Entra Conditional Access : "All resources" change

Introduction : pourquoi c’est important

Conditional Access (CA) est un contrôle clé pour imposer MFA, la conformité des appareils et des restrictions de session. Microsoft renforce l’application de CA dans le cadre de sa Secure Future Initiative afin de réduire les scénarios où des connexions peuvent, involontairement, échapper à l’évaluation des stratégies — en particulier pour les applications clientes qui ne demandent qu’un ensemble limité de scopes.

Ce qui change

Aujourd’hui, un écart peut se produire lorsqu’une stratégie CA cible « All resources » mais inclut également des exclusions de ressources. Dans des cas spécifiques — lorsqu’un utilisateur se connecte via une application cliente qui ne demande que des scopes OIDC ou un ensemble limité de scopes d’annuaire — Microsoft indique que ces stratégies « All resources » peuvent ne pas être appliquées.

Avec cette mise à jour :

• Les stratégies CA ciblant « All resources » seront appliquées même en présence d’exclusions de ressources pour ces connexions.
• L’objectif est une application cohérente de CA, quel que soit l’ensemble de scopes demandé par l’application.
• Les utilisateurs peuvent désormais recevoir des défis CA (par exemple : MFA, conformité de l’appareil, ou d’autres contrôles d’accès) lors de flux de connexion qui ne les déclenchaient pas auparavant.

Calendrier de déploiement

• Début de l’application : 27 mars 2026
• Modèle de déploiement : progressif sur l’ensemble des clouds
• Fenêtre d’achèvement : sur plusieurs semaines jusqu’en juin 2026

Qui est concerné

Seuls les tenants ayant la configuration suivante sont impactés :

• Au moins une stratégie Conditional Access ciblant All resources (All cloud apps)
• La même stratégie comporte une ou plusieurs exclusions de ressources

Microsoft informera les tenants impactés via des publications dans le Microsoft 365 Message Center.

Impact pour les administrateurs et les utilisateurs finaux

Impact côté administrateur

• Les résultats de connexion pour certaines applications clientes peuvent changer, en particulier lorsque les applications s’appuient sur des demandes de scopes minimales.
• Les stratégies qui ciblent aussi explicitement Azure AD Graph (le cas échéant selon votre environnement/historique de stratégie) peuvent être impliquées dans les défis résultants en fonction des contrôles configurés.

Impact côté utilisateur final

• Les utilisateurs peuvent voir de nouvelles invites (MFA, exigences d’appareil conforme, etc.) lors de l’authentification avec des applications concernées — là où, auparavant, l’accès pouvait se poursuivre sans application de CA.

Actions recommandées / prochaines étapes

• La plupart des organisations : aucune action requise.
  • La plupart des applications demandent des scopes plus larges et sont déjà soumises à l’application de CA.
• Si vous avez des applications personnalisées enregistrées dans votre tenant qui demandent volontairement uniquement des scopes limités : examinez et testez.
  • Vérifiez que ces applications peuvent gérer correctement les défis Conditional Access.
  • Si ce n’est pas le cas, mettez à jour l’application en suivant les recommandations Microsoft pour les développeurs sur Conditional Access, afin que les flux d’authentification (invites interactives, signaux d’appareil, etc.) soient correctement gérés.
• Préparation opérationnelle :
  • Surveillez les notifications du Message Center.
  • Utilisez les journaux de connexion ainsi que le dépannage Conditional Access / les rapports d’audience pour identifier quelles applications et stratégies déclenchent de nouveaux défis pendant le déploiement.

Ce changement vise à combler une lacune de défense en profondeur et à rendre les stratégies Conditional Access « All resources » plus prévisibles — il est donc utile de valider de manière proactive toute application personnalisée à scopes minimaux avant que l’application n’atteigne votre tenant.