Le 3 novembre 2026, Microsoft suspendra tous les groupes dynamiques, toutes les unités administratives et toutes les règles de gestion des droits (Entitlement Management) qui utilisent l'opérateur MemberOf. Les nouveaux étudiants ne seront plus affectés aux groupes appropriés, les anciens étudiants ne perdront pas leur accès, et les licences ne seront plus attribuées ni révoquées correctement.
Si vous utilisez MemberOf pour la gestion de vos groupes dans Microsoft Entra ID, il vous reste moins de cinq mois pour effectuer la migration.
Qu'est-ce qui s'arrête exactement, et quand ?
Après le 3 novembre 2026, Entra ID cessera de traiter tout groupe dynamique, toute unité administrative dynamique ou toute politique de gestion des droits (Entitlement Management) utilisant une règle MemberOf. Les groupes seront figés dans leur dernier état connu. Cela peut sembler anodin, mais les conséquences sont tout sauf anodines :
- Les nouveaux utilisateurs ajoutés au groupe source ne sont pas intégrés au groupe dynamique.
- Les utilisateurs qui quittent le groupe source conservent leur accès au sein du groupe gelé.
- La gestion des licences par groupe permet d'attribuer et de retirer correctement les licences.
- Les règles d'accès conditionnel basées sur ces groupes ciblent les mauvais utilisateurs.
- Les droits d'accès à Teams et SharePoint associés à ces groupes ne sont plus valides.
Ce dernier scénario est particulièrement dangereux pour les établissements scolaires. Un ancien élève qui, à la fin de l'année scolaire, reste techniquement membre d'une classe Teams ou a toujours accès aux documents SharePoint ne pose pas seulement un problème opérationnel, mais aussi un problème de confidentialité.
Une date mérite toutefois une attention particulière : le 27 octobre 2026. À cette date, les règles de gestion des droits (Entitlement Management) relatives à l'attribution automatique qui utilisent MemberOf seront mises en quarantaine et cesseront d'être traitées, même si la règle elle-même reste visible. Considérez le 27 octobre comme votre véritable date limite, et non le 3 novembre.
| Date | Qu'est-ce qui s'arrête ? |
| 27 octobre 2026 | La politique d'attribution automatique de gestion des droits avec MemberOf est mise en quarantaine. Le traitement s'arrête. |
| 3 novembre 2026 | Geler les groupes dynamiques et les unités administratives dynamiques à l'aide de MemberOf. Aucune mise à jour supplémentaire de l'appartenance. |
Pourquoi Microsoft met-il fin à cette pratique ?
Microsoft indique que l'opérateur MemberOf mobilisait trop de ressources de calcul et ralentissait le traitement des groupes dynamiques dans l'ensemble du tenant, même lorsqu'il n'y avait qu'un seul groupe comportant des règles MemberOf.
L'impact sur les autres locataires a été suffisamment important pour que cette fonction soit complètement supprimée.
Ils reconnaissent toutefois que les scénarios sous-jacents pour lesquels MemberOf a été utilisé sont légitimes, et qu'une alternative est en cours de développement.
La nature exacte de cette alternative et la date à laquelle elle sera disponible n'ont pas encore été communiquées.
Quelles sont les alternatives techniques ?
Microsoft propose deux options. La première consiste à réécrire la règle MemberOf en fonction d'attributs utilisateur, tels que le service, l'intitulé du poste ou un attribut d'extension. Si vos groupes sources sont déjà basés sur ces attributs, vous pouvez simplement sauter l'étape intermédiaire et utiliser directement la règle d'attribut.
Cette approche ne fonctionne que si les attributs sont renseignés de manière cohérente dans Entra ID, ce qui constitue justement le principal problème dans de nombreux environnements scolaires.
La deuxième option consiste à convertir le groupe dynamique en groupe attribué et à gérer l'appartenance à ce groupe manuellement ou à l'aide d'un script. Attention : lors de la conversion, tous les membres actuels seront supprimés et vous devrez les rajouter. Cela reste faisable pour les petits groupes. En revanche, pour un établissement scolaire comptant des centaines de classes, des groupes par niveau, des groupes de licence et des unités administratives, cette solution n'est pas réaliste.
Une troisième option, consistant en un script PowerShell qui lit les groupes sources et met à jour l'appartenance au groupe cible, est techniquement possible mais nécessite de la maintenance, une planification et un suivi.
Ce n'est pas une solution en temps réel : il y a toujours un décalage entre une modification apportée au groupe source et sa répercussion sur le groupe cible. De plus, cela nécessite qu'une personne de l'établissement exécute et surveille ce script, y compris en fin d'année, alors que la charge de travail est déjà importante.
Tu souhaites en savoir plus sur PowerShell ?
N'hésitez pas à consulter nos deux formations PowerShell.
Notre solution : EDU-Sync
Gestion automatique pour les établissements scolaires
Chez Edu-tech, nous avons développé notre propre solution pour répondre à ce problème concret : Edu-sync. Edu-sync a été spécialement conçu pour les établissements scolaires et les administrations scolaires qui souhaitent synchroniser leur environnement Microsoft 365 en s'appuyant sur leurs applications administratives et leurs systèmes de gestion des emplois du temps existants, sans dépendre de scripts fragiles ni d'interventions manuelles.
Edu-sync s'intègre aux logiciels de gestion des emplois du temps et des effectifs déjà utilisés par les établissements scolaires et transpose automatiquement ces informations vers les groupes Entra ID, les attributions de licences, les classes Teams et les unités administratives correspondants. Au début et à la fin de chaque année scolaire, la transition s'effectue automatiquement : les nouveaux élèves se voient attribuer les droits d'accès appropriés, tandis que les anciens élèves sont correctement radiés.
Grâce à Edu-sync, les conseils d'administration des établissements scolaires peuvent également gérer la structure à l'échelle de plusieurs établissements, avec un contrôle centralisé de la politique d'accès et de la répartition des licences par établissement.
On ne recourt pas à des structures fixes ni à des modèles, mais tout est conçu sur mesure pour l'établissement, ce qui offre des possibilités pratiquement illimitées.
L'intégration avec Google Workspace est également disponible, ce qui permet une gestion centralisée et automatisée des utilisateurs sur toutes les plateformes.
La mise à la retraite de MemberOf ne pose aucun problème pour les clients d'Edu-sync : la logique ne réside pas dans les règles dynamiques d'Entra, mais dans la synchronisation elle-même.
Pas de blocage, pas de paramètres erronés, pas de suivi manuel après le 3 novembre.
Plus d'informations et demande de démonstration : edu-sync.be
