Entra ID – Grupos Dinâmicos de Dispositivos (Device Groups)

Os grupos dinâmicos no Microsoft Intune são ferramentas essenciais para a gestão moderna de dispositivos e usuários, oferecendo uma automação inteligente que simplifica processos e aumenta a eficiência operacional. Ao utilizar regras predefinidas, esses grupos permitem a inclusão automática de dispositivos e usuários com base em critérios específicos, como tipo de dispositivo, localização, sistema operacional ou atributos do usuário.

Neste artigo, explorarei em detalhes as propriedades dos grupos dinâmicos, como configurá-los de maneira estratégica e como aproveitar ao máximo suas funcionalidades para otimizar a gestão de dispositivos corporativos. Além disso, discutirei boas práticas para garantir que a implementação desses grupos contribua para uma infraestrutura mais segura, ágil e alinhada às necessidades da organização.

O que são Grupos Dinâmicos?

Grupos dinâmicos são coleções de dispositivos ou usuários organizadas automaticamente com base em atributos ou regras criadas pelo administrador. O Microsoft Entra ID avalia continuamente esses atributos para garantir que os membros corretos estejam associados aos grupos, adaptando-se automaticamente às alterações no ambiente.

Esses grupos permitem:

• Automatização: Reduz a necessidade de intervenções manuais ao organizar dispositivos com base em regras específicas.
• Aplicação direcionada de políticas: Como configurações de segurança, conformidade e distribuição de aplicativos.
• Escalabilidade: Facilita a administração de grandes ambientes corporativos, segmentando dispositivos por localização, departamento ou tipo. Propriedades de Dispositivos para Regras Dinâmicas

Como Criar Grupos Dinâmicos?

Irei ensinar a criar grupos dinâmicos pelo Intune, a seguir, apresento um guia detalhado para criar grupos dinâmicos no Microsoft Intune e este mesmo procedimento pode ser aplicado no portal do Microsoft Entra.

• No portal do Intune, vá até o menu lateral esquerdo e clique em Grupos.
• Em seguida, selecione Novo Grupo.
• Tipo de Grupo: Escolha a opção Segurança.
• Nome do Grupo: Insira um nome que identifique claramente o propósito do grupo, como por exemplo: GS – Dispositivos Desativados.
• Descrição do Grupo (Opcional): Adicione uma descrição para facilitar a identificação futura.
• No campo Tipo de Associação, escolha a opção Dispositivo Dinâmico.
• Clique em Adicionar consulta dinâmica para configurar as regras que determinarão quais dispositivos serão adicionados automaticamente ao grupo.

Criando Regras Dinâmicas

As regras dinâmicas para dispositivos no Microsoft Intune são uma ferramenta essencial para o gerenciamento automatizado dos dispositivos. Com um limite de 15.000 grupos de associação dinâmica por locatário, este recurso oferece uma maneira eficiente de organizar e gerenciar dispositivos em larga escala.

Nota: Não há segredos na criação de grupos. O diferencial está nas regras e quando configuradas corretamente e aplicadas com outras propriedades, elas eliminam a necessidade de gerenciamento manual de grupos de dispositivos.

Cada propriedade é uma ferramenta poderosa para criar regras específicas que atendam às necessidades da organização.

Mas antes disso, você precisa entender o que cada operador faz e a sua importância. Os operadores definem como as propriedades serão avaliadas:

Tabela de Operadores Dinâmicos no Microsoft Entra ID

Abaixo, exploramos as principais propriedades, com exemplos e aplicações práticas. Para saber em detalhes recomendo a leitura do Learn.

Device.accountEnabled – Dispositivos Ativos/Desativados

Essa propriedade indica que o dispositivo está ativado (true) ou desativado (false). Dispositivos Ativados são aqueles que permanecem registrados no Microsoft Intune e têm acesso normal aos recursos corporativos, como aplicativos, dados e serviços, desde que estejam em conformidade com as políticas de segurança e configuração estabelecidas. Em contrapartida, Dispositivos Desativados são os que foram removidos do gerenciamento ativo pelo Intune, e a desativação implica na revogação de acesso aos recursos corporativos. Este status é geralmente aplicado quando um dispositivo é perdido, roubado ou não é mais necessário para uso corporativo, etc.

• Exemplos: Incluir dispositivos ativos ao grupo dinâmico.

(device.accountEnabled -eq true)

• Incluir dispositivos desativados no grupo dinâmico.

(device.accountEnabled -eq false)

Valide se a regra está funcionando ao adicionar dispositivos manualmente. Dessa forma, é possível verificar o comportamento da regra antes mesmo de criar o grupo dinâmico, garantindo que os critérios definidos estão corretos e que os dispositivos são incluídos conforme esperado.

Este atributo pode e deve ser utilizado em conjunto com outras propriedades para criar regras dinâmicas mais específicas e garantir uma gestão eficiente dos dispositivos no ambiente corporativo.

ObjectID – O Identificador Único do Dispositivo

Identificador único do dispositivo no Microsoft Entra ID. Ele é gerado automaticamente quando o dispositivo é registrado no diretório. Cada dispositivo possui seu próprio objectId intransferível.

Para obter o objectId, acesse Enra ID>> Dispositivos >> Selecione o dispositivo desejado >> Propriedades, e procure pelo campo Object ID.

Exemplo de uso:

• Incluir somente um dispositivo específico (não recomendado para um grupo sozinho, mas pode ser útil em combinações): (device.objectId -eq “xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx”)
• Excluir um dispositivo de uma regra geral: Aqui, todos os dispositivos Windows entram na regra, exceto o que tiver esse ObjectId específico.

(device.deviceOSType -eq "Windows") -and (device.objectId -ne "xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx")

Nota Evite criar grupos dinâmicos baseados apenas em objectId, pois isso não tira proveito do conceito de “dinâmico”. Use em conjunto com outras condições.

DisplayName – Nome de Exibição

Nome de exibição associado ao dispositivo, visível no Microsoft Intune e no Microsoft Entra ID (anteriormente Azure AD). Essa identificação pode ser configurada manualmente durante o processo de registro ou definida pelo administrador. O nome serve como um identificador amigável para facilitar a gestão e a localização do dispositivo em ambientes corporativos, podendo ser alterado posteriormente conforme necessário.

Exemplo de Uso

• Filtrar por prefixo: Exemplo, dispositivos do departamento Financeiro (device.displayName -startsWith “Financeiro-“).
• Filtrar por conteúdo (ex.: localizar dispositivos que contenham “SP” no nome): (device.displayName -contains “SP”)

Nota: Se a sua empresa não possui padrão de nomenclatura de dispositivos, considere criar um. Isso torna esse atributo muito mais útil.

Para segmentar dispositivos no Microsoft Intune, utilize convenções de nomenclatura como “Marketing-XXX” ou “Fin-YYY”, permitindo agrupar dispositivos por departamentos ou localizações. Configure grupos dinâmicos no Microsoft Entra ID com regras baseadas no atributo device.displayName para automatizar a associação.

Essa abordagem facilita a aplicação de políticas específicas e a organização eficiente, reduzindo esforço manual e erros.

isRooted – “Detectando Dispositivos Comprometidos”

Essa propriedade verifica se o dispositivo está “rootado” (Android) ou “jailbroken” (iOS). Dispositivos nessas condições são considerados comprometidos, pois rompem restrições de segurança do sistema operacional.

Exemplo de Uso

• Garantir segurança ao excluir dispositivos comprometidos de grupos que recebem dados sensíveis ou têm acesso irrestrito a recursos corporativos.

(device.isRooted -eq false)

Inclui apenas dispositivos não rootados/jailbroken. Este atributo é reportado principalmente quando o dispositivo está gerenciado via Intune (MDM). Dispositivos não gerenciados podem não ter essa propriedade preenchida. Sempre verifique se sua política de MDM está configurada para detectar jailbreak/root.

DeviceOSType – Sistema Operacional

O deviceOSType informa qual sistema operacional está em execução no dispositivo. Este dado é determinado automaticamente durante o processo de registro ou de gerenciamento (via Intune ou outro MDM compatível), de modo que cada dispositivo se identifique com o valor correspondente a seu SO.

Exemplos de valores comuns:

• "Windows"
• "iOS"
• "Android"
• "macOS"
• "Windows Holographic" (por exemplo, no caso do Hololens)
• "Linux"

Exemplos de Uso

Exemplo 1: Criar um grupo para Android apenas: (device.deviceOSType -eq "Android")
Isso significa que todos os dispositivos com deviceOSType = "Android" entrarão nesse grupo. Útil para aplicar, por exemplo, políticas de segurança mobile específicas.

Exemplo 2: Criar um grupo para iOS: (device.deviceOSType -eq "iOS")
Observação: dependendo da versão, iPadOS também pode aparecer como “iOS”. Verifique seu ambiente para confirmar como o Intune identifica dispositivos iPad.

Exemplo 3: MacOS e Windows juntos, mas excluindo Windows Holographic. Aqui, incluímos apenas dispositivos macOS e Windows “comuns”, deixando de fora HoloLens ou qualquer outro Windows Holographic.

(device.deviceOSType -eq "Windows") or (device.deviceOSType -eq "macOS") and (device.deviceOSType -ne "Windows Holographic")

Cada sistema operacional pode receber políticas diferentes (por exemplo, configurações de VPN, restrições de segurança, perfis de Wi-Fi etc.). No Intune, é comum criar Perfis de Configuração específicos para Windows, iOS/iPadOS, Android, macOS, etc. Um grupo dinâmico segmentado por SO garante que apenas dispositivos compatíveis recebam as configurações correspondentes, evitando erros de distribuição.

DeviceCategory – Categoria Atribuída ao Dispositivo

Categoria definida no Intune para classificar dispositivos, como “RH”, “Operação”, etc. Pode ser usado para diferenciar rapidamente dispositivos de trabalho e pessoais, ou outras classificações que a empresa adotar.

Para criar categorias é simples: Intune >> Dispositivos >> Categoria de Dispositivo >> Criar categoria de Dispositivo

No Intune >> Dispositivos >> Selecione a Plataforma >>Selecione o dispositivo >> Gerenciar >> Propriedades, procure o campo Categoria de dispositivo.

Exemplo de Uso: Filtrar apenas dispositivos categorizados como Garçom: (device.deviceCategory -eq “Desenvolvimento”)

DeviceManufacturer — Fabricante do Dispositivo

O uso correto de deviceManufacturer simplifica a gestão de ambientes complexos e multiforncedores. Priorize a validação dos dados antes de criar regras e utilize operadores lógicos (-contains, -startsWith) para flexibilidade. Revise periodicamente os grupos dinâmicos para garantir alinhamento com as mudanças no inventário de dispositivos.

Campo que armazena o nome do fabricante do dispositivo, como “Dell”, “HP”, “Samsung”, “Apple”, “Lenovo”, entre outros.

Exemplo de Fabricantes:

• Dell Inc.
• HP Inc.
• Samsung Electronics

Exemplo de Uso: Criar um grupo dinâmico para todos os dispositivos Dell.

(device.deviceManufacturer -eq "Dell Inc.")

Use consultas como -contains "Dell" ou -startsWith "HP" para abranger variações.

(device.deviceManufacturer -startsWith "Dell")  

DeviceModel – Modelo do Dispositivo

O modelo exato do dispositivo (deviceModel) é uma informação capturada automaticamente pelo Intune durante o registro. Exemplos de modelos de dispositivos da Dell: Vostro 15 3510, Latitude 3540.

Exemplo de Uso

(device.deviceModel -eq "Vostro 15 3510")  

Usar essa propriedade é muito útil para segmentar configurações que dependem de hardware específico ou para facilitar a gestão de seu ambiente.

DeviceOwnership — Proprietário: Empresa ou Usuário?

Indica se o dispositivo é propriedade da empresa (Company) ou pessoal (Personal). Muitas vezes confundido com deviceCategory, mas aqui se trata do Ownership definido pelo Intune.

Exemplo de Uso:
Criar um grupo apenas para dispositivos corporativos (device.deviceOwnership -eq “Company”).

O atributo ownerType identifica o tipo de propriedade de um dispositivo, indicando se ele pertence à empresa, ao usuário final (pessoal) ou se as informações de propriedade são desconhecidas. Abaixo estão os possíveis valores e seus significados:

• Empresa (Company) – O dispositivo é de propriedade da organização e gerenciado como um ativo corporativo.
• Pessoal (Personal) – O dispositivo é de propriedade do usuário (BYOD – Bring Your Own Device) e geralmente está sob gerenciamento limitado.
• Desconhecido (Unknown) – Não há informações disponíveis sobre a propriedade do dispositivo, podendo indicar uma configuração incompleta ou falta de dados sincronizados.

Muito útil em conjunto com deviceCategory para classificações ainda mais granular, ou aplicar configurações diferentes em dispositivos BYOD vs. corporativos.

ManagementType – Tipo de Gerenciamento (MDM)

O campo ManagementType indica como um dispositivo está sendo gerenciado dentro da infraestrutura de TI de uma organização. Ele pode assumir valores como:

• MDM (Mobile Device Management): Dispositivo gerenciado por uma solução de gerenciamento, como o Microsoft Intune, que permite controle total sobre configurações, políticas e segurança.
• None: Dispositivo apenas registrado, sem gerenciamento ativo, ou seja, sem políticas aplicadas.

Este atributo é crucial para determinar se um dispositivo está sob gerenciamento completo (fully managed) ou apenas registrado para acesso básico. Isso ajuda a diferenciar dispositivos corporativos totalmente controlados daqueles que possuem apenas permissões limitadas.

(device.managementType -eq "MDM")

Em resumo, o atributo managementType identifica como o dispositivo está sendo gerenciado dentro do ambiente corporativo. Ele pode apresentar valores como “MDM”, indicando que o dispositivo está sob gerenciamento ativo por uma solução de Gerenciamento de Dispositivos Móveis (Microsoft Intune), ou “None”, que significa que o dispositivo está apenas registrado, sem gerenciamento ativo. Esse atributo é essencial para garantir que políticas e configurações sejam aplicadas exclusivamente a dispositivos sob gestão ativa, protegendo os dados corporativos e mantendo a conformidade com as diretrizes da organização.

OrganizationalUnit – OU de Origem (AD Local)

Apesar de estar disponível para uso, a Microsoft não recomendo o uso. O atributo organizationalUnit não é recomendado para uso em regras de associação dinâmica. Ele não está mais listado como uma propriedade suportada e, embora seja definido pelo Intune em alguns casos específicos, não é reconhecido pelo Microsoft Entra ID. Isso significa que dispositivos não serão adicionados a grupos dinâmicos com base nesse atributo.

Saiba no site oficial da Microsoft. Em resumo, não utilize, há outras propriedades que podem ser utilizadas.

DeviceId – ID Interno do Dispositivo

O DeviceId é um identificador global exclusivo (GUID) atribuído a cada dispositivo registrado no Microsoft Intune. O DeviceId é gerado automaticamente quando um dispositivo é registrado no Intune e vinculado ao Microsoft Entra ID. Ele garante que cada dispositivo tenha uma identidade exclusiva no sistema.

Nota: Geralmente não se faz um grupo só por deviceId, mas sim combina com outros atributos. Embora útil, o DeviceId não deve ser usado isoladamente para gerenciamento contínuo. Combine-o com outros atributos, como por exemplo deviceTrustType, para uma abordagem mais robusta.

O Device ID corresponde ao campo “ID do dispositivo do Intune”, que é exibido como um GUID (Identificador Global Único). No caso da imagem abaixo, o valor é: ID do dispositivo do Microsoft Entra 8ed5e8de-13a8-43a9-aaea-695f32756c36.

Exemplo de uma regra dinâmica:

(device.deviceId -eq "8ed5e8de-13a8-43a9-aaea-695f32756c36")

DevicePhysicalIds – Identificadores Físicos (Número de Série etc.)

Com base no print fornecido, o atributo DevicePhysicalIds é utilizado para armazenar valores de identificação relacionados a dispositivos, especialmente em cenários de gerenciamento com o Windows Autopilot. Esses identificadores são representados como cadeias de caracteres e podem incluir informações como:

• PurchaseOrderID: Similar ao OrderID, mas mais diretamente vinculado a ordens de compra específicas.
• ZTDId (Zero Touch Deployment ID): Um identificador usado para dispositivos registrados no Autopilot, facilitando a implantação automática sem intervenção manual.
• OrderID: Um número associado a pedidos ou lotes de dispositivos adquiridos, permitindo rastrear dispositivos específicos com base em sua origem ou compra.

Mas o que é mais comumente usado é o ZTDId ara pré-configurar dispositivos durante o registro.

device.devicePhysicalIDs -any _ -startsWith "[ZTDId]"

SystemLabels – Rótulos Atribuídos pelo Sistema

O systemLabels é um atributo de somente leitura no Microsoft Entra ID (Azure AD) e Intune, usado para classificar dispositivos com base em seu contexto de gerenciamento ou associação a serviços específicos da Microsoft. Ele é atribuído automaticamente pela plataforma e não pode ser modificado manualmente por administradores.

Principais Características:

• Gerenciado pela Microsoft: Valores são definidos internamente com base no uso de serviços como:
  1. Microsoft Managed Desktop (M365Managed)
  2. Windows 365 Cloud PC (CloudPC)
  3. Azure Virtual Desktop (AzureVirtualDesktop)
• Finalidade: Automatizar a categorização de dispositivos para simplificar políticas e relatórios.

É comumente utilizados em cenários como: Separar, por exemplo, Cloud PCs (Windows 365) ou AVD (Azure Virtual Desktop) de dispositivos físicos.

Exemplos de uso prático:

• Grupo para Dispositivos do Microsoft Managed Desktop

(device.systemLabels -contains "M365Managed")

• Grupo para Windows 365 Cloud PCs

(device.systemLabels -contains "CloudPC")

• Grupo para Azure Virtual Desktop

(device.systemLabels -contains "AzureVirtualDesktop")

DeviceTrustType – Nivel de Confiança e Registro do Dispositivo

O deviceTrustType define como um dispositivo é registrado ou ingressado no Microsoft Entra ID, refletindo seu nível de confiança e integração com a infraestrutura corporativa. Os tipos são:

• AzureAD: Dispositivos registrados diretamente no Microsoft Entra ID, gerenciados via Intune.
• ServerAD: Dispositivos que fazem parte de um domínio Active Directory local e são sincronizados com o Microsoft Entra ID.
• Workplace: Dispositivos pessoais de funcionários. Registrados com acesso mais limitado (por exemplo, apenas e-mail corporativo ou algumas aplicações específicas).

Exemplo: Esse filtro AzureAD retorna todos os dispositivos registrados diretamente no Microsoft Entra ID, são os dispositivos totalmente gerenciados pelo Intune.

(device.deviceTrustType -eq "AzureAD")

ProfileType – Classificando o Tipo de Perfil

O profileType descreve o tipo de perfil associado ao dispositivo. Refere-se ao tipo de perfil do dispositivo e é utilizado para categorizar dispositivos com base em sua finalidade ou configuração.

O atributo device.profileType pode ser usado em filtros dinâmicos e regras personalizadas no Intune para categorizar e aplicar políticas específicas aos dispositivos com base no seu tipo. Os valores possíveis para este atributo são:

• RegisteredDevice: Este é o valor padrão atribuído a dispositivos registrados no Intune. Ele abrange a maioria dos dispositivos gerenciados, incluindo laptops, desktops, tablets e smartphones. Esses dispositivos geralmente pertencem a usuários específicos e são configurados para uso individual.
• SecureVM: Refere-se a máquinas virtuais que possuem configurações de segurança avançadas. Este tipo é comum em ambientes onde máquinas virtuais são usadas para trabalho remoto ou testes em ambientes isolados.
• Printer: Este valor é usado para classificar dispositivos que funcionam como impressoras dentro da organização. Ele ajuda a diferenciar impressoras dos dispositivos tradicionais, facilitando sua gestão.
• Shared: Dispositivos compartilhados são aqueles configurados para serem utilizados por múltiplos usuários. Eles são comuns em ambientes como escolas, hospitais ou fábricas, onde o mesmo dispositivo é acessado por diferentes pessoas.

Por exemplo: Isso criará um grupo contendo todos os dispositivos totalmente registrados no Intune.

device.profileType -eq "RegisteredDevice"

DeviceManagementAppId – Identificando o Aplicativo de Gerenciamento

O atributo deviceManagementAppId é uma propriedade que identifica o ID do aplicativo MDM (Mobile Device Management) associado ao gerenciamento do dispositivo no Microsoft Intune ou em soluções cogerenciadas. Ele é utilizado para distinguir dispositivos gerenciados pelo Intune ou pelo System Center Configuration Manager (SCCM) em cenários de cogestão.

Os 2 valores comuns para este atributo são:

• 0000000a-0000-0000-c000-000000000000: Indica que o dispositivo é gerenciado exclusivamente pelo Microsoft Intune.
• 54b943f8-d761-4f8d-951e-9cea1846db5a: Indica que o dispositivo está em um estado de cogestão, gerenciado tanto pelo Microsoft Intune quanto pelo SCCM.

Filtrar dispositivos gerenciados pelo Intune: Este filtro retorna todos os dispositivos que estão sob gerenciamento exclusivo do Intune.

device.deviceManagementAppId -eq "0000000a-0000-0000-c000-000000000000"

Filtrar dispositivos cogerenciados (Intune + SCCM): Este filtro retorna dispositivos que utilizam a cogestão entre o Intune e o SCCM.

device.deviceManagementAppId -eq "54b943f8-d761-4f8d-951e-9cea1846db5a"

Com o uso adequado do deviceManagementAppId, é possível gerenciar e monitorar dispositivos corporativos com maior eficiência, garantindo conformidade e segurança no ambiente corporativo.

ExtensionAttribute1 – Personalização e Flexibilidade

O atributo extensionAttribute1, assim como outros atributos de extensão, é um campo personalizável que pode ser usado para armazenar informações específicas sobre dispositivos ou usuários no Active Directory (AD) ou no Microsoft Entra ID (antigo Azure AD). Ele é sincronizado para a nuvem, permitindo que administradores filtrem, organizem e gerenciem dispositivos ou usuários com base nesses valores.

Com base no valor do extensionAttribute1, você pode criar grupos dinâmicos automaticamente.

(device.extensionAttribute1 -eq "Diretoria")

Agora, todos os dispositivos com extensionAttribute1 definido como “Diretoria” serão adicionados automaticamente ao grupo.

Existem inúmeros cenários que podem ser atendidos fazendo combinações (combos) dessas propriedades de dispositivos. Assim, você obtém filtros muito mais assertivos e adequados à realidade da sua organização!

Chegamos ao final deste artigo! Agora é a sua vez: conte pra gente qual dessas propriedades você mais utiliza nos grupos dinâmicos. Compartilhe suas experiências, dúvidas e ideias nos comentários e participe dessa jornada conosco!