空组

虽然创建空组可能并不总是和“不良做法”划等号，但其实用性取决于具体的使用案例和组织要求。然而，谨慎操作或避免空组的原因如下：

团队可能无法确定空组的用途，导致时间浪费和效率低下。
安全影响：如果将权限分配给组，稍后添加的用户可能会无意中继承被忘记或意外的访问权限。
策略合规性：在合规性审查期间，空组可能会触发警报或标记问题。
未使用的资源：未使用的组会造成混乱，因此必须进行清除以保持效率。

在某些情况下，空组的存在可能是合理的，例如作为占位符以供未来使用或作为更广泛的基于角色的访问控制 (RBAC) 策略的一部分，其中组是为了扩展性而预定义的。

单成员组

组中只有一名成员被认为是一种不良做法。为单个用户创建组会增加不必要的复杂性和冗余。组的目的在于通过合并具有相似权限的用户来简化访问管理。单成员组无法实现此目的，会导致管理效率低下。相反，将相似用户进行分组可以提高效率并简化管理。
在某些情况下，可能需要只有一个用户的组，特别是当它在更广泛的基于角色的访问控制 (RBAC) 策略中用于特定目的时。

安全配置文件自定义

在部署过程中，Active Directory 或其他产品会创建某些组。请勿删除这些组，即使显示的状态为未使用。为减少误报，此风险暴露指标会自动忽略以下常见产品中的组：

内置组：带 objectSID 属性以“S-1-5-32-”开头的组。
AD 特定组：带 objectSID 属性以“S-1-5-21-”开头并以 RID 大于或等于 1,000 结束的组，以及附加组“DnsAdmins”和“DnsUpdateProxy”。
Exchange 组：名为“Compliance Management”、“Delegated Setup”、“Discovery Management”、“Exchange Install Domain Servers”、“Exchange Trusted Subsystem”、“Exchange Windows Permissions”、“ExchangeLegacyInterop”、“Help Desk”、“Hygiene Management”、“Organization Management”、“Public Folder Management”、“Recipient Management”、“Records Management”、“Security Administrator”、“Security Reader”、“Security Reader”、“Server Management”、“System Managed Accounts Group”、“UM Management”和“View-Only Organization Management”的组。
Entra ID Connect 组：“ADSyncAdmins”、“ADSyncOperators”、“ADSyncBrowse”和“ADSyncPasswordSet”。

您可以使用专用选项“组白名单”忽略其他组。相反，您也可以启用“对默认忽略的组强制执行分析”选项，以对 IoE 默认忽略的组强制执行分析。
默认情况下，组中已禁用的用户包含在成员数量中。不过，您可以使用“保留禁用的帐户”选项来筛除这些帐户。例如，如果 MyGroup 有两个禁用的用户：

默认情况下，IoE 不会检测到异常行为。
如果您禁用“保留禁用的帐户”选项，IoE 会将该组标记为“空组”异常行为。
限制：
此 IoE 不会通过主要组 (PGID) 对属于组的用户进行计数。Microsoft Entra Connect 设有类似的限制。明确将这些用户分配为组的成员，并恢复其默认 PGID（例如“域用户”），或者在不可能的情况下将其列入白名单。

检测

非必要组

low

描述

解决方案

指标详细信息