Microsoft-ը սահմանել է Entra ID MemberOf-ի անջատման վերջնական ժամկետը
Microsoft-ը հրապարակել է պաշտոնական վերջին զգուշացումը և միգրացիոն ուղեցույցը՝ սահմանելով 2026 թվականի նոյեմբերի 3-ը որպես Microsoft Entra ID MemberOf կանոնների օպերատորի և API-ի կախվածությունների շահագործման ավարտի հստակ ժամկետ։ Ինչպես հաղորդում է daily.entra.news-ի հրապարակված հաղորդագրությունը, MemberOf-ի հանրային նախնական տարբերակի (public preview) աշխատանքը պաշտոնապես կերպով դադարեցվում է՝ նախկինում հրապարակված ծանուցումների տրամաբանությանը համապատասխան։ Այս հայտարարությունը հետևում է դեռևս 2026 թվականի օգոստոսին և հոկտեմբերին արված նախազգուշացումներին, որոնք նշանավորում են բազմափուլ հեռացման ժամանակացույցի ավարտը և ուղղված են ձեռնարկություններին դեպի Microsoft Graph-ի վրա հիմնված ժամանակակից ինտերֆեյսներ տեղափոխելուն։
Այս անջատման հիմնական պատճառը մասշտաբայնության և հուսալիության խնդիրներն են, որոնք արձանագրվել են Microsoft-ի կողմից նախնական փորձարկումների ընթացքում։ Համաձայն daily.entra.news-ի տվյալների՝ ընկերությունը պարզել է, որ MemberOf-ի օգտագործումը բացասաբար է անդրադառնում դինամիկ անդամակցության մշակման գործընթացների վրա ամբողջ վարձակալի (tenant) մակարդակով, նույնիսկ եթե համակարգում առկա է միայն մեկ կանոն։ Այդ իսկ պատճառով ֆունկցիոնալությունը հանվում է շահագործումից, քանի որ այն նախատեսված չէ արտադրական միջավայրերում լայնածավալ կիրառման համար։
Թեև MemberOf կանոնների օպերատորը երբեք պաշտոնապես չէր դուրս եկել հանրային նախնական տարբերակի կարգավիճակից, ներդրված խմբերի մոդելավորման գործում նրա օգտակարությունը հանգեցրել էր լայն տարածման կորպորատիվ միջավայրերում։ Կազմակերպությունները պարբերաբար հիմնվում էին այնպիսի կանոնների վրա, ինչպիսին է user.memberof-ը, որպեսզի առանց ձեռքով միջամտության կոնկրետ խմբերի անմիջական անդամներին ներառեն դինամիկ կառույցների մեջ։ Այնուամենայնիվ, քանի որ այս մոտեցումը չափազանց մեծ հաշվողական պահանջներ էր դնում վարձակալի մակարդակով նույնականացման մշակման վրա, Microsoft-ը որոշեց ընդմիշտ փակել այս հնարավորությունը մասնակի օպտիմալացումներ փորձելու փոխարեն։
Ազդեցությունը կազմակերպությունների և անվտանգության համակարգերի վրա
Թեև վերջնական օգտատերերը չեն տեսնի որևէ անմիջական փոփոխություն իրենց առօրյա աշխատանքում, ՏՏ ադմինիստրատորներն ու ծրագրավորողները բախվում են լուրջ գործառնական ռիսկերի, եթե ժամանակին չվերանայեն գոյություն ունեցող կախվածությունները։ Փոփոխությունն ուղղակիորեն վերաբերում է դինամիկ անդամակցության խմբերին, դինամիկ վարչական միավորներին (AUs) և արտոնությունների կառավարման ավտոմատ նշանակման քաղաքականություններին։
2026 թվականի նոյեմբերի 3-ից հետո չթարմացված խմբերն ու քաղաքականությունները կսառչեն իրենց վերջին հայտնի վիճակում։ Ինչպես նշվում է 9to5windows-ի վերլուծությունում, սա կարող է հանգեցնել ժամկետանց թույլտվությունների, բանալի մուտքերի խափանումների, խմբային լիցենզավորման սխալների և Պայմանական մուտքի (Conditional Access) կանոնների անճշտությունների, քանի որ հավելվածներն ու սկրիպտները այլևս չեն կարողանա ճիշտ հարցումներ ուղղել։ Նոր օգտատերերը կարող են չստանալ անհրաժեշտ հասանելիություն կամ լիցենզիաներ, մինչդեռ հեռացված աշխատակիցները կամ արտաքին գործընկերները կարող են անվերջ պահպանել իրենց թույլտվությունները։
Ավելին, կախված հավելվածները, ինչպիսին են SharePoint-ը կամ Microsoft Teams-ը, կարող են ստանալ հնացած անդամակցության տվյալներ, ինչը հանգեցնում է անվտանգության լուրջ խոցելիությունների։ Կազմակերպությունները, որոնք օգտագործում են այս դինամիկ կառույցները Պայմանական մուտքի անվտանգության նպատակներով, կբախվեն համապատասխանության խնդիրների, քանի որ նույնականացման շրջանակները շեղվելու են իրական մարդկային ռեսուրսների տվյալներից։
Անհրաժեշտ քայլեր և միգրացիոն ուղեցույց
Ռիսկերը չեզոքացնելու համար Microsoft-ը հորդորում է ադմինիստրատորներին անհապաղ գույքագրել իրենց հավելվածներն ու սկրիպտները, որոնք հղվում են MemberOf-ին։ Անհրաժեշտ է փոխարինել հին օպերատորները Microsoft Graph API-ի ժամանակակից անդամակցության հարցումներով կամ փոխակերպել խմբերը նշանակված անդամակցության մոդելների՝ մինչև վերջնաժամկետի ավարտը։ Ինչպես նշվում է տեխնիկական ուղեցույցներում, վարչական միավորների և ավտոմատ նշանակման քաղաքականությունների համար կարելի է օգտագործել հատուկ PowerShell հրամաններ՝ խոցելի կոնֆիգուրացիաները հայտնաբերելու համար։
Մշակողների և ՏՏ մասնագետների համար նախատեսված առաջարկությունները ներառում են նաև օգտատերերի բնութագրերի վրա հիմնված այլընտրանքային կանոնների ստեղծում, ինչպիսիք են բաժինը (department), պաշտոնը (jobTitle) կամ ընկերության անվանումը (companyName): Այս մոտեցումն ապահովում է ավելի բարձր արագություն և չունի այն սահմանափակումները, որոնք բնորոշ էին MemberOf-ին։ Բիզնեսի անընդհատությունն ապահովելու և արտադրական խափանումներից խուսափելու համար բոլոր փոփոխությունները պետք է փորձարկվեն և հաստատվեն մինչև նշված ժամկետի լրանալը։