Microsoft Entra Conditional Access: „All resources” 2026

Wprowadzenie: dlaczego to ma znaczenie

Conditional Access (CA) to kluczowy mechanizm kontroli do wymuszania MFA, zgodności urządzeń oraz ograniczeń sesji. Microsoft zaostrza egzekwowanie CA w ramach Secure Future Initiative, aby zmniejszyć liczbę scenariuszy, w których logowania mogą niezamierzenie unikać oceny zasad — szczególnie w przypadku aplikacji klienckich, które żądają tylko ograniczonego zestawu zakresów.

Co się zmienia

Obecnie może wystąpić luka, gdy zasada CA jest skierowana na „All resources” (Wszystkie zasoby), ale jednocześnie zawiera wykluczenia zasobów. W określonych przypadkach — gdy użytkownik loguje się przez aplikację kliencką, która żąda wyłącznie zakresów OIDC lub ograniczonego zestawu zakresów katalogu — Microsoft wskazuje, że takie zasady „All resources” mogą nie być egzekwowane.

Wraz z tą aktualizacją:

• Zasady CA kierowane na „All resources” będą egzekwowane nawet wtedy, gdy występują wykluczenia zasobów dla tych logowań.
• Celem jest spójne egzekwowanie CA niezależnie od zestawu zakresów żądanych przez aplikację.
• Użytkownicy mogą teraz otrzymywać wyzwania CA (na przykład: MFA, zgodność urządzenia lub inne mechanizmy kontroli dostępu) podczas przepływów logowania, które wcześniej ich nie uruchamiały.

Harmonogram wdrożenia

• Początek egzekwowania: 27 marca 2026
• Model wdrożenia: stopniowo we wszystkich chmurach
• Okno zakończenia: przez kilka tygodni do czerwca 2026

Kogo to dotyczy

Zmiana dotyczy wyłącznie tenantów z następującą konfiguracją:

• Co najmniej jedna zasada Conditional Access kierowana na All resources (All cloud apps)
• Ta sama zasada ma jedno lub więcej wykluczeń zasobów

Microsoft powiadomi dotknięte tenanty poprzez wpisy w Microsoft 365 Message Center.

Wpływ na administratorów i użytkowników końcowych

Wpływ na administratorów

• Wyniki logowania dla niektórych aplikacji klienckich mogą się zmienić, szczególnie tam, gdzie aplikacje polegają na żądaniu minimalnych zakresów.
• Zasady, które dodatkowo jawnie obejmują Azure AD Graph (jeśli ma to zastosowanie w Twoim środowisku/historii zasad), mogą być powiązane z wyzwaniami wynikającymi z konfiguracji zastosowanych mechanizmów kontroli.

Wpływ na użytkowników końcowych

• Użytkownicy mogą zobaczyć nowe monity (MFA, wymagania dotyczące zgodności urządzenia itp.) podczas uwierzytelniania w aplikacjach objętych zmianą — tam, gdzie wcześniej dostęp mógł być realizowany bez egzekwowania CA.

Zalecane działania / kolejne kroki

• Większość organizacji: nie są wymagane żadne działania.
  • Większość aplikacji żąda szerszych zakresów i już podlega egzekwowaniu CA.
• Jeśli masz aplikacje niestandardowe zarejestrowane w Twoim tenancie, które celowo żądają tylko ograniczonych zakresów: przejrzyj i przetestuj.
  • Zweryfikuj, że te aplikacje potrafią poprawnie obsłużyć wyzwania Conditional Access.
  • Jeśli nie, zaktualizuj aplikację, korzystając z wytycznych deweloperskich Microsoft dotyczących Conditional Access, aby przepływy uwierzytelniania (interaktywne monity, sygnały urządzenia itp.) były obsługiwane prawidłowo.
• Gotowość operacyjna:
  • Monitoruj powiadomienia w Message Center.
  • Korzystaj z dzienników logowania oraz narzędzi do rozwiązywania problemów Conditional Access/raportowania odbiorców, aby zidentyfikować, które aplikacje i zasady wyzwalają nowe monity podczas wdrożenia.

Ta zmiana ma na celu domknięcie luki w modelu defense-in-depth i sprawienie, by zasady Conditional Access „All resources” działały bardziej przewidywalnie — dlatego warto proaktywnie zweryfikować wszelkie niestandardowe aplikacje o minimalnych zakresach, zanim egzekwowanie dotrze do Twojego tenanta.