Microsoft、Entra IDのMemberOfルールが機能しなくなると警告

Microsoft は、2026 年 11 月 3 日をもって Microsoft Entra ID の MemberOf ルール演算子を廃止します。これにより、管理者は入れ子になったグループ メンバーシップに依存する動的グループやポリシーの再設計を余儀なくされます。

同社はこの変更を、Microsoft 365 メッセージ センターの通知 MC1448379 で発表しました。期限を過ぎると、この演算子を引き続き使用している Entra ID 構成は、バックグラウンドでのメンバーシップ変更の処理を停止します。

既存のグループ メンバーシップは凍結されます

Microsoft は、MemberOf を使用しているグループやポリシーを直ちに削除するわけではありません。代わりに、それらのメンバーシップ データは、最後に正常に処理された時点の状態で凍結されたままになります。

これにより、ユーザーの役割、部門、またはアクセス要件の変更に伴い、Microsoft 365 グループのメンバーシップが古くなったままになる可能性があります。影響を受けるグループに関連付けられた条件付きアクセス ルールも、現在の組織構造を反映しなくなる可能性があります。

ライセンスの割り当ても、もう 1 つの懸念事項です。不要になったライセンスをユーザーが保持し続ける一方で、グループ メンバーシップが更新されないために必要なライセンスを受け取れないユーザーが出てくる可能性があります。

入れ子になったグループに依存する動的な管理単位とエンタイトルメント管理ポリシーも、同様の問題に直面する可能性があります。

Microsoft は MemberOf が効率的にスケールしないと説明

Microsoft は、この演算子を削除する理由として、その基盤となる処理モデルが大規模環境ではうまくスケールしないことを挙げています。

単一の MemberOf ルールによって、テナント全体、つまりこの演算子を使用していない動的グループも含めたメンバーシップの計算が遅くなる可能性があると伝えられています。Microsoft は、この機能の可用性を拡張したり、パフォーマンスの制限をサポートし続けたりするのではなく、この機能を廃止することを決定しました。

Microsoft が同じ入れ子になったグループのロジックを再現する直接的な代替手段を提供していないため、この決定に不満を感じている管理者もいます。

管理者は影響を受けるルールを再構築する必要があります

ID およびアクセス管理チームは、MemberOf 条件を含むすべての動的グループ、管理単位、およびエンタイトルメント ポリシーを特定する必要があります。

Microsoft Graph PowerShell は、管理者がテナント全体の動的メンバーシップ ルールを検索するのに役立ちます。Entra 管理センターのエクスポート ツールも、影響を受ける構成を見つけるのに役立ちます。

Microsoft は、可能な限り、入れ子になったグループのチェックを、直接的なユーザー属性またはデバイス属性フィルターに置き換えることを推奨しています。たとえば、管理者は部門、役職、オフィスの場所、デバイスの所有権、またはその他の同期されたディレクトリ属性に基づいてルールを構築できます。

属性によって既存のロジックを再現できない組織は、動的グループを手動で管理する静的グループに置き換える必要があるかもしれません。

この移行は、アクセス制御、ライセンス、アプリケーションの割り当て、およびエンタイトルメント管理に入れ子になったグループ構造を使用しているテナントでは、多大な作業を必要とする可能性があります。セキュリティギャップや一貫性のないライセンス付与のリスクを減らすために、管理者は 2026 年 11 月 3 日より前に移行を完了する必要があります。

その他のニュースとして、Microsoft が Windows 10 LTSC ユーザーに対し、サポート終了前にアップグレードするよう要請しています。また、Windows 11 26H2 が 9 月から 10 月の間にリリースされる可能性があると専門家は推測しています。

最後に、同社が企業向け PC にOneDrive Photos アプリを事前の通知なくインストールしていたと報じられています。

Via Neowin