[Was und warum]
Microsoft stellt vorab authentifizierte URLs, auch bekannt als Tempauth-URLs, bei SharePoint Online und OneDrive ein. Ab dem 1. April 2027 geben ausgewählte Microsoft Graph Datei-APIs keine URLs mehr zurück, die eingebettete Authentifizierungsinformationen enthalten, und leiten nicht mehr per HTTP 302 auf diese URLs weiter.
Um Organisationen bei der Vorbereitung zu unterstützen, werden bald neue SharePoint Online Mandantensteuerelemente in einer zukünftigen Version von Microsoft SharePoint Online PowerShell eingeführt. Diese Steuerelemente ermöglichen es Administratoren, das aktualisierte Microsoft Graph URL-Verhalten für bestimmte Anwendungen vor dem Auslaufdatum zu aktivieren. Dies gibt Organisationen Zeit, die Kompatibilität der Anwendungen zu prüfen, die Sicherheitslage zu verbessern und auf die Standardauthentifizierung von Microsoft Entra ID umzustellen, bevor die Änderung in Kraft tritt.
[Rollout-Zeitplan]
- Serviceänderung (weltweit, GCC, GCC High, DoD): Beginn Anfang April 2027, Abschluss erwartet bis Ende April 2027
[Auswirkungen auf Ihre Organisation]
Wer ist betroffen
- Administratoren, die für Microsoft Graph, SharePoint Online, OneDrive, Anwendungsintegrationen und Mandantensicherheit verantwortlich sind
- Eigentümer von Drittanbieteranwendungen, Business-Anwendungen, kundenspezifischen Anwendungen und Automatisierungslösungen, die betroffene Microsoft Graph Datei-APIs verwenden
- Organisationen, die Anwendungen nutzen, die Weiterleitungen folgen oder auf URLs mit eingebetteten Authentifizierungsinformationen angewiesen sind
Plattformen und Dienste
- Microsoft Graph
- SharePoint Online
- OneDrive
- Microsoft Entra ID
- Drittanbieter- und kundenspezifische Anwendungen, die Microsoft Graph Datei-APIs konsumieren
Was wird passieren
Anwendungen, die betroffene Microsoft Graph APIs verwenden, erhalten derzeit möglicherweise:
- SharePoint Online Download-, Upload-, Überwachungs-, Vorschau-, Versions- oder ähnliche URLs, die temporäre Authentifizierungsinformationen enthalten.
- Media-Service-URLs, die temporäre Authentifizierungsinformationen enthalten.
- HTTP 302 Weiterleitungen zu URLs mit eingebetteten Authentifizierungsinformationen.
Nach der Änderung:
- Anwendungen, die für unterstützte Microsoft Graph URL-Alternativen konfiguriert sind, erhalten Microsoft Graph URLs und authentifizieren sich weiterhin mit Microsoft Graph Zugriffstoken.
- APIs, die derzeit HTTP 302 Weiterleitungen zu temporären Authentifizierungs-URLs zurückgeben, liefern stattdessen direkt Inhalte.
- Von betroffenen APIs zurückgegebene SharePoint Online URLs enthalten keine eingebetteten temporären Authentifizierungsinformationen mehr.
- Anwendungen, die direkt auf SharePoint Online URLs zugreifen, benötigen ein gültiges Microsoft Entra ID Zugriffstoken für die SharePoint Online Ressource.
- Anfragen, die direkt an SharePoint APIs und nicht über Microsoft Graph gestellt werden, sind von der Mandanteneinstellung nicht betroffen.
- Anwendungen, die URLs mit eingebetteten Authentifizierungstoken speichern, prüfen oder einlösen, könnten ohne Aktualisierung vor dem 1. April 2027 nicht mehr funktionieren.
- Die Änderung ist durch Mandanteneinstellungen nicht standardmäßig aktiviert. Administratoren müssen auswählen, welche Anwendungs-IDs am Test und an der Validierung teilnehmen.
Betroffene API-Familien umfassen:
- Datei-Download- und Inhalts-APIs
- createUploadSession APIs
- Copy-APIs und Überwachung lang laufender Aktionen
- Vorschau-APIs
- Thumbnail-APIs
- Versions-APIs
- Formatkonvertierungs-APIs
[Erforderliche Maßnahmen und Empfehlungen]
Administratoren sollten vor dem 1. April 2027 mit der Validierung beginnen.
Empfohlene Maßnahmen:
- Identifizieren Sie Anwendungen, die Datei-, Versions-, Thumbnail-, Vorschau-, Upload-Session- oder Copy-Operation URLs über Microsoft Graph abrufen.
- Überprüfen Sie, ob Anwendungen URLs mit eingebetteten Authentifizierungsinformationen speichern, prüfen oder einlösen.
- Stellen Sie sicher, dass Anwendungen direkte Inhaltsantworten statt der HTTP 302 Weiterleitungen verarbeiten können.
- Bestätigen Sie, dass Anwendungen das passende Microsoft Entra ID Zugriffstoken abrufen und senden können, wenn sie Microsoft Graph oder SharePoint Online Endpunkte aufrufen.
- Aktivieren Sie die neue Mandanteneinstellung für eine begrenzte Anzahl von Anwendungs-IDs und validieren Sie das Verhalten der Anwendungen.
- Überwachen Sie während der Testphase Anwendungsfehler, Authentifizierungsfehler und Anmeldeaktivitäten.
- Erweitern Sie die Konfiguration nach erfolgreicher Validierung auf weitere Anwendungen.
- Kontaktieren Sie Anwendungsanbieter und interne Anwendungsbesitzer, um Unterstützung und Zeitpläne für betroffene Anwendungen abzuklären.
- Kommunizieren Sie diese bevorstehende Änderung an Entwicklungs- und Anwendungssupport-Teams.
Keine Maßnahme erforderlich, wenn:
- Ihre Organisation die betroffenen APIs nicht verwendet.
- Anwendungen bereits direkte Microsoft Graph Inhalts-Endpunkte und Standard-Microsoft Entra ID Authentifizierung nutzen.
Weitere Informationen
- Clear-SPOTenantPreAuthSettings (Microsoft.Online.SharePoint.PowerShell) | Microsoft Learn
- Get-SPOTenantPreAuthSettings (Microsoft.Online.SharePoint.PowerShell) | Microsoft Learn
- Erste Schritte mit der SharePoint Online Management Shell | Microsoft Learn
- OAuth 2.0- und OpenID Connect-Protokolle – Microsoft Identity Platform | Microsoft Learn
- Pre-authenticated (Tempauth) URLs werden eingestellt: Wechseln Sie vor dem 1. April 2027 zu Microsoft Entra ID Tokens – Microsoft 365 Developer Blog
[Compliance-Überlegungen]
Frage: Enthält die Änderung eine Administratorsteuerung, und kann diese über die Mitgliedschaft in Entra ID-Gruppen gesteuert werden?
Antwort: Ja. Neue SharePoint Online Mandantensteuerelemente werden eingeführt, die Administratoren erlauben, bestimmte Anwendungs-IDs vor dem Auslaufdatum in das aktualisierte Authentifizierungsverhalten einzubinden. Kunden sollten die Dokumentation prüfen, um verfügbare Scope- und Konfigurationsoptionen zu bestimmen. Bezüglich Steuerung über Entra ID-Gruppenmitgliedschaft wird dies nicht als anwendbar angesehen. Es handelt sich um SharePoint Online PowerShell Cmdlets.
