Entra ID Dynamic group membership rule

Hola, el tenant que tenemos es cross para varios paises. Actualmente tenemos 4 grupos para manejar los updates mediante WUFB, y estos grupos los tenemos sincronizados desde nuestro SCCM local. Queremos dejar de utilizar nuestro SCCM para el sync y en su lugar utilizar los 4 grupos cloud y armar querys para que se mantengan actualizados.

Grupo 1 aprox 100 equipos

Grupo 2 aprox 700 equipos

Grupo 3 aprox 2000 equipos

Grupo 4 aprox 8000 equipos

El problema que tenemos es que al comenzar a armar las query para agregar dentro de cada uno, pocos equipos de cada tipo (Seguridad, IT, Sales, Vendor, Hubs, etc, etc) se vuelve demasiado compleja.

Por ejemplo:

((device.displayName -startsWith "DHY") and (device.displayName -endsWith "b")) or

((device.displayName -startsWith "UUE") and (device.displayName -endsWith "1-1")) or

((device.displayName -startsWith "AIS") and (device.displayName -endsWith "1-1")) or

((device.displayName -startsWith "IMC") and (device.displayName -endsWith "1-1")) or

((device.displayName -startsWith "POW") and (device.displayName -endsWith "02"))

Pero como Azure no permite exclusion por grupo, entonces en el proximo grupo nos vemos obligados a excluir los equipos de arriba.

((device.displayName -startsWith "DHY") and (device.displayName -NotendsWith "b")) or

((device.displayName -startsWith "UUE") and (device.displayName -NotendsWith "1-1")) or

((device.displayName -startsWith "AIS") and (device.displayName -NotendsWith "1-1")) or

((device.displayName -startsWith "IMC") and (device.displayName -NotendsWith "1-1")) or

((device.displayName -startsWith "POW") and (device.displayName -NotendsWith "02"))

Los ejemplos que puse son pocos, tenemos muchos mas obviamente.

El problema es cuando llegamos al grupo 4, que debemos comenzar a excluir todo lo que ya agregamos en los grupos anteriores para que no se repitan los equipos y no entren en conflictos las policies, y particularmente el problema es que ya llegue al limite de 3000 caracteres para la query.

No entiendo que estoy haciendo mal.

La limitación de no poder excluir los miembros desde otros grupo es un problema, o se puede hacer de alguna manera mediante query?