Microsoft Entra Conditional Access: novità All resources

Introduzione: perché è importante

Conditional Access (CA) è un controllo fondamentale per applicare MFA, la conformità del dispositivo e le restrizioni di sessione. Microsoft sta rafforzando l’applicazione di CA nell’ambito della Secure Future Initiative per ridurre gli scenari in cui le autenticazioni possono involontariamente evitare la valutazione dei criteri—soprattutto per le app client che richiedono solo un set limitato di scope.

Cosa cambia

Oggi può verificarsi una lacuna quando un criterio CA ha come destinazione “All resources” ma include anche esclusioni di risorse. In casi specifici—quando un utente esegue l’accesso tramite un’applicazione client che richiede solo scope OIDC o un set limitato di directory scopes—Microsoft osserva che questi criteri “All resources” potrebbero non essere applicati.

Con questo aggiornamento:

• I criteri CA che hanno come destinazione “All resources” verranno applicati anche in presenza di esclusioni di risorse per queste autenticazioni.
• L’obiettivo è un’applicazione coerente di CA indipendentemente dal set di scope richiesto dall’applicazione.
• Gli utenti potrebbero ora ricevere challenge di CA (ad esempio: MFA, conformità del dispositivo o altri controlli di accesso) durante flussi di accesso che in precedenza non le attivavano.

Timeline di rollout

• Inizio applicazione: 27 marzo 2026
• Modello di rollout: progressivo su tutti i cloud
• Finestra di completamento: nell’arco di diverse settimane fino a giugno 2026

Chi è interessato

Sono interessati solo i tenant con la seguente configurazione:

• Almeno un criterio di Conditional Access che ha come destinazione All resources (All cloud apps)
• Lo stesso criterio ha una o più esclusioni di risorse

Microsoft notificherà i tenant interessati tramite post nel Microsoft 365 Message Center.

Impatto per admin e utenti finali

Impatto per gli admin

• Gli esiti di accesso per alcune applicazioni client potrebbero cambiare, soprattutto dove le app si basano sulla richiesta di scope minimi.
• I criteri che includono anche in modo esplicito Azure AD Graph (ove applicabile nel tuo ambiente/nella cronologia dei criteri) potrebbero essere coinvolti nelle challenge risultanti a seconda dei controlli configurati.

Impatto per gli utenti finali

• Gli utenti potrebbero visualizzare nuovi prompt (MFA, requisiti di dispositivo conforme, ecc.) durante l’autenticazione con applicazioni interessate—dove in precedenza l’accesso poteva proseguire senza l’applicazione di CA.

Azioni consigliate / prossimi passi

• La maggior parte delle organizzazioni: nessuna azione richiesta.
  • La maggior parte delle applicazioni richiede scope più ampi ed è già soggetta all’applicazione di CA.
• Se hai app personalizzate registrate nel tenant che richiedono intenzionalmente solo scope limitati: rivedi e testa.
  • Verifica che queste applicazioni siano in grado di gestire correttamente le challenge di Conditional Access.
  • Se non lo sono, aggiorna l’app seguendo la developer guidance di Microsoft su Conditional Access, in modo che i flussi di autenticazione (prompt interattivi, segnali del dispositivo, ecc.) vengano gestiti correttamente.
• Preparazione operativa:
  • Monitora le notifiche nel Message Center.
  • Usa i sign-in logs e gli strumenti di troubleshooting/reporting di Conditional Access per identificare quali app e criteri stanno attivando nuove challenge durante il rollout.

Questa modifica è pensata per chiudere una lacuna defense-in-depth e rendere i criteri di Conditional Access “All resources” più prevedibili—quindi vale la pena validare in modo proattivo eventuali app personalizzate a scope minimo prima che l’applicazione raggiunga il tuo tenant.