Microsoft geeft Exchange Online-beheerders nog een waarschuwing voordat de buitengebruikstelling van EWS begint

Microsoft heeft opnieuw een waarschuwing afgegeven voor Exchange Online-beheerders in aanloop naar een ingrijpende wijziging in Exchange Web Services. De eerste waarschuwing kwam in 2023, maar het bedrijf waarschuwde beheerders er eerder dit jaar ook al voor. Mocht u het nog niet weten: de buitengebruikstelling van EWS gaat in op 1 oktober 2026 en Microsoft heeft een nieuwe EWSAllowedAppIDs-instelling geïntroduceerd waarmee organisaties kunnen bepalen welke toepassingen de service mogen blijven gebruiken.

Buitengebruikstelling van Exchange Online EWS-toegang begint op 1 oktober

Microsoft bereidt klanten al enkele jaren voor op de buitengebruikstelling van EWS, maar de volgende fase is nu dichtbij. Vanaf 1 oktober begint Exchange Online de buitengebruikstelling af te dwingen; de volledige buitengebruikstelling van EWS moet uiterlijk 1 april 2027 zijn afgerond.

De waarschuwing is nuttig voor organisaties die nog toepassingen of services hebben die van EWS afhankelijk zijn. Volgens Microsoft biedt EWSAllowedAppIDs een toegestane lijst op tenantniveau waarin beheerders de app-id’s kunnen opgeven die tijdens de overgang toegang tot EWS moeten behouden.

De belangrijkste wijziging is hoe EWSEnabled zich gedraagt zodra de handhaving begint. Microsoft zegt dat vóór oktober het instellen van EWSEnabled op True zonder een toegestane lijst EWS-verkeer toestaat. Vanaf oktober biedt die configuratie geen onbeperkte toegang meer. Goedgekeurde toepassingen moeten worden geïdentificeerd via de lijst met toegestane app-id’s. In een bericht in het beheercentrum bevestigde Microsoft dat wanneer EWSEnabled is ingeschakeld, beheerders EWSAllowedAppIDs kunnen gebruiken om op te geven welke app-id’s toegang tot EWS mogen hebben.

Beheerders moeten nu hun EWS-afhankelijkheden controleren

Microsoft raadt aan dat organisaties eerst toepassingen identificeren die nog gebruikmaken van EWS en vervolgens een toegestane lijst maken en valideren met de toepassingen die blijvende toegang nodig hebben. Het bedrijf zegt dat wijzigingen in de EWSAllowedAppIDs-configuratie tot 24 uur kunnen duren voordat ze van kracht worden, dus beheerders moeten dit niet tot het laatste moment uitstellen.

Microsoft heeft in september bovendien aanvullende richtlijnen gepubliceerd waarin beheerders specifiek wordt aangeraden om voordat de toegangswijzigingen ingaan de controle over hun EWSAllowedAppIDs-configuratie te nemen. Voor organisaties die EWSEnabled=True en een lijst met toegestane app-id’s al hebben geconfigureerd, zegt Microsoft dat de instelling vóór april 2027 niet wordt gewijzigd.

Voor nu moeten Exchange Online-beheerders hun EWS-gebruik inventariseren, toepassingen identificeren die er nog van afhankelijk zijn en ervoor zorgen dat de vereiste app-id’s vóór 1 oktober zijn opgenomen.