無成員的群組

建立無成員的群組未必是不當做法，它是否有作用仍需取決於具體使用案例與組織需求。然而，出於以下幾個原因，需要謹慎建立或避免建立無成員的群組：

團隊可能很難確定無成員群組的用途，導致浪費時間且效率不彰。
安全隱患：若已為群組指派權限，可能會無意間讓之後新增的使用者獲得已忘記或非預期的存取權。
原則合規性：在合規性稽核期間，無成員群組可能會觸發警示或遭標記為有問題。
未使用的資源：未使用的群組會造成混亂，因此為了保持效率需要進行清理。

在特定情境下，無成員群組可能確實有用處，例如作為預留位置以供未來使用，或用於更廣泛的角色型存取控制 (RBAC) 策略。在 RBAC 策略中，會為了延展性而預先定義群組。

單一成員群組

擁有只有一名成員的群組通常屬於不當做法。為單一使用者建立群組會帶來不必要的複雜性並造成冗餘。群組用於整合具有類似權限的使用者，以簡化存取權管理，但只有一名成員的群組與此目的相悖，導致管理效率不佳。相反地，依類似的使用者分組可提高效率並簡化管理。
在特定情境下，可能會需要只有一名使用者的群組，尤其是為了滿足更廣泛角色型存取控制 (RBAC) 策略的特定目的時。

自訂安全設定檔

Active Directory 或其他產品會在部署期間建立特定群組。即使這些群組看起來未使用，也不要刪除。為減少誤報，此曝險指標會自動略過以下常見產品的群組：

內建群組：objectSID 屬性開頭為「S-1-5-32-」的群組。
AD 特定群組：objectSID 屬性開頭為「S-1-5-21-」且結尾的 RID 大於或等於 1000 的群組，以及其他「DnsAdmins」和「DnsUpdateProxy」群組。
Exchange 群組：名稱為「合規性管理」、「委派設定」、「探索管理」、「Exchange 安裝網域伺服器」、「Exchange 受信任子系統」、「Exchange Windows 權限」、「ExchangeLegacyInterop」、「支援人員」、「檢疫管理」、「組織管理」、「公用資料夾管理」、「收件者管理」、「記錄管理」、「安全性系統管理員」、「安全性讀取者」、「伺服器管理」、「系統受管理的帳戶群組」、「整合通訊管理」和「僅供檢視組織管理」。
Entra ID Connect 群組：「ADSyncAdmins」、「ADSyncOperators」、「ADSyncBrowse」和「ADSyncPasswordSet」。

您可以使用專用選項「群組白名單」來略過其他群組。相反地，您也可以啟用「強制分析預設略過的群組」選項，以強制分析曝險指標 (IoE) 預設略過的群組。
根據預設，群組中的已停用使用者會計入成員人數。不過，您可以使用「保留停用的帳戶」選項，篩選掉這類成員。例如，如果我的群組有兩名已停用的使用者：

根據預設，曝險指標 (IoE) 不會偵測到異常情況。
如果您停用「保留停用的帳戶」選項，曝險指標 (IoE) 會將群組標記為「無成員的群組」異常情況。
限制：
此曝險指標 (IoE) 不會計入透過主要群組 (PGID) 加入群組的使用者。Microsoft Entra Connect 也有類似的限制。請將這些使用者明確指派為群組成員，並還原預設 PGID (例如「網域使用者」)。如果此作法不可行，則將他們加入白名單。

偵測

非必要群組

low

說明

解決方案

指標詳細資料