Microsoft giver Exchange Online-administratorer endnu en advarsel, før EWS-udfasningen begynder

Microsoft har udsendt endnu en advarsel til Exchange Online-administratorer forud for en større ændring af Exchange Web Services. Den første advarsel kom i 2023, men virksomheden advarede også administratorer om det tidligere i år. Hvis du ikke er bekendt med det, begynder udfasningen af EWS den 1. oktober 2026, og Microsoft har introduceret en ny indstilling, EWSAllowedAppIDs, der giver organisationer mulighed for at styre, hvilke applikationer der fortsat kan bruge tjenesten.

Udfasningen af Exchange Online EWS-adgang begynder 1. oktober

Microsoft har i flere år forberedt kunderne på udfasningen af EWS, men næste fase er nu tæt på. Fra den 1. oktober begynder Exchange Online at håndhæve udfasningen, og den fulde udfasning af EWS er planlagt til at være afsluttet senest den 1. april 2027.

Advarslen er nyttig for organisationer, der stadig har applikationer eller tjenester, som er afhængige af EWS. Microsoft oplyser, at EWSAllowedAppIDs giver en tilladeliste på tenantniveau, hvor administratorer kan angive de App ID’er, der fortsat skal have adgang til EWS i overgangsperioden.

Den vigtige ændring er, hvordan EWSEnabled vil opføre sig, når håndhævelsen begynder. Microsoft oplyser, at det før oktober giver adgang til EWS-trafik at sætte EWSEnabled til True uden en tilladeliste. Fra oktober og frem vil denne konfiguration ikke længere give ubegrænset adgang. Godkendte applikationer skal identificeres via App ID-tilladelisten. I en meddelelse i administrationscenteret bekræftede Microsoft, at når EWSEnabled er aktiveret, kan administratorer bruge EWSAllowedAppIDs til at angive, hvilke App ID’er der har tilladelse til at få adgang til EWS.

Administratorer skal tjekke deres EWS-afhængigheder nu

Microsoft anbefaler, at organisationer først identificerer applikationer, der stadig bruger EWS, og derefter opretter og validerer en tilladeliste med de applikationer, der har brug for fortsat adgang. Virksomheden oplyser, at ændringer i konfigurationen af EWSAllowedAppIDs kan tage op til 24 timer om at træde i kraft, så administratorer bør ikke vente med dette arbejde til sidste øjeblik.

Microsoft har derudover offentliggjort yderligere vejledning i september, der specifikt opfordrer administratorer til at tage kontrol over deres konfiguration af EWSAllowedAppIDs, inden adgangsændringerne begynder. For organisationer, der allerede har konfigureret EWSEnabled=True og en App ID-tilladeliste, oplyser Microsoft, at indstillingen ikke vil blive ændret før april 2027.

Indtil videre bør Exchange Online-administratorer kortlægge deres brug af EWS, identificere applikationer, der stadig afhænger af det, og sikre, at de nødvendige App ID’er er medtaget inden den 1. oktober.