В последнее время Microsoft держит IT-специалистов и системных администраторов в напряжении из-за нескольких крупных изменений. Компания вывела из эксплуатации оператор Entra ID MemberOf, а также объявила о существенных изменениях в часовых поясах для Канады, что оказалось совсем непросто.
После этого Microsoft выпустила еще одно уведомление, чтобы предупредить администраторов и предоставить им руководство по текущему обновлению разрешений для Exchange Online Admin API v2.0. По данным компании, изменение касается разрешений, используемых приложениями, которые обращаются к Exchange Online Admin API v2.0, поскольку Microsoft вводит два новых специализированных разрешения для обеспечения более четкой модели авторизации для приложений, взаимодействующих с административными конечными точками Exchange Online. Они заменят два существующих разрешения API.
Для тех, кто не знаком с этими API, они, по сути, предоставляют приложениям и внешним службам способ общаться с Exchange Online и автоматизировать административные задачи. Exchange Online Admin API использует REST (REpresentational State Transfer) — архитектурный стиль, который позволяет приложениям взаимодействовать со службами через Интернет посредством стандартизированных HTTP-запросов.
Это означает, что разработчики могут создавать приложения, которые взаимодействуют с Exchange Online, извлекают информацию и выполняют различные административные операции, вместо того чтобы администратору приходилось выполнять каждую задачу вручную. Например, приложения могут использовать эти API для управления почтовыми ящиками, настройки параметров организации и выполнения других поддерживаемых административных задач Exchange Online. Они также поддерживают делегированный доступ, когда приложение действует от имени вошедшего в систему пользователя, и доступ только для приложений, когда оно работает независимо, используя свою собственную идентификацию и разрешения.
Во-первых, у нас есть Exchange.ManageV2, который используется для делегированного доступа и заменяется на Exchange.AdminAPI.Manage. Далее, у нас есть Exchange.ManageAsAppV2, который обеспечивает доступ только для приложений и заменяется на Exchange.AdminAPI.ManageAsApp.
Таким образом, приложения, которые продолжают полагаться исключительно на старые разрешения, должны быть мигрированы до их вывода из эксплуатации, иначе они потеряют доступ к затронутым API. Аналогично, если приложения предприятия не полагаются на эти устаревающие разрешения, никаких действий со стороны администратора не требуется.
Microsoft заявляет, что новые разрешения стали доступны по всему миру 1 ноября 2026 года, и организации должны завершить миграцию к 30 ноября. Существующие разрешения будут выведены из эксплуатации начиная с 1 декабря 2026 года. Для сред GCC, GCC High и DoD развертывание также начнется в ноябре, но существующие разрешения будут выведены из эксплуатации 1 января 2027 года.
Microsoft также изложила ряд шагов, которым должны следовать администраторы, чтобы избежать сбоев. Во-первых, организации должны определить приложения, которые в настоящее время используют одно из двух затронутых разрешений. Затем они должны добавить соответствующие заменяющие разрешения в свои регистрации приложений Microsoft Entra и предоставить необходимое согласие администратора.
Тем не менее, простого изменения разрешений API недостаточно, поскольку Microsoft отмечает, что существующие требования к управлению доступом на основе ролей (RBAC) Exchange Online будут по-прежнему применяться. Это означает, что администраторы также должны убедиться, что соответствующее приложение или делегированный пользователь имеет назначенные соответствующие роли Exchange.
Для справки, разрешения OAuth (Open Authorization) определяют, может ли приложение получить токен доступа, в то время как RBAC Exchange Online определяет, к каким административным операциям, конечным точкам и объектам оно фактически может получить доступ. Таким образом, без необходимых назначений RBAC приложение все равно может столкнуться с ошибкой 403 Forbidden, несмотря на наличие действительного токена доступа.
Microsoft рекомендует протестировать затронутые рабочие процессы API с новыми разрешениями перед удалением существующих. Администраторы также должны обновить необходимые скрипты, конфигурации и рабочие процессы согласия, которые явно ссылаются на старые имена разрешений. В случае использования сторонних приложений следует связаться с соответствующими поставщиками, чтобы подтвердить, требуется ли обновление.
Если у вас есть доступ к порталу Microsoft 365 Admin Center, полное руководство по миграции можно найти в разделе MC1540345.
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Sayan Sen
