Identiteit en toegang in september 2026: 3 termijnen tot november

Custom controls en de MemberOf-operator krijgen allebei een stopdatum

Microsoft Entra ID stopt op 30 september 2026 met Custom controls in Conditional Access (Custom controls in Conditional Access stoppen op 30 september). Het einde van de levensduur volgt in mei 2027. De opvolger is External MFA, waarmee MFA-aanbieders van derden rechtstreeks in Conditional Access worden opgenomen.

Bestaande configuraties blijven tijdens de overgangsperiode werken. Organisaties die Custom controls gebruiken om een MFA-oplossing van derden aan Conditional Access te koppelen, moeten overstappen om ondersteund te blijven. Microsoft vraagt bestaande integraties na te lopen, de eisen voor migratie te beoordelen en het beleid en de gebruikerservaring vooraf te testen. De planning hoort volgens Microsoft voor de datum van uitfasering te beginnen.

De public preview van de MemberOf-regeloperator in Entra ID loopt af (MemberOf-regels in Entra ID stoppen met bijwerken na 3 november). Configuraties met die operator stoppen na 3 november 2026 met bijwerken. Dat raakt dynamische groepen, dynamische administratieve eenheden en beleid voor automatische toewijzing in entitlement management, en die configuraties moeten uiterlijk 3 november vervangen zijn.

Tijdens de preview bleek volgens Microsoft dat MemberOf de verwerking van dynamisch lidmaatschap in een hele tenant kan beïnvloeden. Microsoft raadt de operator daarom af voor productie en verwijst voor de migratie naar de Learn-pagina Migrate before the MemberOf preview ends.

SSPR gaat in november alleen nog geregistreerde methoden accepteren

Selfservice-wachtwoordherstel (SSPR) laat gebruikers in september nog verifiëren met contactgegevens uit directorykenmerken zoals mobilePhone, businessPhone en otherMails, ook als die nooit als authenticatiemethode zijn geregistreerd (SSPR in Entra ID accepteert alleen nog geregistreerde methoden). Na de wijziging tellen die kenmerken alleen nog als ze geregistreerd zijn. Volgens Microsoft gebruikt ongeveer 86 procent van de SSPR-verificaties al geregistreerde methoden. De wijziging geldt voor alle gebruikers, ook beheerders.

Over de datum is het bericht niet eenduidig. Titel en samenvatting noemen 9 november 2026, het uitrolschema noemt 7 november voor het begin van de handhaving, en de act-by-datum van MC1325414 is 6 november. Op 5 oktober begint een registratiecampagne die gebruikers en beheerders vraagt methoden te registreren als ze er te weinig hebben.

Microsoft vraagt de registratiedekking na te lopen in het Entra-beheercentrum, onder Authentication methods en User registration details. Elke gebruiker hoort minstens 1 geregistreerde methode te hebben die aan het SSPR-beleid voldoet. Voor wie zich niet zelf kan registreren, noemt Microsoft registratie met hulp van de helpdesk als terugvalproces.

Dezelfde blog die Custom controls uitfaseert, noemt ook de SSPR-wijziging. Volgens die blog zou Conditional Access-beleid voor de actie Register security information vanaf de week van 13 juli bovendien gelden bij het inrichten van Windows Hello for Business en bij de registratie van macOS Platform Single Sign-on. Registratie van methoden vraagt in deze periode dus op 2 plekken aandacht, bij het beleid dat de registratie afschermt en bij de dekking die SSPR vanaf november vereist.

Conditional Access reikt nu tot in de Outlook-bijlage

Sinds MC1472591 geldt Conditional Access ook voor bijlagen in Outlook (Conditional Access geldt ook voor bijlagen in Outlook). Volgens kmo.partners kwam de update rond 15 en 16 september. Beleid dat al aan de cloud-apps Exchange en Office is gekoppeld, wordt overgenomen voor de aparte bijlage-app, en een apart beleid alleen voor bijlagen ondersteunt Microsoft niet.

Wie niet aan het beleid voldoet, kan klassieke bijlagen en inline-afbeeldingen niet meer downloaden, bekijken of uploaden, ook als de mailbox zelf nog werkt. Continuous Access Evaluation en een herstelprompt om opnieuw in te loggen volgen later. Een melding als 'bijlage werkt niet' kan dus een Conditional Access-blokkade zijn, en kmo.partners raadt aan helpdeskteksten bij te werken. De helpdesk komt daarmee in 2 berichten van deze maand terug, bij geblokkeerde bijlagen en als terugvalroute voor SSPR.

Herstel en melden krijgen er gereedschap bij

Entra ID krijgt een back-up en herstel van 30 dagen voor de objecten in een tenant, via de Microsoft 365 Backup-app of de API's van het Microsoft 365 Backup Storage-platform (Entra ID krijgt 30 dagen back-up en point-in-time herstel). Dat maakt een point-in-time herstel naar de laatst bekende goede toestand mogelijk. Het staat los van het herstel van 7 dagen bij P1 en P2, dat al algemeen beschikbaar is. Algemene beschikbaarheid staat gepland voor december 2026.

In Teams kunnen gebruikers straks een verdachte gastuitnodiging rechtstreeks bij de IT-beheerder melden (Teams gaat gebruikers verdachte gastuitnodigingen laten melden). Volgens Microsoft helpt dat om phishing en ander misbruik via gastuitnodigingen te herkennen. Algemene beschikbaarheid staat gepland voor november 2026.

De data staan op volgorde van 30 september 2026 tot mei 2027

In de berichten van september staan deze data:

• 30 september 2026: Custom controls in Conditional Access stoppen
• 5 oktober 2026: registratiecampagne voor SSPR begint
• 3 november 2026: MemberOf-configuraties uiterlijk vervangen
• 6 november 2026: act-by-datum van MC1325414
• 7 of 9 november 2026: begin van de SSPR-handhaving, volgens respectievelijk het uitrolschema en de titel van het bericht
• november 2026: melden van gastuitnodigingen in Teams
• december 2026: back-up en herstel van 30 dagen voor Entra-objecten
• mei 2027: einde levensduur van Custom controls

Een inventaris van Custom controls en MemberOf-regels, samen met User registration details in het Entra-beheercentrum, geeft zicht op alle 3 de termijnen.