Microsoft Entra Conditional Access: «Alle ressurser» endres i 2026

Introduksjon: hvorfor dette er viktig

Conditional Access (CA) er en grunnpilar for å håndheve MFA, enhetssamsvar og øktbegrensninger. Microsoft strammer inn CA-håndheving som en del av Secure Future Initiative for å redusere scenarier der pålogginger utilsiktet kan unngå policy-evaluering—særlig for klientapper som bare ber om et begrenset sett med scopes.

Hva som endres

I dag kan det oppstå et gap når en CA-policy retter seg mot «All resources» men også inkluderer ressursunntak. I enkelte tilfeller—når en bruker logger på via en klientapplikasjon som ber om kun OIDC-scopes eller et begrenset sett med directory-scopes—påpeker Microsoft at disse «All resources»-policyene kan ikke bli håndhevet.

Med denne oppdateringen:

• CA-policyer som retter seg mot «All resources» vil bli håndhevet selv når ressursunntak finnes for disse påloggingene.
• Målet er konsistent CA-håndheving uavhengig av hvilke scopes applikasjonen ber om.
• Brukere kan nå få CA-utfordringer (for eksempel: MFA, enhetssamsvar, eller andre tilgangskontroller) under påloggingsflyter som tidligere ikke utløste dem.

Utrullingstidslinje

• Håndheving starter: 27. mars 2026
• Utrullingsmodell: gradvis på tvers av alle skyer
• Fullføringsvindu: over flere uker frem til juni 2026

Hvem som påvirkes

Bare tenants med følgende konfigurasjon påvirkes:

• Minst én Conditional Access-policy som retter seg mot All resources (All cloud apps)
• Den samme policyen har ett eller flere ressursunntak

Microsoft vil varsle berørte tenants gjennom innlegg i Microsoft 365 Message Center.

Konsekvenser for administratorer og sluttbrukere

Konsekvenser for administratorer

• Påloggingsutfall for enkelte klientapplikasjoner kan endre seg, spesielt der apper er avhengige av å be om minimale scopes.
• Policyer som også eksplisitt retter seg mot Azure AD Graph (der dette er relevant i ditt miljø/policyhistorikk) kan være involvert i de resulterende utfordringene avhengig av hvilke kontroller du har konfigurert.

Konsekvenser for sluttbrukere

• Brukere kan se nye prompter (MFA, krav om samsvarskompatibel enhet, osv.) ved autentisering med berørte applikasjoner—der tilgang tidligere kunne fortsette uten CA-håndheving.

Anbefalte tiltak / neste steg

• De fleste organisasjoner: Ingen handling kreves.
  • De fleste applikasjoner ber om bredere scopes og er allerede underlagt CA-håndheving.
• Hvis du har egendefinerte apper registrert i din tenant som bevisst bare ber om de begrensede scopes: Gjennomgå og test.
  • Verifiser at disse applikasjonene håndterer Conditional Access-utfordringer riktig.
  • Hvis de ikke gjør det, oppdater appen ved å bruke Microsofts utviklerveiledning for Conditional Access, slik at autentiseringsflyter (interaktive prompter, enhetssignaler, osv.) håndteres korrekt.
• Operasjonell beredskap:
  • Overvåk varsler i Message Center.
  • Bruk sign-in logs og Conditional Access-feilsøking/audience reporting for å identifisere hvilke apper og policyer som utløser nye utfordringer under utrullingen.

Denne endringen er ment å lukke et forsvar-i-dybden-gap og få «All resources»-policyer i Conditional Access til å oppføre seg mer forutsigbart—derfor er det verdt å validere eventuelle egendefinerte apper med minimale scopes proaktivt før håndheving når din tenant.