Conditional Access bij registratie Windows Hello for Business

Conditional Access-policies gelden ook bij het registreren van Windows Hello for Business en macOS Platform SSO, met een uitrol die Microsoft plande van 6 tot 13 juli 2026.

Microsoft kondigde de wijziging op 29 mei 2026 aan in Message Center-bericht MC1326253, voor Microsoft Entra. Volgens die planning zou de geleidelijke uitrol op 6 juli 2026 beginnen en op 13 juli voor alle tenants zijn afgerond. Het gaat om policies die zijn gericht op de gebruikersactie Register security information.

Tot die wijziging dwongen deze registratieflows MFA af zonder de Conditional Access-policies voor registratie te evalueren. Eisen als authentication strength, vertrouwde locaties en andere voorwaarden golden daardoor niet bij het inschrijven van deze credentials. Organisaties zonder zulke policies merken niets van de wijziging.

Wie een Windows Hello for Business of macOS Platform SSO-credential registreert, moet eerst voldoen aan de eisen van de registratiepolicy. Afhankelijk van het beleid betekent dat een bestaande FIDO2-beveiligingssleutel gebruiken, een pushmelding in Microsoft Authenticator goedkeuren of verbinding maken vanaf een vertrouwde netwerklocatie. Alle ingestelde grant controls zijn van toepassing. Gebruikers die niet aan de eisen voldoen, kunnen de registratie pas afronden als dat wel zo is.

Microsoft beveelt beheerders aan om in het Entra admin center onder Protection en Conditional Access de policies voor Register security information op te zoeken en de grant controls na te lopen, zoals authentication strength, vertrouwde locaties en MFA-methode. Daarbij hoort de vraag of gebruikers die een nieuw apparaat inrichten aan de eisen kunnen voldoen, bijvoorbeeld met een FIDO2-sleutel of een andere geschikte credential die vooraf klaarligt.

Verder raadt Microsoft aan te testen in report-only en de helpdeskdocumentatie bij te werken, omdat gebruikers tijdens de inrichting van een apparaat een nieuwe authenticatieprompt kunnen zien. Bij problemen in de uitrolperiode van 6 tot 13 juli verwijst Microsoft naar Microsoft Support of het accountteam.