Entra-beveiligingsgroepen krijgen sensitivity labels in preview

Sensitivity labels voor containerbeheer zijn in preview ook toe te passen op beveiligingsgroepen in Entra ID.

Microsoft 365 for IT Pros beschreef de preview op 3 juni 2026. Tot dan stuurden deze labels alleen Microsoft 365-groepen aan, en via die groepen de gekoppelde teams, Viva Engage-community's en SharePoint-sites. Volgens de bron sluit de preview aan op een probleem dat ook Microsoft Digital, de IT-afdeling van Microsoft, beschreef. Beveiligingsgroepen regelen de toegang tot belangrijke resources, terwijl hun werking tot dan niet eenduidig te sturen was.

Bij beveiligingsgroepen regelt een label alleen de externe toegang voor gasten: staat die aan, dan kunnen groepseigenaren gasten als lid toevoegen, en staat die uit, dan kan dat niet. Volgens de bron kan dat voorkomen dat gastleden in gevoelige beveiligingsgroepen belanden. De andere instellingen voor containerbeheer gelden voorlopig niet voor beveiligingsgroepen.

Voor gebruik is minimaal 1 Entra P1-licentie in de tenant nodig. De tenant moet bovendien zijn ingericht voor labels voor containerbeheer en minstens 1 zo'n label hebben. Inschakelen gaat via Microsoft Graph PowerShell, met een directory-instellingenobject op basis van de sjabloon Group.Security, waarin EnableMIPLabels het labelveld in het Entra-beheercentrum zichtbaar maakt en AllowToAddGuests gasten standaard toestaat. Daarna is het label toe te wijzen in het Entra-beheercentrum of met Update-MgGroup.

Groepen die vanuit on-premises Active Directory worden gesynchroniseerd, groepen met dynamisch lidmaatschap en mail-enabled beveiligingsgroepen worden niet ondersteund. Mail-enabled groepen zijn Exchange Online-objecten. Geneste groepen werken wel, mits ze hetzelfde of een even restrictief label hebben, en een eenmaal toegekend label is daarna niet meer te wijzigen of te verwijderen.

Dat vaste label verklaart volgens de bron veel van de beperkingen. Entra ID controleert alleen bij het aanmaken van een groep of bij het toekennen van een label of er gastleden in zitten. Microsoft kondigt aan dat gecontroleerd wijzigen van labels in een volgende update komt, en noemt het weren van agents uit gevoelige beveiligingsgroepen als volgende stap.