Microsoft Entra listopad 2025: nowe zabezpieczenia

Wprowadzenie: dlaczego to ma znaczenie

Listopadowe aktualizacje Microsoft Entra (2025) wzmacniają wyraźny kierunek: bezpieczeństwo tożsamości musi obejmować agentów AI, nowoczesne uwierzytelnianie oraz bezpieczniejsze powierzchnie logowania. Dla administratorów IT ten miesiąc przynosi nowe wersje zapoznawcze do nadzoru nad agentami i ochrony aplikacji GenAI, a także utwardzanie zabezpieczeń oraz zmiany cyklu życia/API, które mogą wpłynąć na istniejące przepływy pracy.

Co nowego (najważniejsze)

Tożsamość w erze AI i nadzór nad agentami

• Microsoft Entra Agent ID (Public Preview): Nowe możliwości zarządzania, nadzoru i ochrony agentów AI jako części Agent 365 control plane.
• Security Copilot wliczony w Microsoft 365 E5: Rozszerza dostęp do środowisk Copilot w Entra i nowych agentów Entra, udostępniając zaawansowane wsparcie bezpieczeństwa większej liczbie administratorów.
• Entra Suite Prompt Shield (Public Preview): Pomaga chronić firmowe aplikacje GenAI przed prompt injection attacks.
• Synced passkeys + self-service account recovery (Public Preview): Wspiera adopcję uwierzytelniania odpornego na phishing dzięki szerszym opcjom odzyskiwania dostępu w różnych metodach uwierzytelniania.

Microsoft Entra ID: zmiany w zabezpieczeniach i doświadczeniu admina

• Blokowanie zewnętrznego wstrzykiwania skryptów podczas logowania do Entra ID (Action may be required): Entra ID wdrożyło bardziej restrykcyjną politykę Content Security Policy (CSP) na login.microsoftonline.com, aby zapobiegać nieautoryzowanemu wykonywaniu skryptów i ograniczyć ryzyko XSS.
• Wykrywanie jailbreak/root w Microsoft Authenticator (Action may be required): Od lutego 2026 Authenticator będzie wyłączać i usuwać Entra credentials na urządzeniach z jailbreak/root (iOS i Android). Nie jest wymagana konfiguracja po stronie administratora.
• Zastąpienie „Revoke MFA sessions” przez „Revoke sessions” (Action may be required): Od lutego 2026 akcja w portalu będzie unieważniać wszystkie sesje użytkownika (w tym MFA), ujednolicając zachowanie w Conditional Access oraz per-user MFA.

Aktualizacje: Governance, External ID i network access

Entra ID Governance

• Nowe możliwości obejmujące m.in. konwersję użytkowników zewnętrznych na wewnętrznych członków, SCIM 2.0 SAP CIS connector (z provisioningiem grup), eligible group memberships/ownerships w Entitlement Management oraz usprawnienia Lifecycle Workflows (ponowne przetwarzanie niepowodzeń, obsługa sensitivity labels, wyzwalacze dla nieaktywnych pracowników/gości).
• Wycofanie PIM API (Action may be required): Iteration 2 (beta) PIM API przestanie zwracać dane 28 października 2026. Zalecana jest migracja do API Iteration 3 (GA).

Entra External ID

• Ekspansja regionalna do Australii i Japonii, a także uproszczona konfiguracja Azure Monitor/Sentinel dla tenantów zewnętrznych oraz dodatkowe integracje fraud/WAF.

Global Secure Access

• Nowe integracje, takie jak GSA + Netskope ATP/DLP oraz Internet Access TLS Inspection.

Wpływ na administratorów IT

• Należy spodziewać się potrzeby testów kompatybilności przepływu logowania z powodu zaostrzenia CSP (szczególnie jeśli rozszerzenia lub narzędzia wstrzykują skrypty).
• Zaplanuj zmiany zachowania Authenticator na urządzeniach ze złamanymi zabezpieczeniami oraz potencjalne zgłoszenia, gdy użytkownicy zostaną zablokowani.
• Zaktualizuj procedury operacyjne (runbooki) dotyczące unieważniania sesji, aby uniknąć nieporozumień związanych z nowym zachowaniem „Revoke sessions”.
• Rozpocznij modernizację API, jeśli korzystasz z punktów końcowych PIM iteration 2.

Zalecane kolejne kroki

1. Przetestuj przepływy logowania w przeglądarkach i na zarządzanych urządzeniach końcowych; usuń/zastąp narzędzia, które wstrzykują skrypty na stronach logowania Entra.
2. Poinformuj użytkowników końcowych z wyprzedzeniem (przed lutym 2026) o wykrywaniu jailbreak/root w Authenticator i wymaganej remediacji.
3. Zaktualizuj dokumentację helpdesku/administratorów, aby używać Revoke sessions i opisać jego szerszy wpływ.
4. Rozpocznij planowanie migracji PIM API już teraz; wstrzymaj nowy rozwój na API iteration 2 i zweryfikuj zgodność z iteration 3.
5. Oceń wersje zapoznawcze (Agent ID, Prompt Shield, passkeys recovery) w kontrolowanym pilotażu, aby dopasować je do potrzeb nadzoru i bezpieczeństwa.