Microsoft advarer om at Entra ID MemberOf-regler vil slutte å fungere

Microsoft vil pensjonere MemberOf-regeloperatoren i Microsoft Entra ID den 3. november 2026, noe som tvinger administratorer til å redesigne dynamiske grupper og policyer som er avhengige av nøstede gruppemedlemskap.

Selskapet kunngjorde endringen i Meldingssenter-varsel MC1448379. Etter fristen vil Entra ID-konfigurasjoner som fortsatt bruker operatoren, slutte å behandle medlemskapsendringer i bakgrunnen.

Eksisterende gruppemedlemskap vil bli frosset

Microsoft vil ikke umiddelbart slette grupper eller policyer som bruker MemberOf. I stedet vil medlemskapsdataene deres forbli frosset i den siste vellykket behandlede tilstanden.

Dette kan gjøre Microsoft 365-gruppemedlemskap utdaterte etter hvert som brukere bytter rolle, avdeling eller tilgangskrav. Regler for betinget tilgang som er knyttet til berørte grupper, kan også slutte å gjenspeile faktiske organisasjonsstrukturer.

Lisensieringstildelinger utgjør en annen bekymring. Brukere kan beholde lisenser de ikke lenger trenger, mens andre kanskje ikke får tildelt nødvendige lisenser fordi gruppemedlemskapet deres ikke lenger oppdateres.

Dynamiske administrative enheter og policyer for rettighetsstyring som avhenger av nøstede grupper, kan møte lignende problemer.

Microsoft sier at MemberOf ikke skalerer effektivt

Microsoft sier at operatoren fjernes fordi den underliggende behandlingsmodellen ikke skalerer godt i store miljøer.

En enkelt MemberOf-regel kan angivelig bremse medlemskapsberegningene i en hel tenant, inkludert dynamiske grupper som ikke bruker operatoren. Microsoft bestemte seg for å pensjonere funksjonen i stedet for å utvide tilgjengeligheten eller fortsette å håndtere ytelsesbegrensningene.

Avgjørelsen har frustrert enkelte administratorer fordi Microsoft ikke har kommet med en direkte erstatning som gjenskaper den samme nøstede gruppelogikken.

Administratorer må bygge om berørte regler

Team for identitets- og tilgangsadministrasjon må identifisere samtlige dynamiske grupper, administrative enheter og rettighetsstyringspolicyer som inneholder MemberOf-betingelser.

Microsoft Graph PowerShell kan hjelpe administratorer med å søke etter regler for dynamisk medlemskap på tvers av en tenant. Eksportverktøyene i Entra-administrasjonssenteret kan også bidra til å lokalisere berørte konfigurasjoner.

Microsoft anbefaler å erstatte sjekker av nøstede grupper med direkte attributtfiltre for brukere eller enheter der det er mulig. Administratorer kan for eksempel bygge regler basert på avdeling, stillingstittel, kontorsted, enhetseierskap eller et annet synkronisert katalogattributt.

Organisasjoner som ikke kan gjenskape den eksisterende logikken sin med attributter, kan måtte erstatte dynamiske grupper med manuelt vedlikeholdte statiske grupper.

Denne migreringen kan kreve betydelig arbeid i tenants som bruker nøstede gruppestrukturer for tilgangskontroll, lisensiering, programtildelinger og rettighetsstyring. Administratorer bør fullføre overgangen før 3. november 2026 for å redusere risikoen for sikkerhetshull og inkonsekvent lisensiering.

I andre nyheter oppfordrer Microsoft Windows 10 LTSC-brukere til å oppgradere før støtten opphører. Eksperter spekulerer også i at Windows 11 26H2 kan lanseres mellom september og oktober.

Til slutt har selskapet angivelig installert OneDrive Photos-appen på bedrifts-PC-er uten forvarsel.

Via Neowin