Microsoft warnt: Entra-ID-MemberOf-Regeln werden nicht mehr funktionieren

Microsoft wird den MemberOf-Regeloperator in Microsoft Entra ID am 3. November 2026 einstellen, wodurch Administratoren gezwungen sind, dynamische Gruppen und Richtlinien, die auf verschachtelten Gruppenmitgliedschaften beruhen, neu zu gestalten.

Das Unternehmen hat die Änderung in der Microsoft 365 Message Center-Mitteilung MC1448379 angekündigt. Nach Ablauf der Frist werden Entra ID-Konfigurationen, die den Operator noch verwenden, die Verarbeitung von Mitgliedschaftsänderungen im Hintergrund einstellen.

Bestehende Gruppenmitgliedschaften werden eingefroren

Microsoft wird Gruppen oder Richtlinien, die MemberOf verwenden, nicht sofort löschen. Stattdessen bleiben deren Mitgliedschaftsdaten im zuletzt erfolgreich verarbeiteten Zustand eingefroren.

Dies könnte dazu führen, dass Microsoft-365-Gruppenmitgliedschaften veralten, wenn Benutzer ihre Rollen, Abteilungen oder Zugriffsanforderungen ändern. Conditional Access-Regeln, die mit betroffenen Gruppen verknüpft sind, spiegeln möglicherweise ebenfalls nicht mehr die aktuellen Organisationsstrukturen wider.

Lizenzzuweisungen stellen ein weiteres Problem dar. Benutzer könnten Lizenzen behalten, die sie nicht mehr benötigen, während andere möglicherweise erforderliche Lizenzen nicht erhalten, weil ihre Gruppenmitgliedschaft nicht mehr aktualisiert wird.

Dynamische Verwaltungseinheiten und Berechtigungsverwaltungsrichtlinien, die von verschachtelten Gruppen abhängen, könnten ähnliche Probleme bekommen.

Microsoft gibt an, dass MemberOf nicht effizient skaliert

Microsoft gibt an, den Operator zu entfernen, weil das zugrundeliegende Verarbeitungsmodell in großen Umgebungen nicht gut skaliert.

Eine einzige MemberOf-Regel kann Berichten zufolge die Mitgliedschaftsberechnungen im gesamten Mandanten verlangsamen, einschließlich dynamischer Gruppen, die den Operator nicht verwenden. Microsoft hat sich entschieden, die Funktion einzustellen, anstatt ihre Verfügbarkeit zu erweitern oder ihre Leistungseinschränkungen weiterhin zu unterstützen.

Die Entscheidung hat einige Administratoren verärgert, da Microsoft keinen direkten Ersatz bereitgestellt hat, der dieselbe verschachtelte Gruppenlogik nachbildet.

Administratoren müssen betroffene Regeln neu erstellen

Teams für Identitäts- und Zugriffsverwaltung müssen jede dynamische Gruppe, Verwaltungseinheit und Berechtigungsrichtlinie identifizieren, die MemberOf-Bedingungen enthält.

Microsoft Graph PowerShell kann Administratoren dabei helfen, mandantenweit nach dynamischen Mitgliedschaftsregeln zu suchen. Die Exportwerkzeuge des Entra Admin Centers können ebenfalls helfen, betroffene Konfigurationen zu lokalisieren.

Microsoft empfiehlt, verschachtelte Gruppenprüfungen nach Möglichkeit durch direkte Benutzer- oder Geräteattributfilter zu ersetzen. Administratoren könnten beispielsweise Regeln basierend auf Abteilung, Stellenbezeichnung, Bürostandort, Gerätebesitz oder einem anderen synchronisierten Verzeichnisattribut erstellen.

Organisationen, die ihre bestehende Logik nicht mit Attributen nachbilden können, müssen dynamische Gruppen möglicherweise durch manuell gepflegte statische Gruppen ersetzen.

Diese Migration könnte in Mandanten, die verschachtelte Gruppenstrukturen für Zugriffskontrolle, Lizenzierung, Anwendungszuweisungen und Berechtigungsverwaltung verwenden, erhebliche Arbeit erfordern. Administratoren sollten den Übergang vor dem 3. November 2026 abschließen, um das Risiko von Sicherheitslücken und inkonsistenter Lizenzierung zu verringern.

In anderen Nachrichten drängt Microsoft Windows 10 LTSC-Benutzer dazu, ein Upgrade durchzuführen, bevor der Support endet. Experten spekulieren außerdem, dass Windows 11 26H2 zwischen September und Oktober erscheinen könnte.

Zu guter Letzt hat das Unternehmen Berichten zufolge die OneDrive Photos-App auf Unternehmens-PCs installiert, ohne vorherige Ankündigung.

Via Neowin