Microsoft、Entra IDのMemberOfルールが機能しなくなることを警告

Microsoftは、2026年11月3日にMicrosoft Entra IDのMemberOfルール演算子を廃止します。これにより、管理者はネストされたグループ メンバーシップに依存する動的グループとポリシーを再設計する必要に迫られます。

同社はこの変更をMicrosoft 365 メッセージ センターの通知 MC1448379 で発表しました。期限を過ぎると、この演算子を引き続き使用しているEntra ID構成は、メンバーシップの変更をバックグラウンドで処理しなくなります。

既存のグループ メンバーシップは凍結されます

Microsoftは、MemberOfを使用しているグループやポリシーを直ちに削除するわけではありません。代わりに、それらのメンバーシップ データは最後に正常に処理された状態で凍結されたままになります。

これにより、ユーザーが役割、部署、アクセス要件を変更しても、Microsoft 365のグループ メンバーシップが古いままになる可能性があります。影響を受けるグループに関連付けられた条件付きアクセス ルールも、最新の組織構造を反映しなくなる可能性があります。

ライセンスの割り当ても別の懸念事項です。ユーザーは不要になったライセンスを保持し続ける可能性があり、一方で他のユーザーはグループ メンバーシップが更新されなくなるため、必要なライセンスを受け取れなくなる可能性があります。

ネストされたグループに依存する動的管理単位とエンタイトルメント管理ポリシーも同様の問題に直面する可能性があります。

Microsoft、MemberOfは効率的にスケールしないと説明

Microsoftは、この演算子の基盤となる処理モデルが大規模環境ではうまくスケールしないため、削除すると述べています。

1つのMemberOfルールが、この演算子を使用していない動的グループも含め、テナント全体のメンバーシップ計算を遅くする可能性があると報告されています。Microsoftは、この機能の可用性を拡張したり、パフォーマンス制限をサポートし続けるのではなく、廃止することを決定しました。

この決定は、Microsoftが同じネストされたグループ ロジックを再現する直接的な代替手段を提供していないため、一部の管理者を苛立たせています。

管理者は影響を受けるルールを再構築する必要がある

IDおよびアクセス管理チームは、MemberOf条件を含むすべての動的グループ、管理単位、エンタイトルメント ポリシーを特定する必要があります。

Microsoft Graph PowerShellを使用すると、管理者はテナント全体の動的メンバーシップ ルールを検索できます。Entra 管理センターのエクスポート ツールも、影響を受ける構成を見つけるのに役立ちます。

Microsoftは、可能な限り、ネストされたグループのチェックを、直接的なユーザー属性またはデバイス属性フィルターに置き換えることを推奨しています。たとえば、管理者は部署、役職、オフィスの場所、デバイスの所有権、またはその他の同期されたディレクトリ属性を基にルールを構築できます。

属性を使用して既存のロジックを再現できない組織は、動的グループを手動で管理する静的グループに置き換える必要があるかもしれません。

この移行には、アクセス制御、ライセンス、アプリケーション割り当て、エンタイトルメント管理にネストされたグループ構造を使用しているテナントでかなりの作業が必要になる可能性があります。管理者は、セキュリティ上のギャップや一貫性のないライセンスのリスクを軽減するために、2026年11月3日より前に移行を完了する必要があります。

その他のニュースとして、MicrosoftはWindows 10 LTSCユーザーに対して、サポート終了前にアップグレードするよう促しています。専門家はまた、Windows 11 26H2が9月から10月の間にリリースされる可能性があると推測しています。

最後に、同社は事前の通知なしに企業PCにOneDrive フォト アプリをインストールしたと報じられています。

経由: Neowin