Microsoft Entra: Conditional Access «All resources» в 2026

Introduction: why this matters

Conditional Access (CA) — ключевой механизм для применения MFA, соответствия устройств и ограничений сеанса. Microsoft усиливает применение CA в рамках инициативы Secure Future Initiative, чтобы сократить сценарии, при которых входы могут непреднамеренно избегать оценки политик — особенно для клиентских приложений, запрашивающих только ограниченный набор scopes.

What’s changing

Сегодня может возникать разрыв, когда политика CA нацелена на “All resources”, но также содержит исключения ресурсов. В отдельных случаях — когда пользователь выполняет вход через клиентское приложение, которое запрашивает только OIDC scopes или ограниченный набор directory scopes — Microsoft отмечает, что такие политики “All resources” могут не применяться.

С выходом этого обновления:

• Политики CA, нацеленные на “All resources”, будут применяться даже при наличии исключений ресурсов для таких входов.
• Цель — последовательное применение CA независимо от набора scopes, запрашиваемых приложением.
• Пользователи могут начать получать запросы CA (например: MFA, соответствие устройства, или другие элементы управления доступом) в сценариях входа, которые ранее не вызывали их.

Rollout timeline

• Начало применения: 27 марта 2026 г.
• Модель развертывания: постепенно во всех облаках
• Окно завершения: в течение нескольких недель до июня 2026 г.

Who is affected

Затронуты только те арендаторы (tenants), у которых есть следующая конфигурация:

• Как минимум одна политика Conditional Access, нацеленная на All resources (All cloud apps)
• В этой же политике указано одно или несколько исключений ресурсов

Microsoft уведомит затронутых арендаторов через публикации в Microsoft 365 Message Center.

Impact for admins and end users

Admin impact

• Результаты входа для некоторых клиентских приложений могут измениться, особенно если приложения полагаются на запрос минимальных scopes.
• Политики, которые также явно нацелены на Azure AD Graph (если применимо в вашей среде/истории политик), могут участвовать в возникающих запросах в зависимости от настроенных вами элементов управления.

End-user impact

• Пользователи могут видеть новые запросы (MFA, требования к соответствию устройства и т. п.) при аутентификации в затронутых приложениях — там, где ранее доступ мог предоставляться без применения CA.

Recommended actions / next steps

• Для большинства организаций: никаких действий не требуется.
  • Большинство приложений запрашивают более широкие scopes и уже подпадают под применение CA.
• Если у вас есть пользовательские приложения, зарегистрированные в вашем tenant, которые намеренно запрашивают только ограниченные scopes: выполните проверку и тестирование.
  • Убедитесь, что эти приложения корректно обрабатывают запросы Conditional Access.
  • Если нет — обновите приложение, используя рекомендации Microsoft для разработчиков по Conditional Access, чтобы потоки аутентификации (интерактивные запросы, сигналы устройства и т. д.) обрабатывались корректно.
• Операционная готовность:
  • Отслеживайте уведомления в Message Center.
  • Используйте журналы входа и средства устранения неполадок Conditional Access/отчётность по аудитории, чтобы определить, какие приложения и политики вызывают новые запросы в ходе развертывания.

Это изменение призвано закрыть пробел defense-in-depth и сделать поведение политик Conditional Access “All resources” более предсказуемым — поэтому стоит заранее проверить любые пользовательские приложения с минимальными scopes до того, как применение будет включено в вашем tenant.