什么是基于组的授权在Microsoft Entra ID中？

Microsoft付费云服务（如Microsoft 365、Enterprise Mobility + Security、Dynamics 365和其他类似产品）需要许可证。 这些许可证将分配给需要访问这些服务的每个用户。 若要管理许可证，管理员使用其中一个管理门户（Office 或Azure）和 PowerShell cmdlet。 Microsoft Entra ID是支持所有Microsoft云服务的标识管理的基础基础结构。 Microsoft Entra ID存储有关用户许可证分配状态的信息。

Microsoft Entra ID包括基于组的许可，允许向组分配一个或多个产品许可证。 Microsoft Entra ID可确保将许可证分配给组的所有成员。 将向加入该组的任何新成员分配适当的许可证。 在这些成员离开组时，将删除相应的许可证。 使用此许可管理功能后，将不再需要通过 PowerShell 自动执行许可证管理以反映每个用户的组织和部门结构变化。

许可要求

对于受益于基于组的许可的每个用户，你必须具有以下许可证之一：

• Microsoft Entra ID P1 及以上版本的付费或试用订阅。

• Microsoft 365 Business Premium 或 Office 365 Enterprise E3 或 Office 365 A3 或 Office 365 GCC G3 或适用于 GCCH 或 DOD 的 Office 365 E3 付费版或试用版及更高版本。

所需许可证数

对于分配了许可证的任何组，你还必须具有用于每个唯一成员的许可证。 虽然不是必须为组的每个成员分配一个许可证，但是你必须至少具有足够的许可证来包括所有成员。 例如，如果你的租户中经许可的组有 1,000 个唯一成员，则必须至少具有 1,000 个许可证才满足许可协议。

功能

以下是基于组的许可的主要功能：

• 可以将许可证分配给Microsoft Entra ID中的任何安全组。 可以使用 Microsoft Entra Connect 从本地同步安全组。 还可以直接在Microsoft Entra ID（也称为仅限云的组）中创建安全组，也可以通过 Microsoft Entra 动态组功能自动创建安全组。

• 将产品许可证分配到组时，管理员可以禁用产品中的一个或多个服务计划。 通常，在组织尚未准备好开始使用产品中包含的服务时会执行此分配。 例如，管理员可能会向部门分配Microsoft 365，但暂时禁用 Yammer 服务。

• 支持需要用户级许可的所有 Microsoft Cloud 服务。 此支持包括所有Microsoft 365产品、Enterprise Mobility + Security和Dynamics 365。

• 基于组的许可目前可通过 Microsoft管理中心 用户界面获得。 API 和 PowerShell 访问仍受支持。

• Microsoft Entra ID自动管理组成员身份更改导致的许可证修改。 通常，在组成员身份发生更改时，许可证修改在几分钟内就会生效。

• 用户可以是指定了许可证策略的多个组的成员。 用户也可以拥有一些直接分配的许可证，而不是通过用户组分配的。 生成的用户状态是所有已分配产品和服务许可证的组合。 如果为用户分配了来自多个源的同一许可证，则该许可证将仅使用一次。

• 在某些情况下，无法向用户分配许可证。 例如，租户中可能没有足够的可用许可证，或者可能同时分配了冲突的服务。 管理员有权访问Microsoft Entra ID无法完全处理组许可证的用户的信息。 然后，可以根据这些信息采取纠正措施。

我们欢迎反馈！

如果你有反馈或功能请求，请使用 Microsoft Entra 管理员论坛与我们共享。

后续步骤

若要详细了解通过基于组的许可进行许可证管理的其他方案，请参阅：

• Microsoft Entra基于组的许可附加方案
• 授权 PowerShell 示例