Microsoft avverte che le regole MemberOf di Entra ID smetteranno di funzionare

Microsoft ritirerà l’operatore MemberOf in Microsoft Entra ID il 3 novembre 2026, costringendo gli amministratori a riprogettare i gruppi dinamici e i criteri che si basano sull’appartenenza a gruppi annidati.

L’azienda ha annunciato la modifica nell’avviso Centro messaggi di Microsoft 365 MC1448379. Dopo la scadenza, le configurazioni di Entra ID che utilizzano ancora l’operatore smetteranno di elaborare le modifiche all’appartenenza in background.

Le appartenenze ai gruppi esistenti verranno congelate

Microsoft non eliminerà immediatamente i gruppi o i criteri che utilizzano MemberOf. L’appartenenza a tali gruppi rimarrà invece congelata all’ultimo stato elaborato correttamente.

Ciò potrebbe rendere obsolete le appartenenze ai gruppi di Microsoft 365 man mano che gli utenti cambiano ruolo, reparto o requisiti di accesso. Le regole di Conditional Access legate ai gruppi interessati potrebbero anche smettere di riflettere le strutture organizzative correnti.

Le assegnazioni di licenze rappresentano un’altra preoccupazione. Gli utenti potrebbero conservare licenze di cui non hanno più bisogno, mentre altri potrebbero non ricevere le licenze richieste perché l’appartenenza al loro gruppo non viene più aggiornata.

Le unità amministrative dinamiche e i criteri di gestione entitlement che dipendono da gruppi annidati potrebbero affrontare problemi simili.

Microsoft afferma che MemberOf non scala in modo efficiente

Microsoft afferma che sta rimuovendo l’operatore perché il suo modello di elaborazione sottostante non scala bene in ambienti di grandi dimensioni.

Secondo quanto riferito, una singola regola MemberOf può rallentare i calcoli di appartenenza in un intero tenant, inclusi i gruppi dinamici che non utilizzano l’operatore. Microsoft ha deciso di ritirare la funzionalità piuttosto che espanderne la disponibilità o continuare a supportarne le limitazioni di prestazioni.

La decisione ha frustrato alcuni amministratori perché Microsoft non ha fornito una sostituzione diretta che riproduca la stessa logica dei gruppi annidati.

Gli amministratori devono ricostruire le regole interessate

I team di Identity and Access Management dovranno identificare ogni gruppo dinamico, unità amministrativa e criterio di entitlement che contiene condizioni MemberOf.

Microsoft Graph PowerShell può aiutare gli amministratori a cercare le regole di appartenenza dinamica in un tenant. Anche gli strumenti di esportazione dell’Interfaccia di amministrazione di Entra possono aiutare a individuare le configurazioni interessate.

Microsoft consiglia di sostituire i controlli sui gruppi annidati con filtri diretti sugli attributi di utenti o dispositivi, ove possibile. Ad esempio, gli amministratori potrebbero creare regole basate su reparto, qualifica, sede, proprietà del dispositivo o un altro attributo di directory sincronizzato.

Le organizzazioni che non possono riprodurre la propria logica esistente con gli attributi potrebbero dover sostituire i gruppi dinamici con gruppi statici gestiti manualmente.

Questa migrazione potrebbe richiedere un lavoro significativo nei tenant che utilizzano strutture di gruppi annidati per il controllo degli accessi, le licenze, le assegnazioni di applicazioni e la gestione entitlement. Gli amministratori dovrebbero completare la transizione prima del 3 novembre 2026 per ridurre il rischio di lacune di sicurezza e licenze incoerenti.

In altre notizie, Microsoft esorta gli utenti di Windows 10 LTSC a eseguire l’aggiornamento prima della fine del supporto. Gli esperti ipotizzano inoltre che Windows 11 26H2 potrebbe essere rilasciato tra settembre e ottobre.

Infine, l’azienda avrebbe installato l’app OneDrive Foto su PC aziendali senza preavviso.

Via Neowin