Microsoft avverte che le regole MemberOf di Entra ID smetteranno di funzionare

Microsoft ritirerà l’operatore di regola MemberOf in Microsoft Entra ID il 3 novembre 2026, costringendo gli amministratori a riprogettare i gruppi dinamici e i criteri che si basano sull’appartenenza a gruppi annidati.

L’azienda ha annunciato la modifica nell’avviso del Centro messaggi di Microsoft 365 MC1448379. Dopo la scadenza, le configurazioni di Entra ID che usano ancora l’operatore smetteranno di elaborare le modifiche alle appartenenze in background.

Le appartenenze ai gruppi esistenti verranno congelate

Microsoft non eliminerà immediatamente i gruppi o i criteri che utilizzano MemberOf. Invece, i relativi dati di appartenenza rimarranno congelati allo stato dell’ultima elaborazione riuscita.

Ciò potrebbe rendere obsolete le appartenenze ai gruppi di Microsoft 365 quando gli utenti cambiano ruolo, reparto o requisiti di accesso. Anche le regole di Accesso Condizionale associate ai gruppi interessati potrebbero smettere di riflettere le strutture organizzative correnti.

Le assegnazioni delle licenze rappresentano un’altra preoccupazione. Gli utenti potrebbero conservare licenze di cui non hanno più bisogno, mentre ad altri potrebbero non essere assegnate le licenze necessarie perché la loro appartenenza al gruppo non si aggiorna più.

Anche le unità amministrative dinamiche e i criteri di gestione entitlement che dipendono da gruppi annidati potrebbero andare incontro a problemi simili.

Microsoft afferma che MemberOf non scala in modo efficiente

Microsoft afferma di rimuovere l’operatore perché il modello di elaborazione sottostante non scala bene in ambienti di grandi dimensioni.

Si dice che una singola regola MemberOf possa rallentare i calcoli delle appartenenze in un intero tenant, inclusi i gruppi dinamici che non usano l’operatore. Microsoft ha deciso di ritirare la funzionalità anziché espanderne la disponibilità o continuare a supportare le sue limitazioni di prestazioni.

La decisione ha frustrato alcuni amministratori perché Microsoft non ha fornito una sostituzione diretta che riproduca la stessa logica dei gruppi annidati.

Gli amministratori devono ricostruire le regole interessate

I team di Identity and Access Management dovranno identificare ogni gruppo dinamico, unità amministrativa e criterio di entitlement che contiene condizioni MemberOf.

Microsoft Graph PowerShell può aiutare gli amministratori a cercare le regole di appartenenza dinamica in un tenant. Anche gli strumenti di esportazione dell’Interfaccia di amministrazione di Entra possono aiutare a individuare le configurazioni interessate.

Microsoft consiglia di sostituire i controlli sui gruppi annidati con filtri diretti sugli attributi di utenti o dispositivi, ove possibile. Ad esempio, gli amministratori potrebbero creare regole basate su reparto, mansione, sede, proprietà del dispositivo o un altro attributo di directory sincronizzato.

Le organizzazioni che non possono riprodurre la logica esistente con gli attributi potrebbero dover sostituire i gruppi dinamici con gruppi statici gestiti manualmente.

Questa migrazione potrebbe richiedere un lavoro significativo nei tenant che usano strutture di gruppi annidati per il controllo degli accessi, le licenze, le assegnazioni delle applicazioni e la gestione entitlement. Gli amministratori dovrebbero completare la transizione prima del 3 novembre 2026 per ridurre il rischio di lacune di sicurezza e licenze incoerenti.

In altre notizie, Microsoft esorta gli utenti di Windows 10 LTSC ad eseguire l’aggiornamento prima della fine del supporto. Gli esperti ipotizzano inoltre che Windows 11 26H2 potrebbe essere rilasciato tra settembre e ottobre.

Infine, secondo quanto riferito, l’azienda ha installato l’app OneDrive Photos su PC aziendali senza preavviso.

Via Neowin