Verbesserte Durchsetzung für Richtlinien vom Typ „Alle Ressourcen“ mit Ressourcenausschlüssen

Übersicht

Microsoft Entra ID führt ein verbessertes Erzwingungsmodell für Richtlinien zum bedingten Zugriff ein, die auf alle Ressourcen abzielen und einen oder mehrere Ressourcenausschlüsse enthalten. Diese Änderung stellt sicher, dass Anmeldungen, die nur Basisplanbereiche anfordern, dieselben Schutzmechanismen für bedingten Zugriff wie andere Ressourcenzugriffe erhalten.

Zuvor wurden basisplanbezogene Bereiche automatisch von der Richtlinienerzwingung ausgeschlossen, wenn ein Ressourcenausschluss in einer Richtlinie "Alle Ressourcen " vorhanden war. Mit dieser Änderung werden diese Bereiche jetzt als Verzeichniszugriff ausgewertet und unterliegen Ihren Richtlinien für bedingten Zugriff, auch wenn die Richtlinie Ausschlüsse hat.

Ausführliche Informationen zum technischen Hintergrund finden Sie unter "Neues Verhalten bei bedingtem Zugriff", wenn eine ALL-Ressourcen-Richtlinie einen Ressourcenausschluss beinhaltet.

Was sind Basisbereiche?

Baseline-Scopes ist ein Oberbegriff für die folgenden Scopes:

• OpenID Connect (OIDC)-Bereiche: email, offline_access, , openidprofile
• Basisverzeichnisbereiche: User.Read, , User.Read.All, User.ReadBasic.AllPeople.Read, People.Read.All, , , GroupMember.Read.AllMember.Read.Hidden

Was ändert sich?

Nach dem Rollout können die folgenden Szenarien jetzt Herausforderungen für den bedingten Zugriff (z. B. MFA oder Gerätecompliance) auslösen, bei denen der Zugriff zuvor ohne Erzwingung gewährt wurde:

• Öffentliche Clientanwendungen (z. B. Desktop-Apps), die nur Basiswerte anfordern. Beispielsweise meldet sich ein Benutzer beim Visual Studio Code Desktopclient an, der openid und profile Bereiche anfordert. Ein weiteres Beispiel ist Azure CLI, das nur User.Read anfordert.
• Vertrauliche Clientanwendungen (z. B. Web-Apps), die von einer Richtlinie "Alle Ressourcen" ausgeschlossen sind und nur basisplanbezogene Verzeichnisbereiche anfordern. Beispielsweise eine Webanwendung, die von der Richtlinie ausgeschlossen ist, die nur User.Read anfordert und People.Read.

Die genauen Herausforderungen hängen von den in Ihren Richtlinien konfigurierten Zugriffssteuerungen ab, die für alle Ressourcen oder explizit auf Windows Azure Active Directory (auch als Azure AD Graph bezeichnet) als Ressource ausgerichtet sind.

Was sich nicht ändert

Die folgenden Szenarien sind von der Erzwingungsänderung nicht betroffen. Wenn eine Anwendung bereits einem dieser Szenarien entspricht oder Sie sie aktualisieren können, ändert sich die neue Erzwingung nicht, wie sich die Anwendung verhält. Diese Szenarien ermöglichen es Ihnen, eine Anwendung weiterhin so funktionieren zu lassen wie heute, ohne das Altverhalten beizubehalten.

• Anwendungen, die einen Bereich über die Basiswerte hinaus anfordern. Wenn eine Anwendung (öffentlich oder vertraulich) einen Berechtigungsbereich anfordert, der über die Standardberechtigungsbereiche hinausgeht (z. B. Mail.Read), unterliegt die Anwendung bereits der Durchsetzung von bedingtem Zugriff, sodass sich dieses Verhalten nicht ändert. Für eine öffentliche Clientanwendung bedeutet das Anfordern eines Basisbereichs und mindestens eines anderen Bereichs, dass die Anwendung unter der Erzwingungsänderung weiterhin auf die gleiche Weise funktioniert.
• Vertrauliche Clientanwendungen, die nur OIDC-Bereiche anfordern. Für vertrauliche Clientanwendungen, die von Richtlinien für alle Ressourcen ausgeschlossen sind und nur OIDC-Scopes anfordern (wie openid und profile), werden keine Änderungen erwartet. Wenn eine vertrauliche Clientanwendung derzeit grundlegende Verzeichnisbereiche anfordert (z. B. User.Read), arbeiten Sie mit Ihren Anwendungsentwicklern zusammen, um zu beurteilen, ob stattdessen OIDC-Bereiche angefordert werden können. OIDC-Scopes gelten bereits als sicher, sodass diese Änderung die Anwendung weiterhin funktionsfähig hält, ohne ihr Verhalten zu beeinflussen.

Wer betroffen ist

Diese Änderung wirkt sich auf Ihren Mandanten aus, wenn alle folgenden Bedingungen erfüllt sind:

• Sie verfügen über eine oder mehrere Richtlinien für den bedingten Zugriff, die auf alle Ressourcen abzielen.
• Diese Richtlinien weisen einen oder mehrere Ressourcenausschlüsse auf.
• Benutzer in Ihrem Mandanten melden sich über Anwendungen an, die nur Basiswerte anfordern.

Wenn Ihre Richtlinien auf "Alle Ressourcen" ohne Ressourcenausschlüsse abzielen, wirkt sich diese Änderung nicht auf Sie aus.

Was Sie jetzt tun müssen

Verwenden Sie die folgende Tabelle, um die erforderlichen Aktionen für Ihre Anwendungen zu ermitteln:

Wählen Sie aus, wie Baseline-Bereiche durchgesetzt werden

Diese Erzwingungsänderung wird im Rahmen des Rollouts auf alle Mandanten angewendet. Sie können über die Einstellungen für die Baselinebereiche steuern, wie dies wirksam wird. Sie können die Erzwingung sofort aktivieren, anstatt auf den Abschluss des Rollouts in Ihrem Mandanten zu warten, sie auf Richtlinienebene anpassen, um das bisherige Verhalten für bestimmte Szenarien beizubehalten, oder sie vorübergehend davon auszunehmen, bis Sie dazu bereit sind. Der Rollout beginnt am 15. Juni 2026 und wird über mehrere Wochen schrittweise eingeführt.

Aktivieren der Erzwingung (empfohlen)

Sie können das verbesserte Erzwingungsverhalten aktivieren, bevor das Rollout beginnt. Verwenden Sie diese Option in einem Testmandanten, um die Auswirkungen auf Ihre Anwendungen und Benutzer zu überprüfen.

Sie können die Erzwingung aktivieren, wenn Sie die App-Ausschlüsse in Ihren Richtlinien "Alle Ressourcen " überprüft haben und keine Szenarien identifiziert haben, die den im Abschnitt " Who should use this setting " beschriebenen Szenarien ähneln.

1. Melden Sie sich beim Microsoft Entra Admin Center mindestens als Administrator für bedingten Zugriff an.
2. Greifen Sie auf die Einstellungen für Baseline-Bereiche im Bedingten Zugriff zu. Dieser direkte Link ist erforderlich, um die Einstellungen anzuzeigen.
3. Wählen Sie "Erzwingung aktivieren" aus.
4. Wählen Sie "Speichern" aus.
5. Wählen Sie " Erzwingung erneut aktivieren " aus, um die Änderung zu bestätigen.

Wenn Sie zum bisherigen Verhalten zurückkehren möchten, wechseln Sie zurück zu den Einstellungen für die Baseline-Bereiche und wählen Sie Erzwingung deaktivieren aus.

Anpassen des Verhaltens

Wenn Sie die Erzwingung für bestimmte Richtlinien statt für Ihren gesamten Mandanten deaktivieren müssen, verwenden Sie die Option Verhalten anpassen. Dieser Ansatz behält das bisherige Verhalten nur für die von Ihnen konfigurierten Richtlinien bei, während die Durchsetzung in allen anderen Fällen erfolgt.

Sie können das Verhalten anpassen, wenn Sie geschäftskritische Szenarien identifiziert haben, die den im Abschnitt Who should use this setting beschriebenen ähneln und sich auf die diese Änderung auswirken würde. Sie können diese Option verwenden, um das Legacyverhalten für bestimmte Richtlinien beizubehalten.

Um das Verhalten anzupassen, konfigurieren Sie eine benutzerdefinierte Anwendung für basisplanbezogene Bereiche.

1. Anwendung erstellen: Registrieren Sie eine neue Anwendung in Microsoft Entra ID, um als benutzerdefinierte Zielressource für Basislinienbereiche zu dienen. Registrieren Sie die Anwendung als einzelne Mandantenanwendung. Beim Registrieren der Anwendung ist keine zusätzliche Konfiguration erforderlich.
2. Schließen Sie die Anwendung aus der relevanten Richtlinie aus: Schließen Sie in der Richtlinie für bedingten Zugriff, in der Sie das Legacyverhalten beibehalten müssen, die benutzerdefinierte Anwendung aus den Zielressourcen aus.
3. Wählen Sie die Anwendung in den Einstellungen für Baseline-Gültigkeitsbereiche aus: Gehen Sie zu den Einstellungen für Baseline-Gültigkeitsbereiche, wählen Sie Verhalten anpassen, klicken Sie anschließend auf Speichern und wählen Sie Ihre Platzhalteranwendung aus der Liste aus.

Nachdem Sie diese Schritte abgeschlossen haben, werden die Baselinebereiche anhand Ihrer benutzerdefinierten Platzhalteranwendung für diese Richtlinie bewertet. Da die Platzhalteranwendung von der Richtlinie ausgeschlossen ist, wird das bisherige Verhalten ausschließlich für diese Richtlinie beibehalten.

Wer sollte die Einstellung zum Anpassen des Verhaltens verwenden?

Verwenden Sie diese Einstellung nur, wenn Sie bestimmte Szenarien haben, für die Sie das Legacyverhalten beibehalten müssen. Beispielszenarios umfassen:

• Alle Ressourcenrichtlinien, für die eine kompatible Geräteerteilungssteuerung erforderlich ist: Sie verfügen über bestimmte Anwendungen, auf die von nicht verwalteten Geräten aus zugegriffen werden muss.
• Richtlinien für alle Ressourcen, die eine App-Schutzrichtlinie erfordern, gewähren Kontrolle über:: Sie haben Client-Anwendungen, die nicht in das Microsoft Intune SDK integriert sind und die App-Schutzrichtlinie nicht erfüllen können.
• Alle Ressourcenrichtlinien mit Blocksteuerelement: Sie verfügen über bestimmte Anwendungen, die von der Blockrichtlinie ausgeschlossen werden müssen.
• Öffentliche Clients, die von kompatiblen Geräteanforderungen ausgenommen werden müssen: Sie verfügen über bestimmte öffentliche Clientanwendungen, die nicht der Steuerung der Gerätekompatibilitätserteilung unterliegen dürfen.

Identifizieren betroffener Anwendungen mit einer benutzerdefinierten Zielressource

Sie können grundlegende Bereichseinstellungen verwenden, um zu ermitteln, welche Anwendungen in Ihrem Mandanten vor dem Rollout betroffen sind. Nachdem Sie die Option Erzwingung aktivieren ausgewählt haben, führen Anmeldeereignisse, bei denen die Anwendungen Baselinebereiche anfordern, die benutzerdefinierte Anwendung in den Anmeldeprotokollen als Zielgruppe für den bedingten Zugriff auf. Weitere Informationen finden Sie unter Problembehandlung bei Anmeldeproblemen mit bedingtem Zugriff.

Abfrage für betroffene Anwendungen

Verwenden Sie die folgende Microsoft Graph Abfrage, um Anwendungen auflisten, die nur die Basiswerte anfordern:

https://graph.microsoft.com/beta/auditLogs/signIns?$filter=createdDateTime ge 2026-05-26T00:00:00Z and createdDateTime lt 2026-05-27T00:00:00Z and conditionalAccessAudiences/any(a:a eq '<your-custom-app-id>')&$select=createdDateTime,appId,appDisplayName,userDisplayName,userPrincipalName,ipAddress,conditionalAccessStatus

Ersetzen Sie <your-custom-app-id> durch die App-ID Ihrer benutzerdefinierten Anwendung. Ändern Sie die Zeitstempelwerte nach Bedarf für Ihren bestimmten Zeitraum.

Im Laufe eines mehrtägigen Zeitraums ergibt diese Abfrage eine Liste von Clientanwendungen, die nur grundlegende Bereiche anfordern.

Deaktivieren der Erzwingung

Wenn Sie das Erzwingungs- oder Anpassungsverhalten deaktivieren, verwendet Ihre Organisation weiterhin das verhalten, das Sie konfigurieren, und das bevorstehende Rollout setzt Ihr konfiguriertes Verhalten nicht außer Kraft. Sie können die Konfiguration jederzeit manuell aktualisieren, indem Sie auf die Einstellungen für die Basisplanbereiche zugreifen.

Benutzerfreundlichkeit

Bei Benutzeranmeldungsflüssen, bei denen Clientanwendungen nur die oben aufgeführten Bereiche anfordern, erhalten Benutzer möglicherweise jetzt Herausforderungen für bedingten Zugriff (z. B. MFA oder Gerätekompatibilität). Die genaue Herausforderung hängt von den in Ihren Richtlinien konfigurierten Zugriffssteuerungen ab, die auf alle Ressourcen (mit oder ohne Ressourcenausschlüsse) oder Richtlinien abzielen, die explizit auf Azure AD Graph abzielen.

Im folgenden Beispiel verfügt der Mandant über eine Richtlinie für bedingten Zugriff mit den folgenden Details:

• Ausrichtung auf alle Nutzer und alle Ressourcen
• Ressourcenausschlüsse für eine vertrauliche Clientanwendung und Exchange Online
• MFA ist als Zugriffskontrolle konfiguriert

Beispielszenarien

Es gibt keine Änderung des Verhaltens, wenn eine Clientanwendung einen Bereich anfordert, der über die zuvor aufgeführten hinausgeht, wie in den folgenden Beispielen veranschaulicht.

Beispielszenarien

Die meisten Anwendungen fordern Bereiche außerhalb der zuvor aufgeführten Bereiche an und unterliegen bereits der Erzwingung des bedingten Zugriffs, es sei denn, die Anwendung ist explizit von der Richtlinie ausgeschlossen. In solchen Fällen gibt es keine Verhaltensänderung.

Benutzerdefinierte Anwendungen, die absichtlich so konzipiert sind, dass nur die zuvor aufgeführten Bereiche angefordert werden und nicht für die Behandlung von Herausforderungen für bedingten Zugriff konzipiert sind, müssen möglicherweise aktualisiert werden, damit sie Herausforderungen für den bedingten Zugriff bewältigen können. Weitere Informationen zur Implementierung finden Sie in den Microsoft-Entwickleranleitungen für bedingten Zugriff .

Häufig gestellte Fragen

Was geschieht, wenn ich keine Aktion ergreift?

Die Durchsetzung erfolgt automatisch im Rahmen des planmäßigen Rollouts ab dem 15. Juni 2026. Wenn Sie keine Änderungen an den Basisbereichseinstellungen vorgenommen haben, wird die Erzwingung über einen Zeitraum von ungefähr mehreren Wochen automatisch aktiviert. In den Einstellungen für Baselinebereiche werden keine Auswahlmöglichkeiten mehr angezeigt, sobald die Erzwingung angewendet wird, da dieses Verhalten dann standardmäßig gilt.

Wenn Sie zuvor "Erzwingung deaktivieren " oder " Verhalten anpassen" ausgewählt haben, verwendet Ihr Mandant weiterhin Die ausgewählte Konfiguration. Sie können jederzeit zur vollständigen Erzwingung wechseln.

Wie kann ich die Erzwingung vor dem Rollout aktivieren?

Wechseln Sie zu https://aka.ms/BaselineScopesSettingsUX, wählen Sie " Erzwingung aktivieren " und "Speichern" aus. Diese Einstellung erzwingt sofort das verbesserte Verhalten. Um dies rückgängig zu machen, wählen Sie Erzwingung deaktivieren.

Wie kann ich das bestehende Verhalten nach dem Rollout beibehalten?

Verwenden Sie Verhalten anpassen, um eine benutzerdefinierte, mandanteneigene Anwendung als Zielressource für Baselinebereiche zuzuweisen, und schließen Sie diese Anwendung anschließend aus Ihren Richtlinien für „Alle Ressourcen“ aus. Weitere Informationen finden Sie unter Beibehalten des Legacyverhaltens mit anpassungsverhalten.

Welche meiner Anwendungen sind betroffen?

Nur Clientanwendungen, die ausschließlich grundlegende Berechtigungsbereiche anfordern, müssen beachtet werden. Anwendungen, die Bereiche über das Baseline-Niveau anfordern (z. B. Mail.Read), unterliegen bereits der Erzwingung des bedingten Zugriffs und sind von dieser Änderung nicht betroffen. Für die meisten Organisationen wird empfohlen, die Anwendungen zu überprüfen, die explizit von allen Ressourcenrichtlinien ausgeschlossen sind.

Verwandte Inhalte

• Bedingter Zugriff: Zielressourcen
• Leitfaden für bedingten Zugriff für Entwickler
• Anmeldeprobleme bei bedingtem Zugriff beheben