probador de Graph para Microsoft Graph API

Para obtener más información, consulta Requisitos previos para usar PowerShell o Probador de Graph.

Centro de administración Microsoft Entra

1. Inicia sesión en el Centro de administración Microsoft Entra al menos como Administrador de roles con privilegios.

2. Ve aIdentidad>Grupos>Todos los grupos.

3. Selecciona Nuevo grupo.

4. En la página Nuevo grupo, indica el tipo de grupo, el nombre y la descripción.

5. Establece los roles de Microsoft Entra se pueden asignar a un grupo en Sí.

   Esta opción pueden verla los administradores con roles con privilegios, ya que este rol puede establecer esta opción.

   

6. Selecciona los miembros y propietarios del grupo. También tienes la opción de asignar roles al grupo, pero no es necesario asignar un rol aquí.

7. Selecciona Crear.

   Aparecerá el mensaje siguiente:

   La creación de un grupo al que se pueden asignar roles de Microsoft Entra es una configuración que no se puede cambiar más adelante. ¿Estás seguro de que deseas agregar esta capacidad?

   

8. Selecciona Sí.

   El grupo se crea con los roles que le hayas asignado.

PowerShell

Connect-MgGraph -Scopes "Group.ReadWrite.All"
$group = New-MgGroup -DisplayName "Contoso_Helpdesk_Administrators" -Description "Helpdesk Administrator role assigned to group" -MailEnabled:$false -SecurityEnabled -MailNickName "contosohelpdeskadministrators" -IsAssignableToRole:$true

Connect-MgGraph -Scopes "Group.ReadWrite.All"
$group = New-MgGroup -DisplayName "Contoso_Helpdesk_Administrators" -Description "Helpdesk Administrator role assigned to group" -MailEnabled:$true -SecurityEnabled -MailNickName "contosohelpdeskadministrators" -IsAssignableToRole:$true -GroupTypes "Unified"

$group = New-AzureADMSGroup -DisplayName "Contoso_Helpdesk_Administrators" -Description "Helpdesk Administrator role assigned to group" -MailEnabled $false -SecurityEnabled $true -MailNickName "contosohelpdeskadministrators" -IsAssignableToRole $true

#Basic set up
Install-Module -Name AzureAD
Import-Module -Name AzureAD
Get-Module -Name AzureAD

#Connect to Azure AD. Sign in as Privileged Role Administrator. This role can create a role-assignable group.
Connect-AzureAD

#Input variabled: Existing group
$idOfExistingGroup = "14044411-d170-4cb0-99db-263ca3740a0c"

#Input variables: New role-assignable group
$groupName = "Contoso_Bellevue_Admins"
$groupDescription = "This group is assigned to Helpdesk Administrator built-in role in Azure AD."
$mailNickname = "contosobellevueadmins"

#Create new security group which is a role assignable group. For creating a Microsoft 365 group, set GroupTypes="Unified" and MailEnabled=$true
$roleAssignablegroup = New-AzureADMSGroup -DisplayName $groupName -Description $groupDescription -MailEnabled $false -MailNickname $mailNickname -SecurityEnabled $true -IsAssignableToRole $true

#Get details of existing group
$existingGroup = Get-AzureADMSGroup -Id $idOfExistingGroup
$membersOfExistingGroup = Get-AzureADGroupMember -ObjectId $existingGroup.Id

#Copy users and service principals from existing group to new group
foreach($member in $membersOfExistingGroup){
if($member.ObjectType -eq 'User' -or $member.ObjectType -eq 'ServicePrincipal'){
Add-AzureADGroupMember -ObjectId $roleAssignablegroup.Id -RefObjectId $member.ObjectId
}
}

Microsoft Graph API

Usa la API Crear grupo para crear un grupo asignación de roles.

En este ejemplo, se muestra cómo crear un grupo asignable a roles de seguridad.

POST https://graph.microsoft.com/v1.0/groups
{
    "description": "Helpdesk Administrator role assigned to group",
    "displayName": "Contoso_Helpdesk_Administrators",
    "isAssignableToRole": true,
    "mailEnabled": false,
    "mailNickname": "contosohelpdeskadministrators",
    "securityEnabled": true
}

En este ejemplo se muestra cómo crear un grupo asignable a roles de Microsoft 365.

POST https://graph.microsoft.com/v1.0/groups
{
  "description": "Helpdesk Administrator role assigned to group",
  "displayName": "Contoso_Helpdesk_Administrators",
  "groupTypes": [
    "Unified"
  ],
  "isAssignableToRole": true,
  "mailEnabled": true,
  "mailNickname": "contosohelpdeskadministrators",
  "securityEnabled": true,
  "visibility" : "Private"
}

Para este tipo de grupo, isPublic siempre será False e isSecurityEnabled siempre será True.

Pasos siguientes

• Asignación de roles de Microsoft Entra a grupos
• Uso de grupos de Microsoft Entra para administrar asignaciones de roles
• Solución de problemas de roles de Microsoft Entra asignados a grupos