Microsoft Entra listopad 2025: zabezpečení identit

Úvod: proč je to důležité

Listopadové aktualizace Microsoft Entra pro rok 2025 posilují jasné téma: zabezpečení identity se musí rozšířit i na AI agenty, moderní ověřování a bezpečnější přihlašovací plochy. Pro IT administrátory tento měsíc přináší nové preview funkce pro správu agentů a ochranu aplikací GenAI, zároveň ale zavádí bezpečnostní hardening a změny životního cyklu/API, které mohou ovlivnit stávající postupy.

Co je nového (hlavní body)

Identita v éře AI a správa agentů

• Microsoft Entra Agent ID (Public Preview): Nové možnosti pro správu, řízení a ochranu AI agentů jako součást Agent 365 control plane.
• Security Copilot zahrnutý v Microsoft 365 E5: Rozšiřuje přístup k prostředí Copilot v Entra a k novým Entra agentům, díky čemuž je pokročilá bezpečnostní asistence dostupná více administrátorům.
• Entra Suite Prompt Shield (Public Preview): Pomáhá chránit podnikové aplikace GenAI před prompt injection attacks.
• Synced passkeys + self-service account recovery (Public Preview): Zlepšuje adopci ověřování odolného vůči phishingu díky širším možnostem obnovy napříč metodami ověřování.

Microsoft Entra ID: změny v zabezpečení a administrátorské zkušenosti

• Blokování externího vkládání skriptů během přihlášení do Entra ID (může být vyžadována akce): Entra ID zavedlo přísnější Content Security Policy (CSP) na login.microsoftonline.com, aby zabránilo neautorizovanému spouštění skriptů a snížilo riziko XSS.
• Detekce jailbreak/root v Microsoft Authenticator (může být vyžadována akce): Od února 2026 Authenticator deaktivuje a vymaže Entra credentials na zařízeních s jailbreak/root (iOS a Android). Není vyžadována žádná konfigurace ze strany administrátora.
• Nahrazení „Revoke MFA sessions“ akcí „Revoke sessions“ (může být vyžadována akce): Od února 2026 akce v portálu zneplatní všechny uživatelské relace (včetně MFA), čímž se sjednotí chování napříč Conditional Access a per-user MFA.

Aktualizace pro Governance, External ID a síťový přístup

Entra ID Governance

• Nové funkce včetně převodu externích uživatelů na interní členy, konektoru SCIM 2.0 SAP CIS (včetně provisioning skupin), eligible členství/vlastnictví skupin v Entitlement Management a vylepšení Lifecycle Workflows (znovuzpracování neúspěchů, podpora sensitivity label, triggery pro neaktivní zaměstnance/hosty).
• Deprecation PIM API (může být vyžadována akce): Iteration 2 (beta) PIM API přestane vracet data 28. října 2026. Doporučuje se migrace na API Iteration 3 (GA).

Entra External ID

• Regionální rozšíření do Austrálie a Japonska, zjednodušené nastavení Azure Monitor/Sentinel pro externí tenanty a další integrace pro fraud/WAF.

Global Secure Access

• Nové integrace jako GSA + Netskope ATP/DLP a Internet Access TLS Inspection.

Dopad pro IT administrátory

• Počítejte s potřebou testování kompatibility přihlašovacích toků kvůli zpřísnění CSP (zejména pokud rozšíření nebo nástroje vkládají skripty).
• Připravte se na změny chování Authenticatoru na kompromitovaných zařízeních a na možné ticketování podpory, když budou uživatelé blokováni.
• Aktualizujte provozní runbooky pro odvolání relací, aby nedocházelo k mylné interpretaci nového chování „Revoke sessions“.
• Zahajte modernizaci API, pokud spoléháte na endpointy PIM iteration 2.

Doporučené další kroky

1. Otestujte přihlašovací toky napříč prohlížeči a spravovanými endpointy; odstraňte/nahraďte nástroje, které vkládají skripty do přihlašovacích stránek Entra.
2. Informujte koncové uživatele s předstihem před únorem 2026 o detekci jailbreak/root v Authenticatoru a o požadované nápravě.
3. Aktualizujte dokumentaci helpdesku/adminů tak, aby používala Revoke sessions, a popište její širší dopad.
4. Začněte plánovat migraci PIM API už nyní; zastavte nový vývoj na iteration 2 API a ověřte kompatibilitu iteration 3.
5. Vyhodnoťte preview funkce (Agent ID, Prompt Shield, obnova passkeys) v řízeném pilotu, abyste posoudili vhodnost z hlediska správy a zabezpečení.