Microsoft Entra Conditional Access og All resources

Introduktion: hvorfor det betyder noget

Conditional Access (CA) er en central kontrol til håndhævelse af MFA, enhedsoverholdelse og sessionsbegrænsninger. Microsoft strammer CA-håndhævelsen som en del af Secure Future Initiative for at reducere scenarier, hvor sign-ins utilsigtet kan undgå politikevaluering—særligt for klientapps, der kun anmoder om et begrænset sæt scopes.

Hvad ændrer sig

I dag kan der opstå et hul, når en CA-politik målretter “All resources” men også indeholder ressourceekskluderinger. I specifikke tilfælde—når en bruger logger på via en klientapplikation, der anmoder om kun OIDC-scopes eller et begrænset sæt af directory-scopes—bemærker Microsoft, at disse “All resources”-politikker muligvis ikke bliver håndhævet.

Med denne opdatering:

• CA-politikker, der målretter “All resources”, vil blive håndhævet selv når ressourceekskluderinger er til stede for disse sign-ins.
• Målet er konsekvent CA-håndhævelse uanset hvilket scope-sæt applikationen anmoder om.
• Brugere kan nu modtage CA-udfordringer (for eksempel: MFA, enhedsoverholdelse eller andre adgangskontroller) under sign-in flows, som tidligere ikke udløste dem.

Udrulningstidslinje

• Håndhævelse starter: 27. marts 2026
• Udrulningsmodel: gradvis på tværs af alle clouds
• Færdiggørelsesperiode: over flere uger frem til juni 2026

Hvem er berørt

Kun tenants med følgende konfiguration er påvirket:

• Mindst én Conditional Access-politik, der målretter All resources (All cloud apps)
• Den samme politik har én eller flere ressourceekskluderinger

Microsoft vil informere berørte tenants via opslag i Microsoft 365 Message Center.

Konsekvens for administratorer og slutbrugere

Admin-konsekvens

• Sign-in resultater for visse klientapplikationer kan ændre sig, især hvor apps er afhængige af at anmode om minimale scopes.
• Politikker, der også eksplicit målretter Azure AD Graph (hvor det er relevant i dit miljø/din politikhistorik), kan indgå i de resulterende udfordringer afhængigt af dine konfigurerede kontroller.

Slutbrugerkonsekvens

• Brugere kan se nye prompts (MFA, krav om compliant enhed osv.) ved godkendelse med berørte applikationer—hvor adgang tidligere kan være fortsat uden CA-håndhævelse.

Anbefalede handlinger / næste skridt

• De fleste organisationer: Ingen handling kræves.
  • De fleste applikationer anmoder om bredere scopes og er allerede omfattet af CA-håndhævelse.
• Hvis du har custom apps registreret i din tenant, der bevidst kun anmoder om de begrænsede scopes: Gennemgå og test.
  • Valider, at disse applikationer kan håndtere Conditional Access-udfordringer korrekt.
  • Hvis de ikke kan, så opdater appen ved hjælp af Microsofts udviklervejledning til Conditional Access, så godkendelsesflows (interaktive prompts, enhedssignaler osv.) håndteres korrekt.
• Operationel parathed:
  • Overvåg notifikationer i Message Center.
  • Brug sign-in logs og Conditional Access troubleshooting/audience reporting til at identificere, hvilke apps og politikker der udløser nye udfordringer under udrulningen.

Denne ændring er designet til at lukke et defense-in-depth hul og få “All resources”-Conditional Access-politikker til at opføre sig mere forudsigeligt—så det er værd proaktivt at validere eventuelle minimal-scope custom apps, før håndhævelsen når din tenant.