Microsoft advierte de que las reglas MemberOf de Entra ID dejarán de funcionar

Microsoft retirará el operador de regla MemberOf en Microsoft Entra ID el 3 de noviembre de 2026, lo que obligará a los administradores a rediseñar los grupos dinámicos y las políticas que dependen de la pertenencia a grupos anidados.

La empresa anunció el cambio en el aviso MC1448379 del Centro de mensajes de Microsoft 365. Después de la fecha límite, las configuraciones de Entra ID que aún utilicen el operador dejarán de procesar los cambios de pertenencia en segundo plano.

Las pertenencias a grupos existentes se congelarán

Microsoft no eliminará de inmediato los grupos ni las políticas que utilicen MemberOf. En su lugar, los datos de pertenencia permanecerán congelados en el último estado procesado correctamente.

Esto podría dejar obsoletas las pertenencias a grupos de Microsoft 365 a medida que los usuarios cambian de roles, departamentos o requisitos de acceso. Las reglas de acceso condicional vinculadas a los grupos afectados también podrían dejar de reflejar las estructuras organizativas actuales.

Las asignaciones de licencias representan otra preocupación. Los usuarios podrían conservar licencias que ya no necesitan, mientras que otros podrían no recibir las licencias requeridas porque su pertenencia al grupo ya no se actualiza.

Las unidades administrativas dinámicas y las políticas de administración de derechos que dependen de grupos anidados podrían enfrentar problemas similares.

Microsoft afirma que MemberOf no escala de forma eficiente

Microsoft afirma que está eliminando el operador porque su modelo de procesamiento subyacente no escala bien en entornos de gran tamaño.

Al parecer, una sola regla MemberOf puede ralentizar los cálculos de pertenencia en todo el inquilino, incluidos los grupos dinámicos que no utilizan el operador. Microsoft decidió retirar la funcionalidad en lugar de ampliar su disponibilidad o seguir admitiendo sus limitaciones de rendimiento.

La decisión ha frustrado a algunos administradores porque Microsoft no ha proporcionado un reemplazo directo que reproduzca la misma lógica de grupos anidados.

Los administradores deben reconstruir las reglas afectadas

Los equipos de administración de identidades y accesos deberán identificar todos los grupos dinámicos, las unidades administrativas y las políticas de derechos que contengan condiciones MemberOf.

Microsoft Graph PowerShell puede ayudar a los administradores a buscar reglas de pertenencia dinámica en todo el inquilino. Las herramientas de exportación del Centro de administración de Entra también pueden ayudar a localizar las configuraciones afectadas.

Microsoft recomienda sustituir las comprobaciones de grupos anidados por filtros directos de atributos de usuario o dispositivo siempre que sea posible. Por ejemplo, los administradores podrían crear reglas basadas en el departamento, el cargo, la ubicación de la oficina, la propiedad del dispositivo u otro atributo de directorio sincronizado.

Las organizaciones que no puedan reproducir su lógica existente con atributos quizás necesiten reemplazar los grupos dinámicos por grupos estáticos mantenidos manualmente.

Esta migración podría requerir un trabajo considerable en los inquilinos que utilizan estructuras de grupos anidados para el control de acceso, la asignación de licencias, las asignaciones de aplicaciones y la administración de derechos. Los administradores deben completar la transición antes del 3 de noviembre de 2026 para reducir el riesgo de brechas de seguridad y licencias incoherentes.

En otras noticias, Microsoft insta a los usuarios de Windows 10 LTSC a actualizar antes de que finalice el soporte. Los expertos también especulan que Windows 11 26H2 podría lanzarse entre septiembre y octubre.

Por último, al parecer la empresa ha instalado la aplicación OneDrive Photos en equipos empresariales sin previo aviso.

Vía Neowin