Microsoft gir Exchange Online-administratorer nok en advarsel før EWS-utfasingen starter

Microsoft har sendt ut nok en advarsel til Exchange Online-administratorer i forkant av en større endring i Exchange Web Services. Den første advarselen kom i 2023, men selskapet advarte også administratorer om det tidligere i år. I tilfelle du ikke er klar over det, starter utfasingen av EWS 1. oktober 2026, og Microsoft har introdusert en ny EWSAllowedAppIDs-innstilling som lar organisasjoner styre hvilke programmer som kan fortsette å bruke tjenesten.

Utfasingen av Exchange Online EWS-tilgang starter 1. oktober

Microsoft har forberedt kunder på utfasingen av EWS i flere år, men neste fase er nå nær. Fra 1. oktober begynner Exchange Online å håndheve utfasingen, og full EWS-utfasing er planlagt fullført innen 1. april 2027.

Advarselen er nyttig for organisasjoner som fortsatt har programmer eller tjenester som er avhengige av EWS. Microsoft opplyser at EWSAllowedAppIDs gir en tillatelsesliste på leietakernivå der administratorer kan angi app-ID-ene som fortsatt skal ha EWS-tilgang i overgangsperioden.

Den viktige endringen er hvordan EWSEnabled vil oppføre seg når håndhevingen starter. Microsoft opplyser at før oktober vil det å sette EWSEnabled til True uten en tillatelsesliste tillate EWS-trafikk. Fra og med oktober vil denne konfigurasjonen ikke lenger gi ubegrenset tilgang. Godkjente programmer må identifiseres gjennom app-ID-tillatelseslisten. I en melding i administrasjonssenteret bekreftet Microsoft at når EWSEnabled er aktivert, kan administratorer bruke EWSAllowedAppIDs til å angi hvilke app-ID-er som har tillatelse til å få tilgang til EWS.

Administratorer må sjekke EWS-avhengighetene sine nå

Microsoft anbefaler at organisasjoner først identifiserer programmer som fortsatt bruker EWS, og deretter oppretter og validerer en tillatelsesliste som inneholder programmene som trenger fortsatt tilgang. Selskapet opplyser at endringer i EWSAllowedAppIDs-konfigurasjonen kan ta opptil 24 timer før de trer i kraft, så administratorer bør ikke utsette dette arbeidet til siste øyeblikk.

Microsoft har også publisert ytterligere veiledning i september som spesifikt ber administratorer om å ta kontroll over EWSAllowedAppIDs-konfigurasjonen før tilgangsendringene starter. For organisasjoner som allerede har konfigurert EWSEnabled=True og en app-ID-tillatelsesliste, opplyser Microsoft at innstillingen ikke vil bli endret før april 2027.

Foreløpig bør Exchange Online-administratorer kartlegge EWS-bruken sin, identifisere programmer som fortsatt er avhengige av EWS, og sørge for at de nødvendige app-ID-ene er inkludert før 1. oktober.