openPR bei Google bevorzugen.
(openPR) Microsoft beendet zum 3. November 2026 die Public Preview des memberOf-Regeloperators für dynamische Gruppen in Microsoft Entra ID. Betroffene dynamische Gruppen hören danach auf, ihre Mitgliedschaft zu aktualisieren, ohne Fehlermeldung und ohne Warnung. Die FirstAttribute AG reagiert auf diese Änderung mit einem kostenlosen PowerShell-Skript zur Bestandsaufnahme sowie einem konkreten Lösungsweg über die eigene SaaS-Lösung DynamicSync.
Ein Problem, das viele Organisationen erst spät bemerken
Der memberOf-Operator ermöglichte es IT Administratoren, dynamische Gruppen in Entra ID so zu definieren, dass Mitglieder automatisch übernommen wurden, sobald sie bereits einer anderen Gruppe angehörten, etwa für Sammelgruppen aus mehreren Standort- oder Kostenstellengruppen, für Lizenzzuweisungen, Conditional-Access-Richtlinien oder Teams- und SharePoint-Zugriffe.
Als Grund für die Abschaltung nennt Microsoft Skalierungsprobleme. Da memberOf nur über den erweiterten Regel-Editor nutzbar war und nie eine grafische Standardoption darstellte, wissen viele Organisationen nicht genau, in welchem Umfang sie den Operator überhaupt einsetzen.
Stille Sicherheitslücke
Besonders kritisch ist, dass die Abschaltung sich nicht als Fehler äußert. Wer eine Organisation verlässt oder die Abteilung wechselt, bleibt in den betroffenen Gruppen und behält damit weiterhin Zugriff auf Lizenzen, Anwendungen oder Microsoft-365-Ressourcen, die eigentlich hätten entzogen werden müssen. Umgekehrt erhalten neue Mitarbeiter oder externe Partner die vorgesehenen Berechtigungen nicht mehr automatisch. Für Organisationen mit Compliance-Anforderungen entsteht damit eine Governance-Lücke, die ohne aktives Gegensteuern unbemerkt bleibt.
Kostenloses Skript schafft Transparenz
Um Organisationen die Bestandsaufnahme zu erleichtern, stellt FirstAttribute ab sofort ein kostenloses PowerShell-Skript zur Verfügung. Es durchsucht den gesamten Entra ID Tenant nach allen Objekten, die den memberOf-Operator nutzen, und gibt die Ergebnisse wahlweise in der Konsole, als HTML-Report oder als CSV-Export aus. Das Skript kommt ohne zusätzliche PowerShell-Module und ohne eigene Azure App Registration aus und lässt sich damit ohne zusätzlichen Einrichtungsaufwand einsetzen.
DynamicSync als Alternative für den laufenden Betrieb
Für den anschließenden Umbau betroffener Regeln bietet FirstAttribute mit DynamicSync eine SaaS-Lösung an, die zentrale memberOf-Anwendungsfälle abdeckt. Über automatisierte Gruppensynchronisierungen lassen sich Mitglieder einer Quellgruppe fortlaufend und automatisch in eine Zielgruppe übertragen, etwa um Standort- oder Kostenstellengruppen in einer gemeinsamen Sammelgruppe zusammenzuführen.
„Viele unserer Kunden wussten bis vor Kurzem gar nicht, ob sie memberOf überhaupt einsetzen. Mit dem Skript schaffen wir erst einmal Klarheit, bevor es an die eigentliche Umstellung geht.", sagt Florian Staudter, Customer Success Manager bei FirstAttribute. “Für den anschließenden Umstieg bietet sich unser Tool DynamicSync an. Mit den automatisierten Gruppensynchronisierungen lassen sich Gruppenmitgliedschaften in Entra 1:1 übertragen, was für viele Unternehmen eine echte Hilfestellung ist.”
Verfügbarkeit
Das Skript steht ab sofort kostenlos zum Download im Blogbeitrag zur memberOf-Abschaltung bereit. Wer sich für DynamicSync interessiert, kann direkt eine Demo vereinbaren.
