Si vous utilisez l’opérateur memberOf dans vos règles dynamiques Microsoft Entra, il est temps de vérifier votre tenant.
Microsoft a annoncé la fin de la Public Preview de cet opérateur.
À partir du 3 novembre 2026, les configurations utilisant memberOf ne seront tout simplement plus mises à jour.
À quoi servait memberOf ?
L’opérateur memberOf permettait notamment de créer un groupe dynamique basé sur l’appartenance à un ou plusieurs autres groupes.
Par exemple :
user.memberof -any (group.objectId -in ['ID-DU-GROUPE'])Pratique pour récupérer automatiquement les membres d’un groupe existant dans un autre groupe dynamique.
La fonctionnalité était cependant toujours en Public Preview et Microsoft déconseillait déjà son utilisation en production.
Pourquoi Microsoft l’abandonne ?
Microsoft explique avoir constaté que l’utilisation de memberOf pouvait ralentir le traitement des appartenances dynamiques, avec un impact potentiel sur l’ensemble du tenant.
Plutôt que de généraliser la fonctionnalité, Microsoft a donc décidé de mettre fin à cette Preview et travaille sur une alternative plus fiable et plus scalable.
Que se passe-t-il le 3 novembre 2026 ?
Attention : Microsoft ne va pas forcément supprimer vos groupes ou vos règles.
Les configurations utilisant memberOf vont rester dans leur dernier état connu, mais leur appartenance ne sera plus recalculée.
Cela peut notamment provoquer des écarts sur :
- les accès Teams et SharePoint ;
- les licences attribuées par groupe ;
- le ciblage de certaines stratégies Conditional Access ;
- les unités administratives dynamiques ;
- les Access Packages dans Entitlement Management.
En clair : un utilisateur pourrait conserver un accès alors qu’il ne devrait plus l’avoir, ou au contraire ne pas recevoir automatiquement un nouvel accès.
Que faut-il vérifier ?
Microsoft recommande d’identifier dès maintenant toutes les configurations utilisant memberOf.
Trois éléments sont concernés :
- les groupes dynamiques ;
- les unités administratives dynamiques ;
- les stratégies d’affectation automatique d’Entitlement Management.
Pour les groupes dynamiques, il faudra remplacer la règle par des opérateurs toujours supportés lorsque cela est possible, ou repasser sur une appartenance Assigned.
En résumé
memberOf était une fonctionnalité intéressante pour construire des groupes dynamiques à partir d’autres groupes, mais elle n’aura finalement jamais dépassé le stade de la Preview.
Si vous l’avez utilisée malgré son statut de préversion, vous avez jusqu’au 3 novembre 2026 pour revoir vos configurations.
Preview un jour ne veut pas forcément dire GA un jour 😅
