Entra ID
Microsoft stopt met memberOf: dynamische groepen staan sinds 3 november stil
Dynamische groepen die hun leden uit andere groepen halen, worden sinds 3 november niet meer bijgewerkt. Wat je ervan merkt en wat je nu doet.
Marcel van Beek · IAM Specialist · 3 min leestijd
Sinds 3 november 2026 werkt de memberOf-regel in Microsoft Entra ID niet meer. Dynamische groepen die hun leden uit andere groepen halen, worden sindsdien niet meer bijgewerkt. Microsoft kondigde het in augustus aan, en de datum is nu voorbij.
Wat er is veranderd
Met memberOf maakte je een dynamische groep die bestaat uit de leden van andere groepen, bijvoorbeeld een groep "Alle verkoop" uit "Verkoop NL" en "Verkoop BE". De functie is nooit uit preview gekomen. Microsoft zag dat zulke regels de verwerking van alle dynamische groepen in een tenant vertraagden, en heeft ze uitgezet.
Dat geldt voor dynamische groepen, dynamische administratieve eenheden en automatisch toewijzingsbeleid in entitlement management. De groepen blijven bestaan met de leden die ze op 3 november hadden. Er komt niemand meer bij en er gaat niemand meer af, en je krijgt daar geen melding van.
Wat je ervan merkt
Een nieuwe collega komt wel in de teamgroep, maar niet in de groep die daar vroeger naar keek. Hangt daar een licentie of een applicatie aan, dan krijgt ze die niet. Andersom houdt iemand die van afdeling wisselt de toegang van zijn oude team. Ook Conditional Access-policies en koppelingen via SCIM blijven hangen op wie er op 3 november in zat.
Wat je nu doet
- Zoek de dynamische groepen en administratieve eenheden met een
memberOf-regel op. Met Microsoft Graph PowerShell is dat een paar regels. - Begin met de groepen voor licenties, Conditional Access en provisioning.
- Vervang de regel door een regel op velden als afdeling of functie, of zet de groep om naar toegewezen lidmaatschap.
Het script, de drie manieren om een regel te vervangen en waar je op let bij het opslaan, staan in Microsoft stopt met memberOf in dynamische groepen. Dit moet je nu doen.
Met Joinly
In Joinly heb je memberOf niet nodig. Je maakt een rol voor een groep collega's, bijvoorbeeld op afdeling uit HR, en koppelt daar de groepen, licenties en applicaties aan die erbij horen. Verandert iemands functie in HR, dan verandert de rol mee, en daarmee alles wat eraan hangt. Heb je dynamische groepen gebouwd op groepen die Joinly vult, laat Joinly die groepen dan zelf beheren, of bouw de regel op de afdeling en functie die Joinly vanuit HR in Entra ID zet. Hoe rollen werken, lees je op rollen en RBAC.
Verder lezen
Hoe richt je access reviews in voor groepslidmaatschap?
Hoe geef je toegang tot applicaties via groepen in Entra ID?
Applicatietoegang via groepen regel je in Entra ID door de app als enterprise application te registreren, onder Properties de optie "Assignment required" op Yes te zetten, en vervolgens onder Users and groups je toegangsgroep toe te wijzen, eventueel gekoppeld aan een app role. Vanaf dat moment bepaalt het groepslidmaatschap wie de app ziet en kan gebruiken. De valkuil: alleen directe leden tellen; een geneste groep binnen je toegangsgroep krijgt níéts. Wie dit goed inricht, heeft per applicatie één plek waar toegang geregeld is. Wie het overslaat, heeft apps die voor de hele organisatie openstaan zonder dat iemand dat ooit zo besloten heeft.
Marcel van Beek · 5 min leestijd
Hoe maak je dynamische groepen op basis van HR attributen?
Een dynamische groep in Entra ID vult zichzelf op basis van een regel over gebruikersattributen, bijvoorbeeld iedereen met department Finance of jobTitle Teamleider. Je maakt hem aan via Entra ID → Groups → New group, kiest membership type Dynamic User en bouwt de regel in de rule builder. De groep werkt alleen zo goed als de HR attributen waarop hij draait: staan afdeling en functie niet betrouwbaar in Entra, dan doet de mooiste regel niets. Dat laatste is in de praktijk het echte werk. De regel bouwen kost vijf minuten; zorgen dat department, jobTitle en employeeType voor élke medewerker gevuld en actueel zijn, is een doorlopend proces. Dit artikel behandelt beide kanten.
Marcel van Beek · 8 min leestijd
Zien wat Joinly voor jouw organisatie doet?
Start direct met een gratis proefversie of neem contact op voor advies over jouw HR- en Microsoft-omgeving.
Geen creditcard, geen installatie.