Microsoft Entra: Acesso Condicional em Todos os recursos

Introdução: porque isto importa

O Acesso Condicional (CA) é um controlo fundamental para impor MFA, conformidade do dispositivo e restrições de sessão. A Microsoft está a reforçar a aplicação do CA como parte da sua Secure Future Initiative para reduzir cenários em que logins podem, inadvertidamente, evitar a avaliação de políticas — em particular para aplicações cliente que pedem apenas um conjunto limitado de scopes.

O que está a mudar

Atualmente, pode existir uma lacuna quando uma política de CA visa “Todos os recursos” mas também inclui exclusões de recursos. Em casos específicos — quando um utilizador inicia sessão através de uma aplicação cliente que pede apenas scopes OIDC ou um conjunto limitado de directory scopes — a Microsoft refere que estas políticas de “Todos os recursos” podem não ser aplicadas.

Com esta atualização:

• Políticas de CA que visam “Todos os recursos” serão aplicadas mesmo quando existirem exclusões de recursos para estes logins.
• O objetivo é uma aplicação consistente do CA independentemente do conjunto de scopes pedido pela aplicação.
• Os utilizadores podem agora receber desafios de CA (por exemplo: MFA, conformidade do dispositivo, ou outros controlos de acesso) durante fluxos de login que anteriormente não os acionavam.

Calendário de implementação

• Início da aplicação: 27 de março de 2026
• Modelo de rollout: progressivo em todas as clouds
• Janela de conclusão: ao longo de várias semanas até junho de 2026

Quem é afetado

Apenas tenants com a seguinte configuração são impactados:

• Pelo menos uma política de Acesso Condicional que visa Todos os recursos (All cloud apps)
• A mesma política tem uma ou mais exclusões de recursos

A Microsoft irá notificar os tenants impactados através de publicações no Microsoft 365 Message Center.

Impacto para admins e utilizadores finais

Impacto para admins

• Os resultados de login para determinadas aplicações cliente podem mudar, especialmente quando as apps dependem de pedir scopes mínimos.
• Políticas que também visam explicitamente Azure AD Graph (quando aplicável no seu ambiente/histórico de políticas) podem estar envolvidas nos desafios resultantes, dependendo dos controlos configurados.

Impacto para utilizadores finais

• Os utilizadores podem ver novos pedidos (MFA, requisitos de dispositivo conforme, etc.) ao autenticar-se com aplicações afetadas — onde anteriormente o acesso podia prosseguir sem aplicação de CA.

Ações recomendadas / próximos passos

• A maioria das organizações: não é necessária nenhuma ação.
  • A maioria das aplicações pede scopes mais amplos e já está sujeita à aplicação do CA.
• Se tiver apps personalizadas registadas no seu tenant que intencionalmente pedem apenas os scopes limitados: reveja e teste.
  • Valide que estas aplicações conseguem lidar corretamente com desafios de Acesso Condicional.
  • Se não conseguirem, atualize a app utilizando as orientações de desenvolvimento de Acesso Condicional da Microsoft, para que os fluxos de autenticação (prompts interativos, sinais do dispositivo, etc.) sejam tratados corretamente.
• Preparação operacional:
  • Monitorize as notificações do Message Center.
  • Utilize os sign-in logs e a resolução de problemas/relatórios de audiência do Acesso Condicional para identificar quais as apps e políticas que estão a acionar novos desafios durante o rollout.

Esta alteração foi concebida para fechar uma lacuna de defense-in-depth e tornar as políticas de Acesso Condicional de “Todos os recursos” mais previsíveis — pelo que vale a pena validar proativamente quaisquer apps personalizadas de âmbito mínimo antes de a aplicação chegar ao seu tenant.