Microsoft verschärft die Auswertung von Baseline Scopes in Conditional Access. Dazu zählen grundlegende Berechtigungen wie openid, profile, email, offline_access oder User.Read
Bisher konnten Anmeldungen mit Baseline Scopes unter bestimmten Bedingungen an einer Richtlinie vorbeilaufen. Das betraf Richtlinien, die für alle Ressourcen galten, zugleich aber einzelne Ressourcen ausschlossen. Microsoft behandelt solche Anmeldungen als Zugriff auf Windows Azure Active Directory. Dadurch greifen u.a. MFA und Gerätekonformität.
Microsoft aktiviert diese Einstellung aktuell in Tenants.
Auswirkungen
Ältere- oder Custom-Anwendungen, oder nicht konforme Clients könnten plötzlich eine MFA Abfrage erhalten. Konkret erscheint eine MFA Abfrage, wenn alle folgenden Punkte zusammenkommen:
- Eine Anwendung fordert ausschließlich Baseline Scopes an, zum Beispiel
openid,profile,email,offline_accessoderUser.Read. - Eine aktive Conditional Access Richtlinie gilt für den betroffenen Benutzer.
- Die Richtlinie zielt auf Alle Ressourcen und enthält mindestens einen Ressourcenausschluss oder sie zielt ausdrücklich auf Windows Azure Active Directory.
- Unter “Grant” verlangt diese Richtlinie MFA oder eine passende Authentifizierungsstärke.
- Die MFA Anforderung ist in der aktuellen Sitzung noch nicht erfüll
Handlungsempfehlung
-
Sollten Sie nach dem automatischen aktivieren Probleme mit Anmeldungen haben, hilft hier ein Blick ins Entra ID Audit Protokoll. Die Einstellung selbst kann auf das alte Verhalten zurückgestellt werden. Hier der passende Link, da der Menüpunkt im Entra ID teilweise nicht sichtbar ist: https://aka.ms/BaselineScopesSettingsUX. Im Nachgang können Conditional Access Policies reviewed, angepasst und die Einstellung kontrolliert wieder aktiviert werden.
- Haben Sie keine negativen Auswirkung ist die Empfehlung die Einstellung auf “Enable enforcement” zu lassen.
Zusätzliche Informationen