Microsoft warnt: Entra ID MemberOf Rules werden nicht mehr funktionieren

Microsoft wird den MemberOf-Regeloperator in Microsoft Entra ID am 3. November 2026 außer Betrieb nehmen, wodurch Administratoren gezwungen sind, dynamische Gruppen und Richtlinien, die auf geschachtelten Gruppenmitgliedschaften basieren, neu zu entwerfen.

Das Unternehmen kündigte die Änderung in der Microsoft 365-Nachrichtencenter-Mitteilung MC1448379 an. Nach Ablauf der Frist werden Entra-ID-Konfigurationen, die den Operator weiterhin verwenden, die Verarbeitung von Mitgliedschaftsänderungen im Hintergrund einstellen.

Bestehende Gruppenmitgliedschaften werden eingefroren

Microsoft wird Gruppen oder Richtlinien, die MemberOf verwenden, nicht sofort löschen. Stattdessen bleiben deren Mitgliedschaftsdaten im letzten erfolgreich verarbeiteten Zustand eingefroren.

Dies könnte dazu führen, dass Microsoft 365-Gruppenmitgliedschaften veralten, wenn Benutzer ihre Rollen, Abteilungen oder Zugriffsanforderungen ändern. Bedingte Zugriffsregeln, die mit betroffenen Gruppen verknüpft sind, spiegeln möglicherweise ebenfalls nicht mehr die aktuellen Organisationsstrukturen wider.

Lizenzzuweisungen stellen ein weiteres Problem dar. Benutzer könnten Lizenzen behalten, die sie nicht mehr benötigen, während andere möglicherweise keine erforderlichen Lizenzen erhalten, weil ihre Gruppenmitgliedschaft nicht mehr aktualisiert wird.

Dynamische Verwaltungseinheiten und Berechtigungsverwaltungsrichtlinien, die auf geschachtelte Gruppen angewiesen sind, könnten mit ähnlichen Problemen konfrontiert sein.

Microsoft gibt an, dass MemberOf nicht effizient skaliert

Microsoft gibt an, den Operator zu entfernen, weil das zugrunde liegende Verarbeitungsmodell in großen Umgebungen nicht gut skaliert.

Eine einzelne MemberOf-Regel kann Berichten zufolge die Mitgliedschaftsberechnungen im gesamten Mandanten verlangsamen, einschließlich dynamischer Gruppen, die den Operator nicht verwenden. Microsoft hat beschlossen, die Funktion einzustellen, anstatt ihre Verfügbarkeit zu erweitern oder ihre Leistungseinschränkungen weiterhin zu unterstützen.

Die Entscheidung hat bei einigen Administratoren für Frustration gesorgt, weil Microsoft keinen direkten Ersatz bereitgestellt hat, der dieselbe Logik für geschachtelte Gruppen nachbildet.

Administratoren müssen betroffene Regeln neu aufbauen

Teams für Identitäts- und Zugriffsverwaltung müssen jede dynamische Gruppe, Verwaltungseinheit und Berechtigungsrichtlinie identifizieren, die MemberOf-Bedingungen enthält.

Microsoft Graph PowerShell kann Administratoren dabei helfen, dynamische Mitgliedschaftsregeln innerhalb eines Mandanten zu durchsuchen. Die Exporttools des Entra Admin Centers können ebenfalls beim Auffinden betroffener Konfigurationen helfen.

Microsoft empfiehlt, geschachtelte Gruppenüberprüfungen nach Möglichkeit durch direkte Filter für Benutzer- oder Geräteattribute zu ersetzen. Beispielsweise könnten Administratoren Regeln basierend auf Abteilung, Position, Bürostandort, Gerätebesitz oder einem anderen synchronisierten Verzeichnisattribut aufbauen.

Organisationen, die ihre bestehende Logik nicht mit Attributen nachbilden können, müssen dynamische Gruppen möglicherweise durch manuell gepflegte statische Gruppen ersetzen.

Diese Migration könnte in Mandanten, die geschachtelte Gruppenstrukturen für Zugriffskontrolle, Lizenzierung, Anwendungszuweisungen und Berechtigungsverwaltung nutzen, erheblichen Arbeitsaufwand erfordern. Administratoren sollten den Übergang vor dem 3. November 2026 abschließen, um das Risiko von Sicherheitslücken und inkonsistenter Lizenzierung zu verringern.

In weiteren Nachrichten fordert Microsoft Windows 10 LTSC-Benutzer auf, vor dem Ende des Supports zu aktualisieren. Experten spekulieren außerdem, dass Windows 11 26H2 zwischen September und Oktober erscheinen könnte.

Schließlich hat das Unternehmen Berichten zufolge die OneDrive Photos-App auf Unternehmens-PCs installiert, ohne vorherige Ankündigung.

Via Neowin