Custom controls in Conditional Access stoppen op 30 september

Microsoft Entra ID stopt op 30 september 2026 met Custom controls in Conditional Access. Het einde van de levensduur volgt in mei 2027. De opvolger is External MFA, waarmee MFA-aanbieders van derden rechtstreeks in Conditional Access worden opgenomen.

Microsoft maakte dat bekend in een blog van 8 juni 2026 over 3 beveiligingsupdates in Entra ID. De blog is op 4 augustus 2026 voor het laatst bijgewerkt; Microsoft schrijft daarin oude mogelijkheden uit te faseren en gaten te dichten die aanvallers kunnen misbruiken. Volgens Microsoft biedt External MFA een diepere integratie met beleid, een soepelere gebruikerservaring en meer flexibiliteit dan het oude model met Custom controls.

Bestaande configuraties met Custom controls blijven tijdens de overgangsperiode werken. De wijziging raakt organisaties die Custom controls gebruiken om MFA-oplossingen van derden aan Conditional Access te koppelen. Om ondersteund te blijven en die oplossingen binnen Entra ID te kunnen blijven gebruiken, moeten ze overstappen op External MFA.

Volgens Microsoft levert die overstap ook een consistentere handhaving van Conditional Access op en een betere integratie met de beveiligingsfuncties van Entra. Microsoft vraagt organisaties om bestaande integraties met Custom controls na te lopen, de eisen voor migratie naar External MFA te beoordelen en het Conditional Access-beleid en de gebruikerservaring voor de migratie te testen. De planning van de migratie hoort volgens Microsoft voor de datum van uitfasering te beginnen.

Dezelfde blog beschrijft 2 andere wijzigingen. Conditional Access-beleid voor de actie Register security information zou volgens de blog vanaf de week van 13 juli 2026 bij alle tenants ook gelden bij het inrichten van Windows Hello for Business en bij de registratie van macOS Platform Single Sign-on; Microsoft raadde aan dat beleid eerst in report-only-modus te testen. Voor selfservice-wachtwoordherstel (SSPR) accepteert Entra ID vanaf 9 november 2026 alleen nog expliciet geregistreerde authenticatiemethoden, na een registratiecampagne die op 5 oktober 2026 begint. Telefoonnummers en e-mailadressen uit de directory die nooit formeel zijn geregistreerd, tellen dan niet meer mee.