Cấu Hình Dynamic Group theo thuộc tính User

1. Portal → Microsoft Entra ID → Groups → + New group
2. Group type: Security
   Group name: GRP-AZ500-DYN-Security
   Description: Dynamic group - auto membership for Security department
   Membership type: Dynamic User   ← QUAN TRỌNG: chọn "Dynamic User"

3. Click "Add dynamic query"
4. Chọn tab "Configure rules":
   Property:  department
   Operator:  Equals
   Value:     Security
   → Click "Add expression"

5. Xem Rule syntax (tab "Advanced rule"):
   (user.department -eq "Security")

6. Click "Save" → Create

7. Chờ 5–10 phút → quay lại group → Members
   → Xác nhận az500-admin01 và az500-secops01 xuất hiện tự động

# Tạo dynamic group qua Microsoft Graph API
az rest \
  --method POST \
  --url "https://graph.microsoft.com/v1.0/groups" \
  --headers "Content-Type=application/json" \
  --body '{
    "displayName": "GRP-AZ500-DYN-Security",
    "description": "Dynamic group - auto membership for Security department",
    "groupTypes": ["DynamicMembership"],
    "mailEnabled": false,
    "mailNickname": "GRP-AZ500-DYN-Security",
    "securityEnabled": true,
    "membershipRule": "(user.department -eq \"Security\")",
    "membershipRuleProcessingState": "On"
  }'

# Lấy group ID để kiểm tra membership sau
GROUP_ID=$(az ad group show --group "GRP-AZ500-DYN-Security" --query id -o tsv)
echo "Group ID: $GROUP_ID"

1. Portal → Microsoft Entra ID → Groups → GRP-AZ500-DYN-Security
2. Overview → xem "Membership processing status"
   → Trạng thái: "Update complete" hoặc "Processing"
3. Members tab → xác nhận thành viên:
   ✓ AZ500 Admin 01    (Department: Security)
   ✓ AZ500 SecOps 01   (Department: Security)
   ✗ AZ500 Dev 01      (Department: Engineering — không khớp rule)

4. Thử click "+ Add members" → nhận thông báo:
   "Members cannot be added to a group with dynamic membership"
   → Đây là hành vi đúng — dynamic group không cho add thủ công

GROUP_ID=$(az ad group show --group "GRP-AZ500-DYN-Security" --query id -o tsv)

# Kiểm tra membership hiện tại
az ad group member list \
  --group "GRP-AZ500-DYN-Security" \
  --query "[].{Name:displayName, UPN:userPrincipalName, Dept:department}" \
  --output table

# Kiểm tra trạng thái xử lý dynamic membership qua Graph API
az rest \
  --method GET \
  --url "https://graph.microsoft.com/v1.0/groups/$GROUP_ID?select=displayName,membershipRule,membershipRuleProcessingState" \
  --query "{Name:displayName, Rule:membershipRule, State:membershipRuleProcessingState}"

{
  "Name": "GRP-AZ500-DYN-Security",
  "Rule": "(user.department -eq \"Security\")",
  "State": "On"
}

Members:
Name              UPN                                    Dept
----------------  -------------------------------------  --------
AZ500 Admin 01    [email protected]  Security
AZ500 SecOps 01   [email protected] Security

1. Portal → Microsoft Entra ID → Users → az500-dev01
2. Edit Properties → Department: đổi "Engineering" → "Security"
3. Save
4. Chờ 5–10 phút
5. Quay lại GRP-AZ500-DYN-Security → Members
   → Xác nhận AZ500 Dev 01 đã xuất hiện trong danh sách

DOMAIN=$(az ad signed-in-user show --query userPrincipalName -o tsv | cut -d'@' -f2)
USER_ID=$(az ad user show --id "az500-dev01@$DOMAIN" --query id -o tsv)

# Cập nhật Department thông qua Microsoft Graph
az rest \
  --method PATCH \
  --url "https://graph.microsoft.com/v1.0/users/$USER_ID" \
  --headers "Content-Type=application/json" \
  --body '{"department": "Security"}'

echo "Department updated. Waiting for dynamic group processing (5-10 min)..."

# Kiểm tra membership sau khi chờ
sleep 60
az ad group member list \
  --group "GRP-AZ500-DYN-Security" \
  --query "[].{Name:displayName, Dept:department}" \
  --output table

DOMAIN=$(az ad signed-in-user show --query userPrincipalName -o tsv | cut -d'@' -f2)
USER_ID=$(az ad user show --id "az500-dev01@$DOMAIN" --query id -o tsv)

# Hoàn nguyên Department về Engineering
az rest \
  --method PATCH \
  --url "https://graph.microsoft.com/v1.0/users/$USER_ID" \
  --headers "Content-Type=application/json" \
  --body '{"department": "Engineering"}'

echo "Department reverted. After 5-10 min, az500-dev01 should be removed from group."

# Xác minh sau khi chờ: group chỉ còn admin01 và secops01
az ad group member list \
  --group "GRP-AZ500-DYN-Security" \
  --query "[].{Name:displayName, Dept:department}" \
  --output table

1. Portal → GRP-AZ500-DYN-Security → Dynamic membership rules
2. Edit rule → chuyển sang tab "Advanced rule"
3. Dán rule kết hợp:

   (user.department -eq "Security") and (user.jobTitle -eq "Security Administrator")

4. Click "Validate rules" → nhập UPN của az500-admin01 → xem kết quả
5. Click "Save" → quan sát membership thay đổi (chỉ còn admin01)

Ví dụ rule phổ biến khác:
  # Tất cả user có tên chứa "az500"
  user.displayName -contains "AZ500"

  # User thuộc Security HOẶC Compliance
  (user.department -eq "Security") or (user.department -eq "Compliance")

  # User có jobTitle bất kỳ trong Security
  user.department -eq "Security" -and user.accountEnabled -eq true

DOMAIN=$(az ad signed-in-user show --query userPrincipalName -o tsv | cut -d'@' -f2)
USER_ID=$(az ad user show --id "az500-dev01@$DOMAIN" --query id -o tsv)

# Đảm bảo az500-dev01 trở về Engineering
az rest --method PATCH \
  --url "https://graph.microsoft.com/v1.0/users/$USER_ID" \
  --headers "Content-Type=application/json" \
  --body '{"department": "Engineering"}'

# Xóa dynamic group khi kết thúc khóa học
# az ad group delete --group "GRP-AZ500-DYN-Security"