EntraIDで個人の認証情報が取れなくなるのか

急がれていて、PCS対象であれば下記を利用してみてください。
但し、ja-jpサイトではPCSサポートが明確ではない様なので、Microsoft Q&A (en-us版)にて英語で質問投稿してください。

優先コミュニティサポート Priority Community Support (PCS)

• Priority Community Support (PCS) は、Developerサポートプランを持つお客様の最初のサポートラインです。PCSを使用すると、お客様は Azureエンジニアやコミュニティチャンピオンから、Microsoft Q&A に関する Azure関連の質問に対する高品質の回答を営業時間内に受け取ります。
• 優先コミュニティサポートには、Azure Portal の [サポート + トラブルシューティング] の [サポート要求の作成] オプションでアクセスするか、Azure特典サブスクリプションにアクセスできる同じアカウントで Microsoft Learn にサインインします。
• Microsoft Q&A(en-us)にて英語で質問投稿してください。

タグ "Microsoft Security | Microsoft Entra | Microsoft Entra ID" がサポートされているMicrosoft Q&A (en-us版)にて英語で質問する手もありそうです。

チャブーンです。

この件ですが、

AzureAD(entraid)でユーザを組織情報でグルーピング/階層化(会社>部署＞人　等)すると 人の認証情報が取れなくなると伺ったのですが

こちらの具体例をお教えいただけますか？Entra IDで行う「階層化」というのは、一般的にはAdministrative Unitsによるものです。

Microsoft Entra ID の管理単位

上記は文字通り「ユーザーやグループのオブジェクト管理を別ユーザーに『委任』する」挙動において対象になります。グローバル管理者(全体管理者)の管理業務には全く影響がありませんし、アプリケーションの認証にも影響はありません。

ちなみにSAML認証を含め、Entra IDにアプリケーションを「登録」することで、外部から認証認可が可能になります。少なくとも上記の階層化とは無関係の仕組みのため、影響はない理解です。

チャブーンです。

ええと、念のため調べなおしたのですが、もしかしたら、Entra IDの「セキュリティグループによる入れ子化(Nested Groups)」を指しているのでしょうか？

その場合ですが、以下の資料に制限事項が書いてあります。SAML認証の場合は、入れ子含め150グループ程度になります。下記に詳細やサポートされる/されないシナリオ記載もありますので、確認のうえ必要があれば、返答してください。

ちなみにSAML含めすべての認証は、UPN(User Principal Name)で検索され、グループによるネストとは無関係に検出されます。なので認証が通らないということはありません。認可時に[どのグループメンバーなのか]という部分での制約がある、という話しになります。

Microsoft Entra service limits and restrictions

Groups

• A non-admin user can create a maximum of 250 groups in a Microsoft Entra organization. Any Microsoft Entra admin who can manage groups in the organization can also create an unlimited number of groups (up to the Microsoft Entra object limit). If you assign a role to a user to remove the limit for that user, assign a less privileged, built-in role such as User Administrator or Groups Administrator.
• A Microsoft Entra organization can have a maximum of 15,000 dynamic groups (including those originating from Microsoft Entra entitlement management automatic assignment policies) and dynamic administrative units combined.
• A maximum of 500 role-assignable groups can be created in a single Microsoft Entra organization (tenant).
• A maximum of 100 users can be owners of a single group.
• There is a limit of 1010 groups per token allowed for Entra Kerberos.
• Any number of Microsoft Entra resources can be members of a single group.
• If a user (or group) is a member of more than 2,048 groups (direct and nested), their access might be blocked. This limit applies to both direct and nested group memberships. See Users, groups, and workload identities assignments in Conditional Access.
• A user can be a member of any number of groups. The following service-specific limits apply when group memberships are used in authentication or authorization (including direct and indirect memberships):
  • SharePoint Online: When security groups are used with SharePoint Online, a user can be a part of up to 2,047 security groups in total, including direct and indirect membership. When this limit is exceeded, authentication and search results can become unpredictable. See SharePoint limits.
  • SAML tokens: If optional groups claims are enabled, up to 150 group memberships (including nested groups) are included in SAML assertions. If a user is in more than 150 groups, the groups claim is omitted and an overage claim is sent instead. Microsoft Entra ID supports group filtering only if a user belongs to 1,000 or fewer groups (including direct and transitive memberships). If this limit is exceeded, filtering won’t apply and an overage claim is sent instead. See Configure optional claims and the SAML token claims reference for implementation guidance.
  • JWT/OIDC tokens: If optional groups claims are enabled, up to 200 group memberships (including nested groups) are included in JWT tokens. If a user is in more than 200 groups, the groups claim is omitted and an overage claim is sent instead. See Configure optional claims and the Access token claims reference for implementation guidance.
  • Conditional Access policies: Policy evaluation supports up to 4,096 group memberships per user (direct and indirect). When this limit is exceeded, policy enforcement might fail. See Users, groups, and workload identities assignments in Conditional Access.
• Starting with Microsoft Entra Connect v2.0, the V2 endpoint is the default API. The number of members in a group that you can synchronize from your on-premises Active Directory to Microsoft Entra ID by using Microsoft Entra Connect is limited to 250,000 members. For more information, see Microsoft Entra Connect Sync V2.
• When you select a list of groups, you can assign a group expiration policy to a maximum of 500 Microsoft 365 groups. There's no limit when the policy is applied to all Microsoft 365 groups.

At this time, the following scenarios are supported with nested groups:

• One group can be added as a member of another group, and you can achieve group nesting.
• Group membership claims. When an app is configured to receive group membership claims in the token, nested groups in which the signed-in user is a member are included.
• Conditional Access (when a Conditional Access policy has a group scope).
• Restricting access to self-serve password reset.
• Restricting which users can do Microsoft Entra join and device registration.

The following scenarios are not supported with nested groups:

• App role assignment, for both access and provisioning. Assigning groups to an app is supported, but any groups nested within the directly assigned group won't have access.
• Group-based licensing (assigning a license automatically to all members of a group).
• Microsoft 365 Groups.