Microsoft avverte: le regole MemberOf di Entra ID smetteranno di funzionare

Microsoft ritirerà l’operatore di regola MemberOf in Microsoft Entra ID il 3 novembre 2026, costringendo gli amministratori a riprogettare gruppi dinamici e criteri che si basano sull’appartenenza a gruppi nidificati.

L’azienda ha annunciato la modifica nell’avviso MC1448379 del Centro messaggi di Microsoft 365. Dopo la scadenza, le configurazioni di Entra ID che utilizzano ancora questo operatore smetteranno di elaborare le modifiche di appartenenza in background.

Le appartenenze ai gruppi esistenti verranno congelate

Microsoft non eliminerà immediatamente i gruppi o i criteri che utilizzano MemberOf. I dati di appartenenza rimarranno invece congelati all’ultimo stato elaborato con successo.

Questo potrebbe rendere obsolete le appartenenze ai gruppi di Microsoft 365 man mano che gli utenti cambiano ruolo, reparto o requisiti di accesso. Le regole di accesso condizionale legate ai gruppi interessati potrebbero inoltre non riflettere più le strutture organizzative correnti.

Le assegnazioni delle licenze rappresentano un’altra preoccupazione. Gli utenti potrebbero mantenere licenze di cui non hanno più bisogno, mentre altri potrebbero non ricevere le licenze necessarie perché la loro appartenenza al gruppo non viene più aggiornata.

Le unità amministrative dinamiche e i criteri di gestione entitlement che dipendono da gruppi nidificati potrebbero affrontare problemi simili.

Microsoft afferma che MemberOf non scala in modo efficiente

Microsoft ha dichiarato di voler rimuovere l’operatore perché il modello di elaborazione sottostante non scala sufficientemente bene negli ambienti di grandi dimensioni.

Una singola regola MemberOf può rallentare i calcoli di appartenenza in un intero tenant, compresi i gruppi dinamici che non utilizzano l’operatore. Microsoft ha deciso di ritirare la funzionalità anziché estenderne la disponibilità o continuare a supportarne le limitazioni di prestazioni.

La decisione ha frustrato alcuni amministratori perché Microsoft non ha fornito una sostituzione diretta che riproduca la stessa logica di nidificazione dei gruppi.

Gli amministratori devono ricostruire le regole interessate

Dovrai identificare ogni gruppo dinamico, unità amministrativa e criterio di gestione entitlement che contiene condizioni MemberOf.

Microsoft Graph PowerShell può aiutarti a cercare le regole di appartenenza dinamica in un tenant. Anche gli strumenti di esportazione dell’Interfaccia di amministrazione di Entra possono aiutare a individuare le configurazioni interessate.

Microsoft consiglia di sostituire i controlli sui gruppi nidificati con filtri diretti sugli attributi di utenti o dispositivi, ove possibile. Ad esempio, potresti creare regole basate sul reparto, sulla posizione lavorativa, sulla sede dell’ufficio, sulla proprietà del dispositivo o su un altro attributo sincronizzato della directory.

Le organizzazioni che non possono riprodurre la logica esistente con gli attributi potrebbero dover sostituire i gruppi dinamici con gruppi statici gestiti manualmente.

Questa migrazione potrebbe richiedere un impegno significativo nei tenant che utilizzano strutture di gruppi nidificati per il controllo degli accessi, le licenze, le assegnazioni delle applicazioni e la gestione entitlement. Dovresti completare la transizione entro il 3 novembre 2026 per ridurre il rischio di lacune di sicurezza e assegnazioni di licenze incoerenti.

In altre notizie, Microsoft esorta gli utenti di Windows 10 LTSC a eseguire l’aggiornamento prima della fine del supporto. Gli esperti ipotizzano inoltre che Windows 11 26H2 potrebbe essere rilasciato tra settembre e ottobre.

Infine, l’azienda avrebbe installato l’app OneDrive Foto sui PC aziendali senza preavviso.

Via Neowin