Przewodnik po jednostkach administracyjnych w Microsoft Entra

By Mirko Peters · 2026-04-30 · Updated 2026-07-18

Poznaj jednostki administracyjne w Microsoft Entra z praktycznymi wskazówkami dotyczącymi zabezpieczeń, zarządzania, kontroli dostępu, wdrażania i zastosowań w praktyce.

Automatically translated with AI from the original post. Read the English original

Jeśli zarządzasz dużą organizacją korzystającą z Microsoft 365 lub Azure, sprawy mogą szybko wymknąć się spod kontroli. Jednostki administracyjne (w skrócie AU) w Microsoft Entra ID działają jak koordynatorzy osiedlowej straży sąsiedzkiej w cyfrowych ulicach Twojej dzierżawy. Pomagają podzielić bazę użytkowników tak, abyś mógł przyznać lokalnym administratorom dokładnie tyle kontroli, ile potrzebują do zarządzania swoim obszarem, a nie całym miastem.

To duży krok naprzód dla organizacji, które chcą pogodzić bezpieczeństwo, zgodność z przepisami i wydajność. Zamiast jednakowych uprawnień administracyjnych dla wszystkich, jednostki AU zapewniają, że właściwe osoby zarządzają właściwymi użytkownikami – ani więcej, ani mniej. Czytając dalej, zobaczysz, czym jednostki AU różnią się od grup i klasycznych jednostek organizacyjnych (OU) oraz jak ułatwiają pracę, zachowując jednocześnie ścisły nadzór nad zarządzaniem. Niezależnie od tego, czy szukasz lepszego zakresu ról, segmentacji dzierżawy, czy po prostu mniejszego chaosu, zrozumienie jednostek administracyjnych w Entra ID jest warte Twojego czasu.

Czym jest jednostka administracyjna w Microsoft Entra ID?

Jednostki administracyjne (AU) w Microsoft Entra ID to specjalne kontenery przeznaczone do porządkowania na dużą skalę. Traktuj je jako cyfrowe granice: możesz przypisać administratorów do tych granic, tak aby zarządzali wyłącznie użytkownikami lub grupami znajdującymi się w obrębie danego ogrodzenia.

Po utworzeniu jednostki AU możesz delegować uprawnienia administracyjne, na przykład Administrator użytkowników lub Administrator pomocy technicznej, wyłącznie dla osób lub grup należących do tej jednostki. Dzięki temu lokalne zespoły IT koncentrują się na własnych pracownikach, bez zaglądania wszędzie indziej. Chodzi o decentralizację kontroli, ale bez otwierania wszystkich drzwi naraz.

Jest to szczególnie pomocne w dużych lub złożonych organizacjach – szkołach, korporacjach międzynarodowych, agencjach rządowych – gdzie nie chcesz, aby administrator z New Jersey resetował hasła użytkownikom w Tokio. Wyznaczasz mu wyraźny zakres, a każdy pozostaje w swoim pasie ruchu.

W przeciwieństwie do tradycyjnych jednostek OU w lokalnym Active Directory, jednostki AU istnieją wyłącznie w chmurze Microsoft i służą przede wszystkim do określania zakresu uprawnień administracyjnych. Nie są również tym samym co grupy zabezpieczeń czy grupy Microsoft 365, które służą głównie do kontrolowania dostępu do aplikacji i zasobów, a nie do uprawnień administracyjnych. Najważniejszy wniosek? Jednostki AU pomagają zarządzać tym, „kto może zarządzać czym”, bezpośrednio w dzierżawie chmurowej, zapewniając precyzyjniejszą i bezpieczniejszą administrację.

Jak jednostki administracyjne Azure różnią się od grup i jednostek OU

• Jednostki administracyjne (AU): Przeznaczone do delegowanej administracji. Ograniczają role administracyjne do określonych użytkowników i grup w obrębie jednostki AU, ale nie przyznają uprawnień dostępu do zasobów, takich jak pliki czy skrzynki pocztowe.
• Grupy: Służą do przydzielania dostępu do aplikacji i zasobów (np. Teams, SharePoint, licencjonowanie). Grupy nie ograniczają ani nie definiują granic administracyjnych – wyznaczają jedynie członkostwo w celu nadawania uprawnień lub dystrybucji.
• Jednostki organizacyjne (OU): Pojęcie z lokalnego Active Directory, służące do hierarchicznego organizowania obiektów (użytkowników, komputerów) na potrzeby stosowania zasad grupy. Nie są przeznaczone do delegowania w chmurze ani w Microsoft 365; nie mają bezpośredniego odpowiednika w Entra ID.

Krótko mówiąc: jednostek AU używaj do zakresu uprawnień administracyjnych, grup do dostępu, a jednostek OU do organizacji lokalnej – wybierz narzędzie odpowiednie do zadania.

Wdrażanie jednostek administracyjnych: kluczowe scenariusze dla Microsoft 365

Gdy środowisko Microsoft 365 obejmuje wiele krajów, działów lub stref zgodności, jeden centralny zespół administratorów nie wystarczy. Tu właśnie pojawiają się jednostki administracyjne, które pozwalają ukształtować zarządzanie złożonymi konfiguracjami bez utraty kontroli – lub zdrowego rozsądku.

Jednostki administracyjne pozwalają rozdzielić uprawnienia w odpowiedniej ilości, dzięki czemu lokalne zespoły lub kierownicy działów mogą resetować hasła lub zarządzać członkostwem w grupach dokładnie tam, gdzie jest to potrzebne. Dzięki segmentacji dzierżawy możesz zwiększyć produktywność i ograniczyć ryzyko, ponieważ nikt nie dysponuje szerszymi uprawnieniami administracyjnymi, niż potrzebuje.

Wyzwania z życia wzięte pojawiają się nieustannie: być może masz uniwersytet z różnymi wydziałami, sieć sklepów w różnych stanach lub globalną firmę z regionalnymi zespołami IT. Jednostki administracyjne stają się wtedy podstawowym sposobem na określenie, kto odpowiada za jaki fragment organizacji, oraz na to, by wewnętrzne zasady rzeczywiście były przestrzegane.

Poniżej omówimy najczęstsze scenariusze i punkty decyzyjne związane z wdrażaniem tych jednostek. Zobaczysz nie tylko, dlaczego mają znaczenie, ale także jak pomagają radzić sobie z typowymi problemami, takimi jak zgodność z przepisami, dostęp zgodnie z zasadą najmniejszych uprawnień i autonomia regionalna.

Kiedy używać jednostek administracyjnych w złożonych scenariuszach administracyjnych

• Organizacje rozproszone geograficznie: Przypisz regionalne zespoły IT do zarządzania wyłącznie użytkownikami w ich lokalizacji (np. Europa, Azja), bez dostępu do globalnej dzierżawy.
• Segmentacja działowa: Deleguj uprawnienia administracyjne do działów HR, finansów lub wydziałów akademickich, ograniczając uprawnienia zarządzania każdego zespołu do jego własnego działu.
• Granice zgodności z przepisami i prywatności: Wydziel do dedykowanych jednostek administracyjnych użytkowników podlegających różnym regulacjom (takim jak RODO lub HIPAA), egzekwując granice bezpieczeństwa.
• Fuzje i przejęcia: Włącz do organizacji nowe jednostki biznesowe lub przejęte firmy i pozwól im zarządzać sobą – bez udostępniania dostępu do całego środowiska.
• Edukacja i okręgi szkolne: Przydziel administratorom szkół kontrolę wyłącznie nad uczniami i pracownikami ich kampusu, nie dopuszczając do danych innych szkół.

Wykorzystanie jednostek administracyjnych platformy Azure do segmentacji dzierżawy Microsoft 365

• Zdecentralizowana administracja: Jednostki administracyjne pozwalają przypisać lokalnych administratorów wyłącznie do osób lub grup, którymi zarządzają – koniec z administratorem globalnym do codziennych zadań. Pomaga to uniknąć sytuacji, w której „zbyt wielu kucharzy psuje bulion”.
• Wyraźne granice bezpieczeństwa: Dzieląc dzierżawę na jednostki administracyjne, możesz wyznaczyć granice zgodne z działami, regionami lub podmiotami prawnymi – każda z własnymi, dopasowanymi uprawnieniami administracyjnymi.
• Łatwiejsza zgodność z wymogami: Gdy zespoły IT widzą wyłącznie użytkowników w swoim zakresie, znacznie łatwiej przejść audyty, egzekwować zasadę najmniejszych uprawnień i ograniczać ryzyko ekspozycji danych.
• Uproszczone rozwiązywanie problemów: Lokalni administratorzy mogą resetować hasła, zarządzać licencjami lub modyfikować członkostwa, nie ingerując w dane innych zespołów – dzięki temu codzienne zarządzanie przebiega sprawniej.
• Wsparcie dla strategii zarządzania: Zaawansowane strategie dotyczące RBAC, PIM i egzekwowania zasad znajdziesz w tym omówieniu najlepszych praktyk zarządzania platformą Azure i RBAC, gdzie znajdziesz praktyczne wskazówki.

Konfigurowanie jednostek administracyjnych w Microsoft Entra ID

Wdrażanie jednostek administracyjnych w Microsoft Entra ID zaczyna się od jasnej odpowiedzi na pytanie: kim chcesz zarządzać i komu ufasz, że będzie nim zarządzał? Gdy to zmapujesz, konfiguracja jednostki AU polega najpierw na jej utworzeniu, następnie na dodaniu odpowiednich użytkowników lub grup, a na końcu na przypisaniu ról administracyjnych z odpowiednim poziomem kontroli.

Jednostki AU możesz tworzyć bezpośrednio w portalu Azure, który oferuje intuicyjny, krok po kroku przebieg konfiguracji. W przypadku większych lub bardziej dynamicznych organizacji możesz wykorzystać umiejętności automatyzacji z interfejsem Microsoft Graph API, pozwalając skryptom wykonać najcięższą pracę.

Następnie trzeba zadbać o to, by odpowiedni ludzie trafili do odpowiednich jednostek AU – pojedynczo, jeśli to konieczne, lub zbiorczo, jeśli pracujesz na większą skalę. Członkostwo w grupach można zarządzać bezpośrednio lub dynamicznie, ale urządzenia i zasoby (na przykład witryny SharePoint) mają pewne ograniczenia, na które warto zwrócić uwagę, o czym wkrótce napiszemy.

Na koniec przypisz role administracyjne, korzystając z klasycznego modelu Azure AD lub z Privileged Identity Management (PIM), które zapewnia dostęp just-in-time i możliwość audytu. Kolejne sekcje omówią każdy krok, dzięki czemu będziesz gotowy do budowania, zabezpieczania i delegowania uprawnień z pewnością siebie.

Tworzenie i konfigurowanie jednostek administracyjnych w Microsoft 365

• Otwórz portal Azure: Przejdź do Microsoft Entra ID, wybierz pozycję Jednostki administracyjne i kliknij „+ Nowa jednostka administracyjna”, aby rozpocząć konfigurację.
• Nazwij, opisz i wybierz zakres: Nadaj jednostce AU jasną, opisową nazwę (na przykład „Administratorzy sprzedaży APAC”). Opcjonalnie dodaj opis dla przyszłych administratorów.
• Dodaj członków: Możesz przypisać użytkowników lub grupy bezpośrednio jako członków. Zdecyduj, kto jest zarządzany w tej jednostce AU – administratorzy wpływają wyłącznie na tych użytkowników.
• Opcja automatyzacji: Wolisz kod? Użyj interfejsu Microsoft Graph API, aby tworzyć, aktualizować i zarządzać jednostkami AU w operacjach zbiorczych lub zautomatyzowanych przepływach pracy. Skrypty ułatwiają wprowadzanie dużych zmian i zmniejszają liczbę błędów.
• Sprawdź kolizje członkostwa: Jeśli zależy Ci na ścisłym zawężeniu zakresu, unikaj nakładających się członkostw między jednostkami AU. Użytkownik może być zarządzany tylko w jednej jednostce AU dla danego kontekstu roli.

Przypisywanie użytkowników i grup do jednostek administracyjnych

• Bezpośrednie przypisanie: Dodaj użytkowników lub grupy ręcznie w portalu Azure (Użytkownicy > Dodaj członka), aby stali się obiektami zarządzanymi w jednostce AU.
• Grupy dynamiczne (z ograniczeniami): Można dodawać grupy dynamiczne jako członków jednostek administracyjnych, ale same jednostki administracyjne obecnie nie potrafią natywnie egzekwować reguł dynamicznych. Reguły grup dynamicznych są przechowywane w grupie, a nie w jednostce administracyjnej.
• Importy zbiorcze: W dużych organizacjach użyj programu PowerShell lub Graph API, aby efektywnie przypisać wielu użytkowników i grupy. Oszczędza to czas i zapewnia spójność.
• Regularny przegląd członkostwa: Skonfiguruj okresowe sprawdzenia, aby usuwać osierocone konta i upewnić się, że użytkownicy nadal mają odpowiedni zakres uprawnień. Życie toczy się dalej – dbaj o aktualność swoich granic.
• Urządzenia: Obecnie urządzenia (takie jak laptopy czy telefony komórkowe) nie mogą być członkami jednostek administracyjnych. Zarządzanie obejmuje wyłącznie osoby i grupy, a nie sprzęt ani zasoby.

Przypisywanie ról administratorom za pomocą Privileged Identity Management

• Przypisanie roli per jednostka administracyjna: Z poziomu jednostki administracyjnej przypisz role, takie jak Administrator użytkowników, Administrator grup lub Administrator helpdesku, aby administratorzy z delegowanymi uprawnieniami mieli moc wyłącznie wewnątrz tej jednostki.
• Wykorzystaj PIM do dostępu JIT: Użyj usługi Privileged Identity Management (PIM) w Azure AD, aby przyznawać administratorom dostęp just-in-time (JIT). Oznacza to, że role mogą być aktywowane tymczasowo, co ogranicza ryzyko stałego dostępu („always on”).
• Uruchom przepływy zatwierdzania: Skonfiguruj zatwierdzanie w PIM, tak aby dostęp administracyjny wymagał dodatkowej akceptacji – to ratunek dla środowisk objętych zgodnością lub o wysokich wymaganiach bezpieczeństwa.
• Monitoruj i audytuj dostęp: Śledź, kto, co i kiedy aktywuje. Połącz dzienniki audytu z usługą Microsoft Sentinel lub użyj Purview Audit do analizy śledczej aktywności użytkowników w całym środowisku Microsoft 365. Wzbogaca to zarządzanie i wzmacnia Twoją strategię bezpieczeństwa.
• Regularnie przeglądaj przypisania uprawnień: Co pewien czas weryfikuj przyznane role. Usuwaj nieaktualne lub zbędne uprawnienia, aby zapobiec narastaniu nadmiernych przywilejów (privilege creep) i wzmocnić zasadę najmniejszych uprawnień.

Wymagania administracyjne, licencjonowanie i ograniczenia

Zanim zaczniesz dzielić swoją dzierżawę na jednostki administracyjne, warto uwzględnić kilka wymagań wstępnych i ograniczeń. Nie wszystkie subskrypcje Microsoft 365 są takie same – korzystanie z jednostek administracyjnych zazwyczaj wymaga co najmniej licencji Azure AD Premium P1 zarówno dla obejmowanych użytkowników, jak i przypisanych administratorów.

Funkcjonalność jest solidna w odniesieniu do użytkowników i grup, ale zaczyna pękać w przypadku urządzeń, witryn SharePoint i innych zasobów – jednostki administracyjne obecnie nie są przeznaczone do zarządzania sprzętem ani do przyznawania szczegółowego dostępu do zasobów. Przypisania licencji oraz niektóre funkcje zarządzania właściwościami mają również ograniczenia, które w dużych lub szybko zmieniających się środowiskach mogą wymagać kreatywnych obejść.

Hierarchia to kolejny problem. W przeciwieństwie do jednostek organizacyjnych (OU) w klasycznym Active Directory, jednostki administracyjne są płaskie – nie ma zagnieżdżania ani relacji nadrzędny/podrzędny, więc musisz zaprojektować segmentację bez tej warstwy złożoności (albo elastyczności, zależnie od punktu widzenia).

W dalszej części omówimy szczegóły i zobaczysz funkcjonalne granice jednostek administracyjnych, co pozwoli Ci ustawić realistyczne oczekiwania zarówno wobec zespołu IT, jak i interesariuszy biznesowych.

Kluczowe ograniczenia administracyjne: hierarchia, urządzenia i SharePoint

• Brak struktury hierarchicznej: Jednostki administracyjne są płaskie – nie ma pojęcia zagnieżdżania ani organizacji nadrzędny/podrzędny. Nie możesz na przykład utworzyć jednostki „Ameryka Północna” z jednostkami podrzędnymi dla poszczególnych stanów lub prowincji. Każda jednostka istnieje samodzielnie.
• Luki w zarządzaniu urządzeniami: Urządzeń, takich jak laptopy, telefony czy drukarki, nie można bezpośrednio zarządzać za pomocą jednostek administracyjnych. Jeśli potrzebujesz zakresu na poziomie urządzeń, mogą być wymagane inne rozwiązania lub zasady Intune.
• Ograniczenia SharePoint/OneDrive: Jednostki administracyjne nie zawężają uprawnień administracyjnych do witryn SharePoint ani OneDrive. Zarządzanie zarządzaniem danymi w tych aplikacjach wymaga osobnych strategii lub alternatyw, takich jak Microsoft Dataverse dla złożonych potrzeb związanych z danymi.
• Wyzwania związane z przypisywaniem licencji: Licencje można przypisywać użytkownikom w jednostkach administracyjnych, ale brak wbudowanej automatyzacji ograniczonej do jednostek utrudnia skalowalną automatyzację.
• Zarządzanie właściwościami: Zbiorcza aktualizacja lub raportowanie właściwości użytkowników w jednostkach administracyjnych jest ograniczone. Aby wypełnić te luki, często potrzebne będą narzędzia zewnętrzne, program PowerShell lub Graph API.

Bezpieczeństwo, zarządzanie i alternatywy dla jednostek administracyjnych

Bezpieczeństwo i zarządzanie nie kończą się na konfiguracji jednostek administracyjnych – to dopiero początek. Aby chronić swoją dzierżawę (i swoją reputację), trzeba zastanowić się, jak administrowane są jednostki administracyjne, komu przydzielać uprawnienia do delegowania oraz jak uprawnienia dostępu o podwyższonych uprawnieniach są monitorowane, weryfikowane i odbierane w czasie.

Do najlepszych praktyk należą stosowanie zasady najmniejszych uprawnień, wykorzystywanie przepływów zatwierdzania w usłudze PIM oraz audytowanie każdego przypisania roli. Nie zapominaj o ciągłym monitorowaniu – przeglądach uprawnień dostępu o podwyższonych uprawnieniach, alertach o nietypowej aktywności i okresowej raportowaniu. Dzięki temu lepiej będziesz kontrolować, kto faktycznie zarządza Twoim środowiskiem.

W przypadku niektórych organizacji nawet najlepiej zaprojektowane jednostki administracyjne mogą nie wystarczyć. Być może potrzebna jest wielopoziomowa segmentacja, bardziej zaawansowane kontrole zgodności lub rozbudowana automatyzacja. Wtedy na scenę wkraczają alternatywne rozwiązania, takie jak wirtualne dzierżawy CoreView, które pozwalają dzielić dzierżawę w sposób, którego jednostki administracyjne na razie nie są w stanie zapewnić.

Aby zgłębić temat solidnego zarządzania – w tym egzekwowania zasad, RBAC i zautomatyzowanych zabezpieczeń – zajrzyj do tego omówienia strategii zarządzania w Azure. A jeśli zmagasz się ze sztuczną inteligencją lub automatyzacją, lekturą obowiązkową będzie artykuł o zabezpieczaniu uprawnień Copilot i Graph, który pomoże zachować zgodność w erze copilotów i botów.

Pozostałe implikacje bezpieczeństwa i alternatywy w postaci wirtualnych dzierżaw

• Narastanie uprawnień (Privilege Creep): Jeśli uprawnienia administracyjne nie są weryfikowane, byli administratorzy lub osoby często zmieniające pracę mogą gromadzić „zombie” uprawnienia – jedno z najważniejszych zagrożeń ze strony wewnętrznych użytkowników. Regularne przeglądy i odbieranie zbędnych uprawnień są kluczowe.
• Luki w audycie i widoczności: Natywne dzienniki audytu mogą nie pokazywać w łatwy sposób, kto i co zmienił w danej jednostce administracyjnej. Na potrzeby nadzoru na poziomie korporacyjnym połącz dzienniki Entra z narzędziami SIEM lub wykorzystaj Microsoft Purview bądź Sentinel do solidnego monitorowania i raportów zgodności. Odcinki takie jak Agentageddon wyjaśniają, jakie ryzyko niesie zaniedbanie audytu sztucznej inteligencji i zarządzania w usłudze Microsoft 365.
• Ograniczenia zakresu: Jednostki administracyjne nie mogą natywnie segmentować środowisk międzychmurowych ani hybrydowych. W przypadku konfiguracji hybrydowych lub wielochmurowych warto sięgnąć po narzędzia firm trzecich lub rozwiązania wirtualnych dzierżaw, aby uzyskać głębsze granice i scentralizowane zarządzanie.
• Kiedy rozważyć alternatywy: Rozważ rozwiązania takie jak wirtualne dzierżawy CoreView, gdy potrzebujesz wielopoziomowej segmentacji, mapowania zgodności lub zaawansowanej automatyzacji przepływów pracy, wykraczających poza możliwości jednostek administracyjnych. Shadow IT i AI wymagają zaawansowanego monitorowania – więcej pomysłów znajdziesz w tej analizie podstaw Microsoft Foundry i Purview.

Warto też posłuchać

Jeśli zgłębiasz temat jednostek administracyjnych w Microsoft Entra, poniższe odcinki dodadzą praktycznego kontekstu dotyczącego bezpieczeństwa tożsamości, zarządzania, uprawnień dostępu o podwyższonych uprawnieniach i wdrażania:

• Microsoft Defender XDR – Simply Explained — Połącz zarządzanie tożsamością z sygnałami bezpieczeństwa, analizą incydentów i reagowaniem.
• Conditional Access – Simply Explained — Dowiedz się, jak kontrole dostępu oparte na zasadach egzekwują decyzje dotyczące tożsamości.
• Privileged Identity Management – Simply Explained — Zrozum uprawnienia dostępu w trybie just-in-time, zatwierdzenia i przeglądy dostępu.
• Microsoft Teams Governance – The Illusion of Control — Zobacz, jak zarządzanie zamienia uprawnienia i własność w powtarzalne procesy operacyjne.