Microsoft advierte que las reglas MemberOf de Entra ID dejarán de funcionar

Microsoft retirará el operador de regla MemberOf en Microsoft Entra ID el 3 de noviembre de 2026, lo que obligará a los administradores a rediseñar los grupos dinámicos y las directivas que dependen de la pertenencia a grupos anidados.

La empresa anunció el cambio en el aviso MC1448379 del Centro de mensajes de Microsoft 365. Tras la fecha límite, las configuraciones de Entra ID que sigan utilizando el operador dejarán de procesar los cambios de pertenencia en segundo plano.

Las pertenencias a grupos existentes quedarán congeladas

Microsoft no eliminará de inmediato los grupos o directivas que usan MemberOf. En su lugar, los datos de pertenencia permanecerán congelados en el último estado procesado correctamente.

Esto podría dejar obsoletas las pertenencias a grupos de Microsoft 365 a medida que los usuarios cambian de roles, departamentos o requisitos de acceso. Las reglas de acceso condicional vinculadas a los grupos afectados también podrían dejar de reflejar las estructuras organizativas actuales.

Las asignaciones de licencias presentan otra preocupación. Los usuarios podrían conservar licencias que ya no necesitan, mientras que otros podrían no recibir las licencias necesarias porque su pertenencia a grupos ya no se actualiza.

Las unidades administrativas dinámicas y las directivas de administración de derechos que dependen de grupos anidados podrían enfrentar problemas similares.

Microsoft afirma que MemberOf no escala de manera eficiente

Microsoft afirma que está eliminando el operador porque su modelo de procesamiento subyacente no escala bien en entornos grandes.

Según se informa, una sola regla MemberOf puede ralentizar los cálculos de pertenencia en todo un inquilino, incluidos los grupos dinámicos que no utilizan el operador. Microsoft decidió retirar la característica en lugar de ampliar su disponibilidad o seguir dando soporte a sus limitaciones de rendimiento.

La decisión ha frustrado a algunos administradores porque Microsoft no ha proporcionado un reemplazo directo que reproduzca la misma lógica de grupos anidados.

Los administradores deben reconstruir las reglas afectadas

Los equipos de administración de identidades y accesos deberán identificar cada grupo dinámico, unidad administrativa y directiva de derechos que contenga condiciones MemberOf.

Microsoft Graph PowerShell puede ayudar a los administradores a buscar reglas de pertenencia dinámica en un inquilino. Las herramientas de exportación del Centro de administración de Entra también pueden ayudar a localizar las configuraciones afectadas.

Microsoft recomienda reemplazar las comprobaciones de grupos anidados por filtros directos de atributos de usuario o dispositivo siempre que sea posible. Por ejemplo, los administradores podrían crear reglas basadas en el departamento, el cargo, la ubicación de la oficina, la propiedad del dispositivo u otro atributo de directorio sincronizado.

Las organizaciones que no puedan reproducir su lógica existente con atributos podrían necesitar reemplazar los grupos dinámicos por grupos estáticos mantenidos manualmente.

Esta migración podría requerir un trabajo considerable en los inquilinos que utilizan estructuras de grupos anidados para el control de acceso, las licencias, las asignaciones de aplicaciones y la administración de derechos. Los administradores deben completar la transición antes del 3 de noviembre de 2026 para reducir el riesgo de brechas de seguridad e inconsistencias en las licencias.

En otras noticias, Microsoft insta a los usuarios de Windows 10 LTSC a actualizar antes de que finalice el soporte. Expertos también especulan con que Windows 11 26H2 podría lanzarse entre septiembre y octubre.

Por último, según informes, la empresa ha instalado la aplicación OneDrive Photos en equipos empresariales sin previo aviso.

Vía Neowin