Microsoft Entra Conditional Access'ta Tüm Kaynaklar Değişikliği

Giriş: neden önemli

Conditional Access (CA), MFA, cihaz uyumluluğu ve oturum kısıtlamalarını zorunlu kılmak için temel bir kontroldür. Microsoft, Secure Future Initiative kapsamında CA uygulamasını sıkılaştırarak, özellikle yalnızca sınırlı bir scope kümesi isteyen istemci uygulamalarında, oturum açma işlemlerinin yanlışlıkla politika değerlendirmesinden kaçabildiği senaryoları azaltmayı hedefliyor.

Neler değişiyor

Bugün, bir CA politikası “Tüm kaynaklar”ı hedeflediğinde ancak aynı zamanda kaynak hariç tutmaları içerdiğinde bir boşluk oluşabiliyor. Belirli durumlarda—kullanıcı, yalnızca OIDC scope’ları veya sınırlı bir dizin scope seti isteyen bir istemci uygulaması üzerinden oturum açtığında—Microsoft, bu “Tüm kaynaklar” politikalarının uygulanmayabileceğini belirtiyor.

Bu güncelleme ile:

• “Tüm kaynaklar”ı hedefleyen CA politikaları, bu oturum açma işlemlerinde kaynak hariç tutmaları bulunsa bile uygulanacak.
• Amaç, uygulamanın talep ettiği scope kümesinden bağımsız olarak tutarlı CA uygulaması sağlamak.
• Kullanıcılar, daha önce tetiklenmeyen oturum açma akışlarında artık CA doğrulamaları (örneğin: MFA, cihaz uyumluluğu veya diğer erişim denetimleri) görebilir.

Dağıtım zaman çizelgesi

• Uygulama başlangıcı: 27 Mart 2026
• Dağıtım modeli: tüm bulutlarda kademeli
• Tamamlanma aralığı: Haziran 2026 boyunca birkaç hafta içinde

Kimler etkileniyor

Yalnızca aşağıdaki yapılandırmaya sahip tenant’lar etkilenir:

• Tüm kaynakları (All cloud apps) hedefleyen en az bir Conditional Access politikası
• Aynı politikada bir veya daha fazla kaynak hariç tutması bulunması

Microsoft, etkilenen tenant’ları Microsoft 365 Message Center gönderileriyle bilgilendirecek.

Yöneticiler ve son kullanıcılar için etkisi

Yönetici etkisi

• Özellikle uygulamaların minimum scope istemesine dayanan senaryolarda, belirli istemci uygulamaları için oturum açma sonuçları değişebilir.
• Azure AD Graph’ı açıkça hedefleyen politikalar (ortamınız/politika geçmişinizde geçerliyse), yapılandırdığınız denetimlere bağlı olarak ortaya çıkan doğrulamalarda rol oynayabilir.

Son kullanıcı etkisi

• Kullanıcılar, etkilenen uygulamalarla kimlik doğrularken daha önce CA uygulanmadan erişim sağlanabiliyorken, artık yeni istemler (MFA, uyumlu cihaz gereksinimleri vb.) görebilir.

Önerilen aksiyonlar / sonraki adımlar

• Çoğu kuruluş: Aksiyon gerekmez.
  • Çoğu uygulama daha geniş scope’lar ister ve zaten CA uygulamasına tabidir.
• Tenant’ınızda kasıtlı olarak yalnızca sınırlı scope’lar isteyen özel uygulamalar kayıtlıysa: Gözden geçirin ve test edin.
  • Bu uygulamaların Conditional Access doğrulamalarını doğru şekilde yönetebildiğini doğrulayın.
  • Yönetemiyorsa, kimlik doğrulama akışlarının (etkileşimli istemler, cihaz sinyalleri vb.) doğru ele alınması için Microsoft’un Conditional Access geliştirici rehberini kullanarak uygulamayı güncelleyin.
• Operasyonel hazırlık:
  • Message Center bildirimlerini izleyin.
  • Dağıtım sırasında hangi uygulama ve politikaların yeni doğrulamaları tetiklediğini belirlemek için oturum açma günlükleri ile Conditional Access sorun giderme/hedef kitle raporlamasını kullanın.

Bu değişiklik, katmanlı savunmadaki bir boşluğu kapatmak ve “Tüm kaynaklar” Conditional Access politikalarının daha öngörülebilir davranmasını sağlamak için tasarlandı—bu nedenle, uygulama tenant’ınıza ulaşmadan önce minimum-scope özel uygulamaları proaktif olarak doğrulamak faydalı olacaktır.