Microsoft Entra Conditional Access: cambios en All resources

Introducción: por qué esto importa

Conditional Access (CA) es un control fundamental para exigir MFA, cumplimiento del dispositivo y restricciones de sesión. Microsoft está reforzando la aplicación de CA como parte de su Secure Future Initiative para reducir escenarios en los que los inicios de sesión pueden eludir involuntariamente la evaluación de directivas, especialmente en aplicaciones cliente que solicitan solo un conjunto limitado de scopes.

Qué está cambiando

Hoy, puede producirse una brecha cuando una directiva de CA se dirige a “All resources” pero también incluye exclusiones de recursos. En casos específicos —cuando un usuario inicia sesión a través de una aplicación cliente que solicita solo scopes OIDC o un conjunto limitado de scopes de directorio— Microsoft indica que estas directivas de “All resources” pueden no aplicarse.

Con esta actualización:

• Las directivas de CA orientadas a “All resources” se aplicarán incluso cuando existan exclusiones de recursos para estos inicios de sesión.
• El objetivo es una aplicación coherente de CA independientemente del conjunto de scopes solicitado por la aplicación.
• Es posible que los usuarios reciban ahora desafíos de CA (por ejemplo: MFA, cumplimiento del dispositivo u otros controles de acceso) durante flujos de inicio de sesión que antes no los activaban.

Cronograma de implementación

• Inicio de la aplicación: 27 de marzo de 2026
• Modelo de implementación: progresivo en todas las nubes
• Ventana de finalización: durante varias semanas hasta junio de 2026

Quiénes se ven afectados

Solo se verán afectados los tenants con la siguiente configuración:

• Al menos una directiva de Conditional Access orientada a All resources (All cloud apps)
• La misma directiva tiene una o más exclusiones de recursos

Microsoft notificará a los tenants afectados mediante publicaciones en Microsoft 365 Message Center.

Impacto para administradores y usuarios finales

Impacto para administradores

• Los resultados de inicio de sesión para ciertas aplicaciones cliente pueden cambiar, especialmente cuando las apps dependen de solicitar scopes mínimos.
• Las directivas que también se dirigen explícitamente a Azure AD Graph (cuando aplique en su entorno/historial de directivas) pueden estar implicadas en los desafíos resultantes según los controles configurados.

Impacto para el usuario final

• Los usuarios pueden ver nuevos avisos (MFA, requisitos de dispositivo compatible, etc.) al autenticarse con aplicaciones afectadas, donde antes el acceso podía continuar sin la aplicación de CA.

Acciones recomendadas / próximos pasos

• La mayoría de las organizaciones: no se requiere ninguna acción.
  • La mayoría de las aplicaciones solicitan scopes más amplios y ya están sujetas a la aplicación de CA.
• Si tiene aplicaciones personalizadas registradas en su tenant que intencionalmente solicitan solo los scopes limitados: revise y pruebe.
  • Valide que estas aplicaciones puedan gestionar correctamente los desafíos de Conditional Access.
  • Si no pueden, actualice la app usando la guía para desarrolladores de Conditional Access de Microsoft para que los flujos de autenticación (avisos interactivos, señales del dispositivo, etc.) se gestionen correctamente.
• Preparación operativa:
  • Supervise las notificaciones de Message Center.
  • Use los sign-in logs y la solución de problemas de Conditional Access / audience reporting para identificar qué apps y directivas están activando nuevos desafíos durante la implementación.

Este cambio está diseñado para cerrar una brecha de defense-in-depth y hacer que las directivas de Conditional Access de “All resources” se comporten de forma más predecible, por lo que conviene validar proactivamente cualquier app personalizada de alcance mínimo antes de que la aplicación llegue a su tenant.