tos-akibaのブログ

主に Microsoft 365 Security について

Azure AD 動的グループで入れ子(ネスト)グループを含む

Azure AD の動的グループにおいて、他のセキュリティグループや M365 グループを含む入れ子(ネスト)のグループ作成が、パブリックプレビューになりました。
Azure AD 動的グループで入れ子 (ネスト) グループを作成する | Japan Azure Identity Support Blog

上記リンク先の図の通り、例えば Xグループ、Yグループを含んだ動的グループA を作成すると、X、Y の各グループのメンバーを含めたグループA が作成できます。

 

ただし、memberOf 属性にもとづいて各グループからメンバーが集約されるので、グループ直下のフラットなメンバーがリストされますが、グループに含まれていたグループの中のメンバーは集約されません。

つまり、先の Xグループ、Yグループの中に、X3グループ、Y3グループが含まれていた場合、それらの下のメンバーは グループA には入りません。

これは、以下の docs の図と説明を見た方が理解し易いと思います。

memberOf を使用した Azure AD 動的グループのグループ メンバーシップ - Azure AD - Microsoft Entra | Microsoft Docs