Microsoft Entra ID的MemberOf规则运算符于11月3日退役，企业需检查动态组配置

Microsoft 提醒 Microsoft Entra ID 管理员，MemberOf 规则运算符的公开预览功能将于2026年11月3日退役。使用该运算符的动态成员组、动态管理单元和权限管理自动分配策略将停止处理成员变更。若企业未提前替换规则，用户可能无法获得应有的访问权限或许可证，离职人员也可能继续保留本应撤销的权限。

退役日期为11月3日

Microsoft 365 Message Center 的最终提醒指出，MemberOf 运算符将于11月3日停止工作。该功能此前处于公开预览阶段，Microsoft 表示，测试发现它可能影响同一租户内动态成员处理的规模和可靠性，即使只存在一条 MemberOf 规则，也可能对处理过程造成影响。因此公司决定结束预览，而不是将其作为正式生产功能继续支持。

动态组成员更新将停止

Microsoft 的通知称，退役后，包含 MemberOf 的动态组将不再处理成员变更；动态管理单元也不会继续更新成员和管理范围。使用该运算符的 Entitlement Management 自动分配策略同样会停止处理分配更新。已有成员关系和分配数据会保留在最后一次已知状态，而不是自动清空。

过期权限可能形成安全风险

如果动态组不再更新，新加入组织的员工可能无法获得所需应用访问或许可证；离职员工则可能继续保留本应撤销的访问权限。依赖动态组成员关系的 Conditional Access 策略、Teams、SharePoint 和基于组的许可证分配，也可能使用过期信息。Microsoft 因此建议管理员在退役前检查所有相关配置。

管理员需要替换规则或改为指定成员

Microsoft 建议企业导出动态成员组清单，识别包含 MemberOf 的规则，并在可行时替换为受支持的规则运算符。如果没有可用替代规则，管理员应考虑将组转换为 assigned membership。动态管理单元和 Entitlement Management 自动分配策略也需要逐项检查，并在修改后验证成员、权限范围和访问包分配结果。

影响范围不仅是单一组功能

MemberOf 规则可能被用于访问控制、许可证分配和管理范围判断，因此停用会影响依赖动态成员变化的多个系统。企业应检查 Conditional Access 是否依赖相关动态组，并确认新员工和离职员工的访问变化能够按预期执行。Microsoft 的文档指出，动态成员组本身还受许可要求和规则属性安全性约束。

过渡期结束后需持续验证

Microsoft 的最终提醒设定了明确的退役日期，但企业完成规则替换后仍需验证实际成员列表和访问结果。仅仅删除 MemberOf 条件并不保证权限配置正确；管理员需要检查替代规则是否覆盖原有业务逻辑。若企业未在11月3日前完成迁移，现有成员数据可能停留在旧状态，造成访问和许可管理风险。