Microsoft stopt met memberOf in dynamische groepen. Dit moet je nu doen
Heb je dynamische groepen die hun leden uit andere groepen halen? Dan worden die sinds 3 november 2026 niet meer bijgewerkt. Microsoft heeft de memberOf-regel uitgezet, en de groepen blijven hangen op hoe ze die dag waren. Je krijgt er geen melding van. Hieronder lees je hoe je ze vindt en waarmee je de regel vervangt.
Wat er op 3 november veranderde
Met memberOf kon je in Entra ID een dynamische groep maken die zijn leden haalt uit andere groepen. Bijvoorbeeld een groep "Alle verkoop" die automatisch bestaat uit "Verkoop NL" en "Verkoop BE". Veel beheerders gebruikten dat om een licentie, een applicatie of een Conditional Access-policy aan te hangen.
De functie is altijd een preview gebleven. Microsoft zag dat zulke regels de verwerking van álle dynamische groepen in een tenant vertraagden, en heeft ze daarom uitgezet. Sinds 3 november 2026 worden ze niet meer verwerkt. Dat geldt voor dynamische groepen, voor dynamische administratieve eenheden en voor automatisch toewijzingsbeleid in entitlement management.
De groepen zelf blijven bestaan, met de leden die ze op dat moment hadden. Microsoft gooit niets weg. Er verandert alleen niets meer.
Waarom je er zo weinig van merkt
Een groep die niet meer wordt bijgewerkt, ziet er in het beheercentrum precies hetzelfde uit als eerst. De regel staat er nog, er is geen foutmelding en je krijgt geen mail. Je merkt het pas als iemand iets mist.
Stel: Sanne begint maandag bij Verkoop. HR heeft haar ingevoerd en ze komt netjes in de groep "Verkoop NL". Maar de CRM-licentie hangt aan "Alle verkoop", en die groep kijkt sinds 3 november niet meer mee. Sanne kan dus niet in het CRM. Dat meldt ze binnen een uur bij de servicedesk.
Het omgekeerde meldt niemand. Gaat een collega van Verkoop naar Finance, dan haal je hem uit "Verkoop NL", maar in "Alle verkoop" blijft hij staan. Hij houdt zijn licentie en zijn toegang tot het CRM, en niemand ziet het.
Hoe vervelend dat is, hangt af van waar de groep voor dient:
Licenties: nieuwe mensen krijgen er geen, en wie vertrok of van functie wisselde, houdt de zijne.
Applicaties en SharePoint: nieuwe mensen komen er niet in, oude blijven erin.
Conditional Access: de policy geldt alleen nog voor wie er op 3 november in zat.
Provisioning via SCIM: de koppeling blijft groen, maar nieuwe medewerkers en functiewijzigingen komen niet meer aan in de applicatie.
Administratieve eenheden en access packages: beheerders en pakketten blijven hangen op de oude groep mensen.
Zoek uit welke groepen het raakt
Microsoft raadt aan om eerst al je dynamische groepen op een rij te zetten en te kijken welke regels memberOf gebruiken. Met Microsoft Graph PowerShell heb je dat zo, en je neemt de administratieve eenheden meteen mee:
Alle dynamische groepen en administratieve eenheden met een memberOf-regel
Gebruik je access packages, kijk dan ook in het Entra-beheercentrum onder Identity Governance naar het automatische toewijzingsbeleid van elk pakket.
Schrijf bij elke groep op waar hij voor gebruikt wordt. Begin met de groepen voor licenties, Conditional Access en provisioning, want daar kost een groep die stilstaat geld of veiligheid.
Hoe je een memberOf-regel vervangt
Er is geen nieuwe operator die precies hetzelfde doet. Welke oplossing past, hangt af van hoe de groepen gevuld worden waar je regel nu naar kijkt.
Zijn die groepen zelf dynamisch? Dan is het eenvoudig. Neem hun regels over in je nieuwe regel en zet er or tussen. Je groep vult zich dan op dezelfde velden als de groepen waar hij vroeger naar keek.
Worden ze met de hand gevuld, maar is er een veld dat de leden gemeen hebben? Bouw de regel dan op dat veld: afdeling, functie, bedrijfsnaam of een extension attribute. Kijk wel eerst of dat veld echt bij iedereen gevuld is, anders vallen er mensen buiten.
Is er geen veld dat ze onderscheidt? Zet de groep dan om naar toegewezen lidmaatschap en beheer de leden voortaan zelf. Exporteer de leden voordat je dat doet, zodat je achteraf kunt nagaan dat er niemand uit is gevallen.
Controleer een nieuwe regel altijd voordat je opslaat. Met Regels valideren in het beheercentrum test je hem op een paar mensen die er wel en niet in horen. Vergelijk daarna het verwachte lidmaatschap met het huidige: wie er nu in zit en straks niet, verliest zijn toegang zodra je opslaat. Na het opslaan wacht je tot de verwerking klaar is en kijk je de leden nog één keer na. Groepen die je niet meer nodig hebt, zet je op pauze of verwijder je.
Het eigenlijke probleem zat al eerder
Waarom gebruikten zoveel organisaties memberOf? Meestal omdat de informatie alleen in een groep stond. Het team Planning bestond in Entra ID als groep en nergens als afdeling of functie. Dan is een groep die naar die groep kijkt de makkelijkste weg.
Ga je nu over op regels met attributen, dan moeten die attributen kloppen. Voor iedereen, en ook na elke overplaatsing. Welke velden dat zijn en wat er misgaat als ze leeg zijn, lees je in gebruikersattributen in Entra ID. Kies je voor toegewezen lidmaatschap, dan klopt de groep vandaag weer, maar moet iemand hem bijhouden. Over een jaar weet niemand meer waarom wie erin zit.
Eigenlijk wilde je met zo'n regel iets anders regelen: dat een groep collega's samen dezelfde toegang krijgt. Een licentie, een paar groepen, een applicatie, een gedeelde mailbox. Met groepen die naar elkaar verwijzen bouw je dat laag op laag, en elke laag kan ongemerkt blijven hangen. Dat is nu precies gebeurd.
Joinly
Zo regel je dit in Joinly
In Joinly maak je voor zo'n groep collega's een rol, bijvoorbeeld op afdeling Verkoop uit je HR-systeem. Aan die rol koppel je alles wat erbij hoort: de Entra-groepen, de CRM-licentie, de applicatie en de gedeelde mailbox. In Joinly heet elk van die dingen een toegangsitem.
Begint Sanne bij Verkoop, dan krijgt ze de rol en daarmee alles wat erin zit. Gaat haar collega naar Finance, dan raakt hij de rol kwijt en gaat de toegang eraf. Alleen wat hij ook via een andere rol of met een reden heeft gekregen, houdt hij, want Joinly houdt bij waarom iemand iets heeft. Er zit geen groep meer tussen die naar een andere groep kijkt, dus er is ook niets dat kan blijven hangen.
Groepen die Joinly vult, blijven gewoon bijgewerkt. Heb je dynamische groepen gebouwd op groepen die Joinly vult, dan staan die nu stil. Laat Joinly de groep dan zelf beheren, of bouw de regel op de velden die Joinly vanuit HR in Entra ID zet, zoals afdeling en functie.
Een groep overnemen gaat rustig. Joinly leest eerst wie er nu in zit. Met Evalueer zie je daarna wie erbij komt en wie eruit gaat, nog voordat er in Entra ID iets verandert. Uitzonderingen geef je met de hand, met een reden en een einddatum.
Licenties hangen gewoon aan de rol. Je hebt geen aparte licentiegroep meer nodig.
Alles is terug te zien. Elke toekenning en intrekking staat in het auditlog, met de rol of de reden erbij.
Verandert iemands functie in HR, dan verandert de rol mee, en daarmee elke groep, licentie en applicatie die eraan hangt. In Entra ID en in je eigen Active Directory.
Nee. Sinds 3 november 2026 verwerkt Microsoft Entra ID geen regels met `memberOf` meer. Dat geldt voor dynamische groepen, dynamische administratieve eenheden en automatisch toewijzingsbeleid in entitlement management.
Wat gebeurt er met een groep die nog een memberOf-regel heeft?+
Die blijft bestaan met de leden die hij had toen Microsoft stopte. Er komt niemand meer bij en er gaat niemand meer af. Je krijgt daar geen melding van.
Waarom heeft Microsoft memberOf uitgezet?+
Regels met `memberOf` vertraagden de verwerking van alle dynamische groepen in een tenant. De functie is nooit uit preview gekomen.
Hoe vervang ik een memberOf-regel?+
Bouw de regel op velden als afdeling, functie of een extension attribute, of neem de regels over van de groepen waar je regel naar keek als die zelf dynamisch zijn. Is er geen veld dat de leden gemeen hebben, zet de groep dan om naar toegewezen lidmaatschap.
Heb ik memberOf nodig als ik Joinly gebruik?+
Nee. In Joinly koppel je de groepen, licenties en applicaties die bij elkaar horen aan één rol, en die rol volgt de functie, afdeling of locatie uit HR. Een groep die zijn leden uit andere groepen haalt, is dan niet meer nodig.
Probeer Joinly bovenop je eigen Microsoft-omgeving
Rollen, workflows, externen en een auditlog voor Entra ID en Active Directory. Begin met demodata in de gratis proefomgeving.
