Microsoft Entra november 2025: sterkere aanmeldbeveiliging

Introductie: waarom dit belangrijk is

De Microsoft Entra-updates van november 2025 onderstrepen een duidelijke lijn: identity security moet zich uitstrekken tot AI agents, moderne authenticatie en veiligere aanmeldoppervlakken. Voor IT-beheerders brengt deze maand nieuwe previews om agents te beheren en GenAI-apps te beschermen, terwijl ook security hardening en lifecycle-/API-wijzigingen worden geïntroduceerd die bestaande workflows kunnen beïnvloeden.

Wat is er nieuw (hoogtepunten)

Identity in het AI-tijdperk & agent governance

• Microsoft Entra Agent ID (Public Preview): Nieuwe mogelijkheden om AI agents te beheren, te governancen en te beschermen als onderdeel van de Agent 365 control plane.
• Security Copilot inbegrepen in Microsoft 365 E5: Vergroot de toegang tot Copilot-ervaringen in Entra en de nieuwe Entra agents, waardoor geavanceerde security assistance beschikbaar komt voor meer beheerders.
• Entra Suite Prompt Shield (Public Preview): Helpt enterprise GenAI-applicaties te beschermen tegen prompt injection attacks.
• Synced passkeys + self-service account recovery (Public Preview): Verbetert de adoptie van phishing-resistant auth met bredere herstelopties over verschillende authenticatiemethoden.

Microsoft Entra ID: wijzigingen in beveiliging en beheerervaring

• Blokkeer externe script injection tijdens Entra ID sign-in (Actie kan vereist zijn): Entra ID heeft een striktere Content Security Policy (CSP) uitgerold op login.microsoftonline.com om ongeautoriseerde scriptexecutie te voorkomen en het XSS-risico te verlagen.
• Jailbreak/Root detection in Microsoft Authenticator (Actie kan vereist zijn): Vanaf februari 2026 schakelt Authenticator Entra credentials uit en wist deze op jailbroken/rooted devices (iOS en Android). Er is geen beheerconfiguratie vereist.
• Vervang “Revoke MFA sessions” door “Revoke sessions” (Actie kan vereist zijn): Vanaf februari 2026 maakt de portalactie alle usersessies ongeldig (inclusief MFA), zodat het gedrag wordt gelijkgetrokken tussen Conditional Access en per-user MFA.

Updates voor Governance, External ID en network access

Entra ID Governance

• Nieuwe mogelijkheden, waaronder conversie van externe gebruikers naar interne members, SCIM 2.0 SAP CIS connector (met group provisioning), eligible group memberships/ownerships in Entitlement Management en verbeteringen aan Lifecycle Workflows (opnieuw verwerken van failures, ondersteuning voor sensitivity labels, triggers voor inactieve employees/guests).
• PIM API deprecation (Actie kan vereist zijn): De Iteration 2 (beta) PIM API stopt met het retourneren van data op 28 oktober 2026. Migratie naar Iteration 3 (GA) API’s wordt aanbevolen.

Entra External ID

• Regionale uitbreiding naar Australië en Japan, plus vereenvoudigde Azure Monitor/Sentinel-setup voor external tenants en extra fraud/WAF-integraties.

Global Secure Access

• Nieuwe integraties zoals GSA + Netskope ATP/DLP en Internet Access TLS Inspection.

Impact voor IT-beheerders

• Houd rekening met compatibiliteitstests van sign-in flows door de aangescherpte CSP (vooral als extensies of tools scripts injecteren).
• Plan voor gedragswijzigingen in Authenticator op gecompromitteerde devices en mogelijke supporttickets wanneer gebruikers worden geblokkeerd.
• Werk operationele runbooks bij voor session revocation om misverstanden over het nieuwe gedrag van “Revoke sessions” te voorkomen.
• Start moderniseringswerk voor API’s als je afhankelijk bent van endpoints voor PIM iteration 2.

Aanbevolen vervolgstappen

1. Test sign-in flows in verschillende browsers en op managed endpoints; verwijder/vervang tools die scripts injecteren in Entra sign-in pagina’s.
2. Informeer eindgebruikers ruim vóór februari 2026 over Authenticator jailbreak/root detection en de benodigde remediation.
3. Update helpdesk-/beheerdocumentatie zodat Revoke sessions wordt gebruikt en documenteer de bredere impact.
4. Start nu met PIM API-migratieplanning; stop nieuwe ontwikkeling op iteration 2 API’s en valideer compatibiliteit met iteration 3.
5. Evalueer previews (Agent ID, Prompt Shield, passkeys recovery) in een gecontroleerde pilot om de governance- en security-fit te beoordelen.