En ændring i Microsofts identitetsplatform når sin generelle frist i dag, den 3. november. Organisationer, der bruger preview-operatoren memberOf til automatisk at samle brugere fra andre grupper i Entra ID, skal være opmærksomme på, om deres regler fortsat bliver opdateret.
Der er samtidig en vigtig undtagelse. Kunder med Entra ID Governance har fået en særskilt forlængelse til den 31. marts 2027. Dagens dato kan derfor ikke bruges som én fælles stopdato for alle organisationer med Entra.
Grupperne forsvinder ikke nødvendigvis
Microsofts dokumentation for memberOf beskriver, at berørte dynamiske grupper og administrative enheder bliver stående i deres seneste tilstand, når opdateringen stopper. Det samme gælder berørte automatiske tildelingspolitikker i Entitlement Management.
Det kan give forældede adgangsrettigheder, licenstildelinger og målgrupper for Conditional Access. Microsoft angiver, at operatoren har været i public preview og ikke var beregnet til produktionsbrug. Under afprøvningen kunne den forsinke behandling af dynamiske medlemskaber på tværs af en organisation.
For en administrator er forskellen mellem en slettet gruppe og et fastfrosset medlemskab afgørende. En gruppe kan stadig se normal ud, selv om nye ændringer ikke bliver afspejlet. Et eksisterende medlem på listen er derfor ikke i sig selv dokumentation for, at automatikken fungerer.
Et tænkt eksempel er en medarbejder, som skifter afdeling. Hvis adgang til en tjeneste bygger på en gruppe, der ikke længere følger ændringerne, kan den faktiske adgang komme til at afvige fra det, organisationens regel skulle sikre. Det er en mulig følge af opsætningen, ikke en konstateret hændelse hos en bestemt virksomhed.
En målrettet forlængelse ændrer billedet
I Entra.News' gennemgang fra den 1. november beskriver Merill Fernando og Joshua den forlængede frist for kunder med ID Governance. Den er knyttet til meddelelsen MC1488839 og flytter fristen til den 31. marts 2027 for den berørte kundegruppe.
Det gør det nødvendigt at kontrollere organisationens egne beskeder i Microsoft 365 Message Center. En generel artikel om fristen kan ikke afgøre, hvilken målrettet meddelelse en konkret organisation har modtaget, eller hvilke konfigurationer den faktisk bruger.
Forlængelsen bør heller ikke læses som en almindelig forlængelse af enhver preview-funktion i Entra. Det er netop memberOf-konfigurationerne og den pågældende kundegruppe, der er omfattet af den beskrevne overgang. Andre identitetsfunktioner har deres egne vilkår og tidsplaner.
Automatiske adgangspakker kræver deres eget tjek
Microsofts vejledning om automatisk tildeling af adgangspakker beskriver den generelle konsekvens som karantæne for politikker, hvis medlemskabsregel bruger memberOf: Politikken bliver stående, men behandlingen af tildelinger stopper.
Vejledningen indeholder et PowerShell-eksempel, der finder de berørte automatiske politikker og skriver en CSV-rapport. Det er en læsende kontrol, som ikke ændrer politikkerne. En rapport uden fund får stadig kolonneoverskrifter, så kontrollen efterlader et resultat.
Microsoft anbefaler at omskrive regler med understøttede attributbaserede operatorer. Hvis en tilsvarende regel ikke findes, skal en alternativ tildelingsmetode planlægges, før den gamle politik fjernes. Efter en ændring skal de faktiske tildelinger kontrolleres.
Det er en anden opgave end blot at finde ordet memberOf i en eksport. Fundet viser, hvor man bør undersøge nærmere; det dokumenterer ikke automatisk, at en erstatning giver præcis de samme brugere adgang. Det kræver en sammenligning af den ønskede og den faktiske målgruppe.
En varslet ændring med betydning i dag
Microsoft nævnte allerede udfasningen i Entra-opdateringen for september. Dagens nyhed er dermed en varslet overgang, der når sin generelle frist, snarere end en uanmeldt ændring i alle kunders systemer.
For organisationer, som er berørt, er det praktiske arbejde at fastslå tre ting: Hvilke regler bruger operatoren, hvilken frist gælder for organisationen, og bliver de tilsigtede adgangsændringer faktisk gennemført?
Det sidste spørgsmål kan ikke besvares ved alene at se, om en gruppe eller politik stadig findes. Det er sammenhængen mellem medlemskab, tildeling og den konkrete adgang, som skal holde. En overset overgang kan ellers efterlade et system, der ser uændret ud, mens dets automatiske vedligeholdelse er stoppet.
