Entra Conditional Access: ‘All resources’ in 2026

Introductie: waarom dit belangrijk is

Conditional Access (CA) is een kernmaatregel om MFA, apparaatcompliance en sessiebeperkingen af te dwingen. Microsoft scherpt CA-handhaving aan als onderdeel van de Secure Future Initiative om scenario’s te verkleinen waarin aanmeldingen onbedoeld aan beleids-evaluatie kunnen ontsnappen—met name bij client-apps die slechts een beperkte set scopes aanvragen.

Wat er verandert

Vandaag kan er een gat ontstaan wanneer een CA-beleid is gericht op ‘All resources’ maar ook resource-uitsluitingen bevat. In specifieke gevallen—wanneer een gebruiker zich aanmeldt via een client-applicatie die alleen OIDC-scopes of een beperkte set directory-scopes aanvraagt—merkt Microsoft op dat deze ‘All resources’-beleidsregels mogelijk niet worden afgedwongen.

Met deze update:

• CA-beleid dat is gericht op ‘All resources’ wordt afgedwongen, zelfs wanneer resource-uitsluitingen aanwezig zijn voor deze aanmeldingen.
• Het doel is consistente CA-handhaving, ongeacht de scope-set die door de applicatie wordt aangevraagd.
• Gebruikers kunnen nu CA-uitdagingen krijgen (bijvoorbeeld: MFA, device compliance of andere toegangscontroles) tijdens aanmeldflows die deze eerder niet activeerden.

Uitroltijdlijn

• Handhaving start: 27 maart 2026
• Uitrolmodel: progressief over alle clouds
• Afrondingsvenster: over meerdere weken tot en met juni 2026

Wie wordt geraakt

Alleen tenants met de volgende configuratie worden beïnvloed:

• Minstens één Conditional Access-beleid dat is gericht op All resources (All cloud apps)
• Datzelfde beleid heeft één of meerdere resource-uitsluitingen

Microsoft informeert betrokken tenants via posts in Microsoft 365 Message Center.

Impact voor admins en eindgebruikers

Impact voor admins

• Aanmeldresultaten voor bepaalde client-applicaties kunnen veranderen, vooral waar apps afhankelijk zijn van het aanvragen van minimale scopes.
• Beleidsregels die ook expliciet zijn gericht op Azure AD Graph (waar van toepassing in jouw omgeving/beleidshistorie) kunnen onderdeel zijn van de resulterende uitdagingen, afhankelijk van de door jou geconfigureerde controls.

Impact voor eindgebruikers

• Gebruikers kunnen nieuwe prompts zien (MFA, vereisten voor een compliant device, enz.) bij authenticatie met getroffen applicaties—waar toegang eerder mogelijk doorging zonder CA-handhaving.

Aanbevolen acties / volgende stappen

• De meeste organisaties: geen actie vereist.
  • De meeste applicaties vragen bredere scopes aan en vallen al onder CA-handhaving.
• Als je custom apps hebt geregistreerd in je tenant die bewust alleen de beperkte scopes aanvragen: review en test.
  • Valideer dat deze applicaties Conditional Access-uitdagingen correct kunnen afhandelen.
  • Als dat niet kan, werk de app bij met Microsoft’s Conditional Access developer guidance, zodat authenticatieflows (interactieve prompts, device-signalen, enz.) correct worden verwerkt.
• Operationele gereedheid:
  • Monitor Message Center-meldingen.
  • Gebruik sign-in logs en Conditional Access troubleshooting/audience reporting om te bepalen welke apps en beleidsregels tijdens de uitrol nieuwe uitdagingen triggeren.

Deze wijziging is bedoeld om een defense-in-depth-lek te dichten en ‘All resources’ Conditional Access-beleid voorspelbaarder te laten werken—dus het is de moeite waard om eventuele minimal-scope custom apps proactief te valideren voordat de handhaving jouw tenant bereikt.