Microsoft advarer: Entra ID MemberOf-regler vil slutte å fungere

Microsoft vil pensjonere MemberOf-operatøren i Microsoft Entra ID 3. november 2026, noe som tvinger administratorer til å redesigne dynamiske grupper og policyer som er avhengige av nestede gruppemedlemskap.

Selskapet kunngjorde endringen i Microsoft 365 Message Center-meldingen MC1448379. Etter fristen vil Entra ID-konfigurasjoner som fortsatt bruker operatøren, slutte å behandle medlemskapsendringer i bakgrunnen.

Eksisterende gruppemedlemskap vil bli fastfryst

Microsoft vil ikke umiddelbart slette grupper eller policyer som bruker MemberOf. I stedet vil medlemskapsdataene deres forbli fastfryst i den siste vellykkede behandlede tilstanden.

Dette kan føre til at Microsoft 365-gruppemedlemskap blir utdaterte når brukere endrer roller, avdelinger eller tilgangskrav. Regler for betinget tilgang knyttet til berørte grupper kan også slutte å gjenspeile gjeldende organisatoriske strukturer.

Lisensieringstildelinger utgjør en annen bekymring. Brukere kan beholde lisenser de ikke lenger trenger, mens andre kanskje ikke får nødvendige lisenser fordi gruppemedlemskapet deres ikke lenger oppdateres.

Dynamiske administrative enheter og policyer for rettighetsadministrasjon som er avhengige av nestede grupper, kan få lignende problemer.

Microsoft sier at MemberOf ikke skalerer effektivt

Microsoft sier at de fjerner operatøren fordi den underliggende behandlingsmodellen ikke skalerer godt i store miljøer.

En enkelt MemberOf-regel kan visstnok forsinke medlemskapsberegninger på tvers av en hel tenant, inkludert dynamiske grupper som ikke bruker operatøren. Microsoft bestemte seg for å pensjonere funksjonen i stedet for å utvide tilgjengeligheten eller fortsette å støtte ytelsesbegrensningene.

Avgjørelsen har frustrert noen administratorer fordi Microsoft ikke har levert en direkte erstatning som gjengir den samme nestede gruppelogikken.

Administratorer må bygge om berørte regler

Team for identitets- og tilgangsadministrasjon må identifisere alle dynamiske grupper, administrative enheter og rettighetspolicyer som inneholder MemberOf-vilkår.

Microsoft Graph PowerShell kan hjelpe administratorer med å søke etter dynamiske medlemskapsregler på tvers av en tenant. Eksportverktøyene i Entra administrasjonssenter kan også hjelpe med å finne berørte konfigurasjoner.

Microsoft anbefaler å erstatte sjekker av nestede grupper med direkte bruker- eller enhetsattributtfiltre der det er mulig. For eksempel kan administratorer bygge regler basert på avdeling, stillingstittel, kontorsted, enhetseierskap eller et annet synkronisert katalogattributt.

Organisasjoner som ikke kan reprodusere sin eksisterende logikk med attributter, kan måtte erstatte dynamiske grupper med manuelt vedlikeholdte statiske grupper.

Denne migreringen kan kreve betydelig arbeid i tenants som bruker nestede gruppestrukturer for tilgangskontroll, lisensiering, applikasjonstildelinger og rettighetsadministrasjon. Administratorer bør fullføre overgangen før 3. november 2026 for å redusere risikoen for sikkerhetshull og inkonsekvent lisensiering.

I andre nyheter oppfordrer Microsoft Windows 10 LTSC-brukere til å oppgradere før støtten avsluttes. Eksperter spekulerer også i at Windows 11 26H2 kan lanseres mellom september og oktober.

Til slutt har selskapet angivelig installert OneDrive Photos-appen på bedrifts-PCer uten forvarsel.

Kilde: Neowin