Microsoft、Entra ID の MemberOf ルールが機能しなくなることを警告

Microsoft は、2026 年 11 月 3 日をもって Microsoft Entra ID の MemberOf ルール演算子を廃止します。これにより、管理者は、入れ子になったグループ メンバーシップに依存する動的グループやポリシーを再設計することを余儀なくされます。

同社はこの変更を、Microsoft 365 メッセージ センター通知 MC1448379 で発表しました。この期限後もなおこの演算子を使用している Entra ID の構成は、バックグラウンドでのメンバーシップ変更の処理を停止します。

既存のグループ メンバーシップは凍結されます

Microsoft は、MemberOf を使用しているグループやポリシーを直ちに削除するわけではありません。代わりに、それらのメンバーシップ データは、最後に正常に処理された状態で凍結されたままになります。

これにより、ユーザーの役割、部門、またはアクセス要件の変更に伴い、Microsoft 365 グループのメンバーシップが古くなったままになる可能性があります。影響を受けるグループに関連付けられた条件付きアクセス ルールも、現在の組織構造を反映しなくなる可能性があります。

ライセンス割り当ても、もう一つの懸念事項です。ユーザーが不要になったライセンスを保持し続ける一方で、グループ メンバーシップが更新されないために、他のユーザーが必要なライセンスを受け取れない可能性があります。

入れ子になったグループに依存する動的な管理単位と資格管理ポリシーも、同様の問題に直面する可能性があります。

Microsoft は、MemberOf は効率的にスケールしないと述べています

Microsoft は、この演算子を削除する理由として、その基盤となる処理モデルが大規模環境において適切にスケールしないことを挙げています。

1 つの MemberOf ルールが、この演算子を使用していない動的グループを含む、テナント全体のメンバーシップ計算を遅くする可能性があると報告されています。Microsoft は、この機能の可用性を拡大したり、パフォーマンスの制限をサポートし続けたりするのではなく、この機能を廃止することを決定しました。

Microsoft が同じ入れ子になったグループのロジックを再現する直接の代替手段を提供していないため、この決定に一部の管理者は不満を抱いています。

管理者は影響を受けるルールを再構築する必要があります

ID およびアクセス管理チームは、MemberOf 条件を含むすべての動的グループ、管理単位、および資格ポリシーを特定する必要があります。

Microsoft Graph PowerShell は、管理者がテナント全体で動的メンバーシップ ルールを検索するのに役立ちます。また、Entra 管理センターのエクスポート ツールも、影響を受ける構成を見つけるのに役立ちます。

Microsoft は、可能な限り、入れ子になったグループのチェックを、直接的なユーザーまたはデバイスの属性フィルターに置き換えることを推奨しています。たとえば、管理者は部門、役職、オフィスの場所、デバイスの所有権、またはその他の同期されたディレクトリ属性に基づいてルールを構築できます。

属性を使用して既存のロジックを再現できない組織は、動的グループを手動で管理する静的グループに置き換える必要があるかもしれません。

この移行は、アクセス制御、ライセンス、アプリケーション割り当て、資格管理に入れ子になったグループ構造を使用しているテナントでは、多大な作業を必要とする可能性があります。管理者は、セキュリティ ギャップや一貫性のないライセンスのリスクを軽減するために、2026 年 11 月 3 日より前に移行を完了する必要があります。

その他のニュースでは、サポート終了前にMicrosoft が Windows 10 LTSC ユーザーにアップグレードを促しています。また、Windows 11 26H2 が 9 月から 10 月の間にリリースされる可能性があると専門家は推測しています。

最後に、同社は事前の通知なしにOneDrive Photos アプリをエンタープライズ PC にインストールしたと報告されています。

Via Neowin