Aplicación mejorada de las directivas de Todos los recursos con exclusiones de recursos

Visión general

Microsoft Entra ID está implementando un modelo de cumplimiento mejorado para las políticas de acceso condicional dirigidas a Todos los recursos e incluyen una o más exclusiones de recursos. Este cambio garantiza que los inicios de sesión que solicitan únicamente ámbitos básicos reciban las mismas protecciones de acceso condicional que el resto de accesos a recursos.

Anteriormente, los ámbitos de línea base se excluyeban automáticamente de la aplicación de directivas cuando existía una exclusión de recursos en una directiva Todos los recursos . Con este cambio, esos ámbitos ahora se evalúan como acceso a directorios y están sujetos a las directivas de acceso condicional incluso cuando la directiva tiene exclusiones.

Para obtener información técnica detallada, consulte Nuevo comportamiento de acceso condicional cuando una directiva de todos los recursos tiene una exclusión de recursos.

¿Qué son los ámbitos de línea base?

Ámbitos básicos es un término genérico que engloba el siguiente conjunto de ámbitos:

• Ámbitos de OpenID Connect (OIDC):email , offline_access, openid,profile
• Ámbitos de directorio de línea base: User.Read, User.Read.All, User.ReadBasic.All, People.Read, People.Read.All, GroupMember.Read.All, Member.Read.Hidden

¿Qué está cambiando?

Después del lanzamiento, los siguientes escenarios podrían desencadenar ahora desafíos de acceso condicional (como MFA o cumplimiento de dispositivos) en los que se concedió previamente el acceso sin cumplimiento:

• Aplicaciones cliente públicas (como aplicaciones de escritorio) que solicitan solo ámbitos de línea base. Por ejemplo, un usuario inicia sesión en el cliente de escritorio de Visual Studio Code, que solicita los alcances openid y profile. Otro ejemplo es CLI de Azure, que solo solicita User.Read.
• Aplicaciones de cliente confidenciales (como aplicaciones web) que están excluidas de una directiva de «Todos los recursos» y solicitan únicamente ámbitos de directorio básicos. Por ejemplo, una aplicación web excluida de la directiva que solicita solo User.Read y People.Read.

Los retos concretos dependen de los controles de acceso configurados en sus directivas dirigidas a Todos los recursos o que apunten explícitamente a Windows Azure Active Directory (también conocido como Azure AD Graph) como recurso.

Lo que no cambia

Los escenarios siguientes no se ven afectados por el cambio de cumplimiento. Si una aplicación ya coincide con uno de estos escenarios o puede actualizarlo para hacerlo, el nuevo cumplimiento no cambia el comportamiento de la aplicación. Estos escenarios proporcionan una manera de mantener una aplicación funcionando como lo hace hoy sin conservar el comportamiento heredado.

• Aplicaciones que solicitan un ámbito más allá de los ámbitos de línea base. Cuando una aplicación (pública o confidencial) solicita cualquier ámbito más allá de los ámbitos de línea base (por ejemplo, Mail.Read), la aplicación ya está sujeta a la aplicación de acceso condicional, por lo que este comportamiento no cambia. En el caso de una aplicación cliente pública, solicitar un ámbito de referencia y al menos otro ámbito significa que la aplicación seguirá funcionando de la misma manera tras el cambio en la aplicación de la directiva.
• Aplicaciones cliente confidenciales que solicitan solo ámbitos de OIDC. En el caso de las aplicaciones cliente confidenciales que se excluyen de todas las directivas de recursos y solicitan solo ámbitos OIDC (como openid y profile), no se espera ningún cambio. Si una aplicación cliente confidencial solicita actualmente ámbitos de directorio de línea base (como User.Read), trabaje con los desarrolladores de aplicaciones para evaluar si puede solicitar ámbitos OIDC en su lugar. Los alcances de OIDC ya se consideran seguros, por lo que hacer este cambio permite que la aplicación siga funcionando sin afectar a su comportamiento.

Quién se ve afectado

Este cambio afecta al inquilino si se cumplen todas las condiciones siguientes:

• Tiene una o varias directivas de acceso condicional que tienen como destino Todos los recursos.
• Esas directivas tienen una o varias exclusiones de recursos.
• Los usuarios de su inquilino inician sesión a través de aplicaciones que solicitan únicamente ámbitos básicos.

Si las directivas tienen como destino Todos los recursos sin exclusiones de recursos, este cambio no le afecta.

Lo que usted debe hacer

Use la tabla siguiente para determinar las acciones necesarias para las aplicaciones:

Elige cómo se aplican los ámbitos de referencia

Este cambio en la aplicación de la directiva se aplica a todos los inquilinos como parte de la implantación. Usted tiene control sobre cómo se aplica a través de la configuración de ámbitos de referencia. Puede habilitar la aplicación obligatoria inmediatamente en lugar de esperar a que se complete la implementación en su tenant, personalizarla a nivel de directiva para conservar el comportamiento heredado en escenarios específicos o excluirse temporalmente hasta que esté listo. El lanzamiento comienza el 15 de junio de 2026 y se implementará progresivamente durante varias semanas.

Habilitación del cumplimiento (recomendado)

Puede habilitar el comportamiento de aplicación mejorado antes de que comience el despliegue. Use esta opción en un inquilino de prueba para revisar el impacto en las aplicaciones y los usuarios.

Estará listo para habilitar la aplicación de la directiva cuando haya revisado las exclusiones de aplicaciones en sus directivas de Todos los recursos y no haya identificado ningún escenario similar a los descritos en la sección Quién debe utilizar esta configuración.

1. Inicie sesión en el Centro de administración de Microsoft Entra al menos como Administrador de acceso condicional.
2. Acceda a la configuración de ámbitos de referencia en Acceso condicional. Este vínculo directo es necesario para ver la configuración.
3. Seleccione Habilitar cumplimiento.
4. Haga clic en Guardar.
5. Seleccione Habilitar el cumplimiento de nuevo para confirmar el cambio.

Para revertir al comportamiento heredado, vuelva a la configuración de ámbitos de línea base y seleccione Deshabilitar cumplimiento.

Personalización del comportamiento

Si necesitas excluir la aplicación de directivas específicas en lugar de todo tu inquilino, utiliza la opción Personalizar comportamiento. Este enfoque conserva el comportamiento heredado solo para las políticas que configure, mientras que la aplicación de las directivas se realiza en el resto.

Puede personalizar el comportamiento si ha identificado escenarios críticos para la empresa similares a los descritos en la sección Quién debe usar esta configuración que se vería afectado por este cambio. Puede usar esta opción para conservar el comportamiento heredado de directivas específicas.

Para personalizar el comportamiento, configure una aplicación personalizada para establecer los ámbitos de línea base de destino.

1. Crear una aplicación: Registrar una nueva aplicación en Microsoft Entra ID para que sirva como recurso de destino personalizado para los ámbitos base. Registre la aplicación como una aplicación de un solo inquilino. No se necesita ninguna configuración adicional al registrar la aplicación.
2. Excluir la aplicación de la directiva pertinente: en la directiva de acceso condicional donde necesita conservar el comportamiento heredado, excluya la aplicación personalizada de los recursos de destino.
3. Seleccione la aplicación en la interfaz de usuario de la configuración de ámbitos de referencia: vaya a Configuración de ámbitos de referencia, seleccione Personalizar comportamiento, a continuación, seleccione Guardar y elija su aplicación de marcador de posición de la lista.

Una vez completados estos pasos, los ámbitos de referencia se evalúan en función de su aplicación de marcador de posición personalizada para esa directiva. Dado que la aplicación provisional está excluida de la directiva, el comportamiento heredado se conserva únicamente para esa directiva.

Quién debe usar la configuración de comportamiento de personalización

Use esta configuración solo si tiene escenarios específicos que requieren que conserve el comportamiento heredado. Algunos escenarios de ejemplo son:

• Todas las directivas de recursos que requieran un control de concesión de dispositivos conformes: Dispone de aplicaciones específicas a las que se debe poder acceder desde dispositivos no administrados.
• Todas las directivas de recursos que requieran un control de concesión de la directiva de protección de aplicaciones: Dispone de aplicaciones cliente que no están integradas con el SDK de Microsoft Intune y que no pueden cumplir la directiva de protección de aplicaciones.
• Todas las directivas de recursos con control de bloqueo: tiene aplicaciones específicas que deben excluirse de la directiva de bloqueo.
• Clientes públicos que deben estar exentos de los requisitos de cumplimiento del dispositivo: Tiene aplicaciones específicas de cliente público que no deben estar sujetas al control de concesión de cumplimiento del dispositivo.

Identificación de aplicaciones afectadas con un recurso de destino personalizado

Puede usar la configuración del alcance de referencia para identificar qué aplicaciones de su tenant se verán afectadas antes del despliegue. Después de seleccionar la opción Habilitar cumplimiento , los eventos de inicio de sesión en los que las aplicaciones solicitan ámbitos de línea base enumeran la aplicación personalizada como audiencia de acceso condicional en los registros de inicio de sesión. Para obtener más información, consulte Solución de problemas de inicio de sesión con el acceso condicional.

Consulta de aplicaciones afectadas

Use la siguiente consulta de Microsoft Graph para enumerar las aplicaciones que solicitan solo los ámbitos de línea base:

https://graph.microsoft.com/beta/auditLogs/signIns?$filter=createdDateTime ge 2026-05-26T00:00:00Z and createdDateTime lt 2026-05-27T00:00:00Z and conditionalAccessAudiences/any(a:a eq '<your-custom-app-id>')&$select=createdDateTime,appId,appDisplayName,userDisplayName,userPrincipalName,ipAddress,conditionalAccessStatus

Reemplace por <your-custom-app-id> el identificador de aplicación de la aplicación personalizada. Modifique los valores de marca de tiempo según sea necesario para el intervalo de tiempo específico.

Durante un período de varios días, el resultado de esta consulta proporciona una lista de aplicaciones cliente que solicitan solo ámbitos de línea base.

Deshabilitar la aplicación

Si decide deshabilitar la aplicación obligatoria o personalizar el comportamiento, su organización seguirá usando el comportamiento que configure y el próximo despliegue no anulará el comportamiento configurado. Puede actualizar manualmente la configuración en cualquier momento accediendo a la configuración de ámbitos de línea base.

Experiencia del usuario

En los flujos de inicio de sesión de usuario en los que las aplicaciones cliente solicitan solo los ámbitos enumerados anteriormente, los usuarios ahora pueden recibir desafíos de acceso condicional (como MFA o cumplimiento de dispositivos). El desafío exacto depende de los controles de acceso configurados en las directivas que tienen como objetivo todos los recursos (con o sin exclusiones de recursos) o en las políticas que explícitamente tienen como objetivo Azure AD Graph.

En el ejemplo siguiente, el inquilino tiene una directiva de acceso condicional con los detalles siguientes:

• Enfocando a todos los usuarios y todos los recursos
• Exclusiones de recursos para una aplicación cliente confidencial y Exchange Online
• La autenticación multifactorial (MFA) está configurada como control de concesión

Escenarios de ejemplo

No hay ningún cambio en el comportamiento cuando una aplicación cliente solicita un ámbito más allá de los enumerados anteriormente, como se muestra en los ejemplos siguientes.

Escenarios de ejemplo

La mayoría de las aplicaciones solicitan ámbitos más allá de los ámbitos enumerados anteriormente y ya están sujetas a la aplicación del acceso condicional, a menos que la aplicación esté explícitamente excluida de la directiva. En tales casos, no hay ningún cambio en el comportamiento.

Es posible que las aplicaciones personalizadas diseñadas intencionadamente para solicitar solo los ámbitos enumerados anteriormente y que no estén diseñados para controlar los desafíos de acceso condicional deban actualizarse para que puedan controlar los desafíos del acceso condicional. Consulte la guía para desarrolladores de acceso condicional de Microsoft para obtener detalles de implementación.

Preguntas más frecuentes

¿Qué ocurre si no hago ninguna acción?

El cumplimiento se aplica automáticamente como parte del lanzamiento programado a partir del 15 de junio de 2026. Si no ha realizado ningún cambio en la configuración de los ámbitos de referencia, la aplicación forzosa se habilita automáticamente en un plazo de varias semanas, aproximadamente. No verá ninguna opción seleccionada en la configuración de los ámbitos de referencia una vez aplicada la exigencia, porque ese comportamiento pasa a ser el predeterminado.

Si eligió anteriormente Deshabilitar el cumplimiento o Personalizar comportamiento, el inquilino sigue usando la configuración seleccionada. Puede pasar a la aplicación total en cualquier momento.

¿Cómo puedo habilitar la imposición antes del despliegue?

Vaya a https://aka.ms/BaselineScopesSettingsUX, seleccione Activar el cumplimiento y Guardar. Esta configuración aplica inmediatamente el comportamiento mejorado. Para revertir, seleccione Deshabilitar cumplimiento.

¿Cómo puedo conservar el comportamiento heredado después del lanzamiento?

Utilice Personalizar comportamiento para asignar una aplicación personalizada propiedad del inquilino como recurso de destino para los ámbitos de referencia y, a continuación, excluya esa aplicación de sus directivas de Todos los recursos. Para obtener más información, consulte Conservar el comportamiento heredado con el comportamiento de personalización.

¿Cuál de mis aplicaciones se ve afectada?

Solo las aplicaciones cliente que solicitan ámbitos de línea base exclusivamente necesitan atención. Las aplicaciones que solicitan ámbitos más allá de la línea base (por ejemplo, Mail.Read) ya están sujetas a la aplicación del acceso condicional y no se ven afectados por este cambio. Para la mayoría de las organizaciones, se recomienda revisar las aplicaciones que se excluyen explícitamente de todas las directivas de recursos.

Contenido relacionado

• Acceso condicional: recursos de destino
• Guía para desarrolladores de acceso condicional
• Solucionar problemas de inicio de sesión con el acceso condicional