Entra Conditional Access: All resources muuttuu 2026

Johdanto: miksi tällä on merkitystä

Conditional Access (CA) on keskeinen ohjauskeino MFA:n, laitevaatimustenmukaisuuden ja istuntorajoitusten pakottamisessa. Microsoft tiukentaa CA:n täytäntöönpanoa osana Secure Future Initiative -ohjelmaa vähentääkseen tilanteita, joissa kirjautumiset voivat tahattomasti välttää käytäntöarvioinnin—erityisesti asiakassovelluksissa, jotka pyytävät vain rajatun joukon scopeja.

Mitä muuttuu

Tällä hetkellä voi syntyä aukko, kun CA-käytäntö kohdistuu ”All resources” mutta sisältää myös resurssipoissulkuja. Tietyissä tapauksissa—kun käyttäjä kirjautuu sisään asiakassovelluksen kautta, joka pyytää vain OIDC-scopeja tai rajatun joukon directory-scopeja—Microsoft toteaa, että nämä ”All resources” -käytännöt eivät välttämättä tule pakotetuiksi.

Tämän päivityksen myötä:

• ”All resources” -kohdistusta käyttävät CA-käytännöt pannaan täytäntöön myös silloin, kun resurssipoissulkuja on määritetty näissä kirjautumisissa.
• Tavoitteena on johdonmukainen CA:n täytäntöönpano riippumatta siitä, minkä scope-joukon sovellus pyytää.
• Käyttäjät voivat nyt saada CA-haasteita (esimerkiksi: MFA, device compliance tai muita käyttöoikeusohjauksia) kirjautumisvirroissa, jotka aiemmin eivät käynnistäneet niitä.

Käyttöönoton aikataulu

• Täytäntöönpano alkaa: 27. maaliskuuta 2026
• Käyttöönoton malli: asteittainen kaikissa pilvissä
• Valmistumisikkuna: useiden viikkojen aikana kesäkuuhun 2026 asti

Keihin tämä vaikuttaa

Vaikutus koskee vain tenantteja, joilla on seuraava määritys:

• Vähintään yksi Conditional Access -käytäntö, joka kohdistuu All resources (All cloud apps)
• Samassa käytännössä on yksi tai useampi resurssipoissulku

Microsoft ilmoittaa vaikutuksen piirissä oleville tenantteille Microsoft 365 Message Center -julkaisujen kautta.

Vaikutus järjestelmänvalvojille ja loppukäyttäjille

Vaikutus järjestelmänvalvojille

• Tiettyjen asiakassovellusten kirjautumistulokset voivat muuttua, erityisesti jos sovellukset nojaavat minimaalisten scopejen pyytämiseen.
• Käytännöt, jotka myös nimenomaisesti kohdistuvat Azure AD Graph -palveluun (siltä osin kuin se on relevanttia ympäristössäsi/käytäntöhistoriassasi), voivat olla mukana syntyvissä haasteissa määrittämistäsi ohjauskeinoista riippuen.

Vaikutus loppukäyttäjille

• Käyttäjät voivat nähdä uusia kehotteita (MFA, vaatimustenmukainen laite -vaatimukset jne.) todennettaessa vaikutuksen alaisilla sovelluksilla—kun aiemmin käyttö saattoi jatkua ilman CA:n täytäntöönpanoa.

Suositellut toimet / seuraavat askeleet

• Useimmat organisaatiot: Toimenpiteitä ei tarvita.
  • Useimmat sovellukset pyytävät laajempia scopeja ja ovat jo CA:n täytäntöönpanon piirissä.
• Jos tenantissasi on mukautettuja sovelluksia, jotka tarkoituksella pyytävät vain rajattuja scopeja: Tarkista ja testaa.
  • Varmista, että nämä sovellukset osaavat käsitellä Conditional Access -haasteita oikein.
  • Jos eivät, päivitä sovellus Microsoftin Conditional Access -kehittäjäohjeistuksen mukaisesti, jotta todennusvirrat (interaktiiviset kehotteet, laitesignaalit jne.) käsitellään oikein.
• Operatiivinen valmius:
  • Seuraa Message Center -ilmoituksia.
  • Hyödynnä sign-in logs -lokeja sekä Conditional Access -vianmääritystä/audience reporting -raportointia tunnistaaksesi, mitkä sovellukset ja käytännöt käynnistävät uusia haasteita käyttöönoton aikana.

Tämän muutoksen tarkoituksena on sulkea defense-in-depth -mallin aukko ja saada ”All resources” -Conditional Access -käytännöt toimimaan ennustettavammin—joten on järkevää validoida ennakoivasti kaikki minimal-scope-mukautetut sovellukset ennen kuin täytäntöönpano saavuttaa tenanttisi.