Microsoft warnt: Entra ID MemberOf Rules funktionieren bald nicht mehr

Microsoft wird den MemberOf-Regeloperator in Microsoft Entra ID am 3. November 2026 zurückziehen und zwingt Administratoren damit, dynamische Gruppen und Richtlinien zu überarbeiten, die auf verschachtelter Gruppenmitgliedschaft beruhen.

Das Unternehmen kündigte die Änderung im Microsoft 365 Nachrichtencenter-Hinweis MC1448379 an. Nach Ablauf der Frist stellen Entra ID-Konfigurationen, die den Operator weiterhin verwenden, die Verarbeitung von Mitgliedschaftsänderungen im Hintergrund ein.

Bestehende Gruppenmitgliedschaften werden eingefroren

Microsoft löscht Gruppen oder Richtlinien, die MemberOf verwenden, nicht sofort. Stattdessen bleiben ihre Mitgliedschaftsdaten auf dem Stand der letzten erfolgreich verarbeiteten Zustands eingefroren.

Dies könnte dazu führen, dass Microsoft 365-Gruppenmitgliedschaften veralten, sobald Benutzer ihre Rollen, Abteilungen oder Zugriffsanforderungen ändern. An betroffene Gruppen gebundene Regeln für bedingten Zugriff könnten ebenfalls nicht mehr die aktuellen Organisationsstrukturen widerspiegeln.

Ein weiteres Problem stellen Lizenzzuweisungen dar. Benutzer könnten Lizenzen behalten, die sie nicht mehr benötigen, während andere keine erforderlichen Lizenzen erhalten, weil sich ihre Gruppenmitgliedschaft nicht mehr aktualisiert.

Dynamische administrative Einheiten und Richtlinien für die Berechtigungsverwaltung, die von verschachtelten Gruppen abhängen, könnten vor ähnlichen Problemen stehen.

Microsoft erklärt, dass MemberOf nicht effizient skaliert

Microsoft gibt an, den Operator zu entfernen, weil das zugrunde liegende Verarbeitungsmodell in großen Umgebungen nicht gut skaliert.

Eine einzelne MemberOf-Regel kann Berichten zufolge die Mitgliedschaftsberechnungen im gesamten Mandanten verlangsamen, einschließlich dynamischer Gruppen, die diesen Operator nicht nutzen. Microsoft hat sich entschieden, die Funktion einzustellen, anstatt ihre Verfügbarkeit zu erweitern oder die leistungsbedingten Einschränkungen weiter zu unterstützen.

Die Entscheidung hat einige Administratoren frustriert, weil Microsoft keinen direkten Ersatz bereitgestellt hat, der dieselbe Logik für verschachtelte Gruppen nachbildet.

Administratoren müssen betroffene Regeln neu aufbauen

Teams für Identitäts- und Zugriffsverwaltung müssen jede dynamische Gruppe, jede administrative Einheit und jede Berechtigungsrichtlinie identifizieren, die MemberOf-Bedingungen enthält.

Microsoft Graph PowerShell kann Administratoren dabei unterstützen, dynamische Mitgliedschaftsregeln mandantenweit zu durchsuchen. Die Exporttools des Entra Admin Centers können ebenfalls helfen, betroffene Konfigurationen ausfindig zu machen.

Microsoft empfiehlt, Prüfungen auf verschachtelte Gruppen nach Möglichkeit durch direkte Filter auf Benutzer- oder Geräteattribute zu ersetzen. Administratoren könnten beispielsweise Regeln auf Basis von Abteilung, Position, Bürostandort, Gerätebesitz oder einem anderen synchronisierten Verzeichnisattribut erstellen.

Organisationen, die ihre vorhandene Logik nicht mit Attributen nachbilden können, müssen dynamische Gruppen möglicherweise durch manuell gepflegte statische Gruppen ersetzen.

Diese Migration könnte in Mandanten, die verschachtelte Gruppenstrukturen für die Zugriffssteuerung, Lizenzierung, Anwendungszuweisung und Berechtigungsverwaltung nutzen, erheblichen Arbeitsaufwand erfordern. Administratoren sollten den Übergang vor dem 3. November 2026 abschließen, um das Risiko von Sicherheitslücken und inkonsistenter Lizenzierung zu verringern.

In weiteren Nachrichten drängt Microsoft Windows-10-LTSC-Benutzer zum Upgrade, bevor der Support endet. Zudem spekulieren Experten, dass Windows 11 26H2 zwischen September und Oktober erscheinen könnte.

Schließlich hat das Unternehmen Berichten zufolge die OneDrive Photos-App ohne vorherige Ankündigung auf Unternehmens-PCs installiert.

Quelle: Neowin