Microsoft waarschuwt: Entra ID MemberOf Rules zullen stoppen met werken

Microsoft zal de MemberOf-regeloperator in Microsoft Entra ID op 3 november 2026 buiten gebruik stellen, waardoor beheerders dynamische groepen en beleid die afhankelijk zijn van geneste groepslidmaatschappen opnieuw moeten ontwerpen.

Het bedrijf kondigde de wijziging aan in de Microsoft 365 Message Center notice MC1448379. Na de deadline stopt de verwerking van lidmaatschapswijzigingen op de achtergrond voor Entra ID-configuraties die de operator nog steeds gebruiken.

Bestaande groepslidmaatschappen worden bevroren

Microsoft verwijdert groepen of beleid dat MemberOf gebruikt niet onmiddellijk. In plaats daarvan blijven de lidmaatschapsgegevens bevroren in de laatst succesvol verwerkte status.

Dit kan ertoe leiden dat Microsoft 365-groepslidmaatschappen verouderd raken naarmate gebruikers van rol, afdeling of toegangsvereisten veranderen. Regels voor voorwaardelijke toegang die aan de betrokken groepen zijn gekoppeld, kunnen ook de huidige organisatiestructuren niet meer weerspiegelen.

Licentietoewijzingen zijn een ander punt van zorg. Gebruikers kunnen licenties behouden die ze niet langer nodig hebben, terwijl anderen mogelijk geen vereiste licenties ontvangen omdat hun groepslidmaatschap niet meer wordt bijgewerkt.

Dynamische beheereenheden en rechtenbeheerbeleid die afhankelijk zijn van geneste groepen kunnen vergelijkbare problemen ondervinden.

Microsoft zegt dat MemberOf niet efficiënt schaalt

Microsoft zegt dat het de operator verwijdert omdat het onderliggende verwerkingsmodel niet goed schaalt in grote omgevingen.

Naar verluidt kan een enkele MemberOf-regel de lidmaatschapsberekeningen in een hele tenant vertragen, inclusief dynamische groepen die de operator niet gebruiken. Microsoft heeft besloten de functie buiten gebruik te stellen in plaats van de beschikbaarheid ervan uit te breiden of de prestatielimieten ervan te blijven ondersteunen.

Deze beslissing heeft bij sommige beheerders tot frustratie geleid, omdat Microsoft geen directe vervanging heeft geboden die dezelfde logica voor geneste groepen reproduceert.

Beheerders moeten de betreffende regels opnieuw opbouwen

Teams voor identiteits- en toegangsbeheer moeten elke dynamische groep, beheereenheid en rechtenbeleid identificeren die MemberOf-voorwaarden bevat.

Microsoft Graph PowerShell kan beheerders helpen bij het zoeken naar regels voor dynamisch lidmaatschap in een tenant. De exporteerhulpmiddelen van het Entra-beheercentrum kunnen ook helpen bij het vinden van de betreffende configuraties.

Microsoft raadt aan om controles op geneste groepen waar mogelijk te vervangen door directe filters op gebruikers- of apparaatkenmerken. Beheerders kunnen bijvoorbeeld regels opstellen op basis van afdeling, functietitel, kantoorlocatie, apparaateigendom of een ander gesynchroniseerd directorykenmerk.

Organisaties die hun bestaande logica niet met kenmerken kunnen reproduceren, moeten dynamische groepen mogelijk vervangen door handmatig onderhouden statische groepen.

Deze migratie kan aanzienlijk werk vergen in tenants die geneste groepsstructuren gebruiken voor toegangsbeheer, licenties, toewijzing van toepassingen en rechtenbeheer. Beheerders dienen de overgang vóór 3 november 2026 te voltooien om het risico op beveiligingslekken en inconsistente licentieverlening te verkleinen.

In ander nieuws dringt Microsoft er bij Windows 10 LTSC-gebruikers op aan om te upgraden voordat de ondersteuning eindigt. Experts speculeren ook dat Windows 11 26H2 tussen september en oktober zou kunnen uitkomen.

Tot slot heeft het bedrijf naar verluidt de OneDrive Photos-app op zakelijke pc’s geïnstalleerd zonder voorafgaande kennisgeving.

Via Neowin