Exchange Online PowerShell: Pagarināts laiks autentifikācijas migrācijai

Drošība pirmajā vietā: Kāpēc Microsoft veic izmaiņas?

Microsoft ir paziņojis par svarīgām izmaiņām, kas ietekmēs Exchange Online PowerShell lietotājus un administratorus. Lai gan šīs izmaiņas ir paredzētas, lai uzlabotu drošību, sākotnējais termiņš ir ticis pagarināts. Galvenā problēma ir vecā autentifikācijas metode, kas izmanto parametru -Credential. Šī metode vairs neatbilst mūsdienu drošības standartiem, jo tā neatbalsta svarīgas funkcijas, piemēram, daudzfaktoru autentifikāciju (MFA), kas ir kļuvusi par nepieciešamību digitālajā pasaulē.

Vienkārši sakot, vecais veids, kā skripti piekļuva Exchange Online ar lietotājvārdu un paroli, vairs nav pietiekami drošs. Tas paver durvis potenciāliem riskiem un neļauj pilnībā izmantot jaunākās aizsardzības iespējas, tāpēc Microsoft to pakāpeniski pārtrauc.

Jaunie termiņi un kas jāzina?

Sākotnēji Microsoft plānoja atcelt -Credential parametru Exchange Online PowerShell moduļa jaunās versijās jau 2026. gada jūlijā. Taču, reaģējot uz atsauksmēm un dodot administratoriem vairāk laika sagatavoties, šis termiņš ir pārcelts uz 2026. gada decembri. Tas nozīmē, ka jaunās moduļa versijas, kas tiks izlaistas no 2026. gada decembra, vairs neatbalstīs šo parametru Connect-ExchangeOnline un Connect-IppsSession Cmdlets komandām.

Ir svarīgi saprast, ka tas notiks divos posmos: vispirms parametrs tiks noņemts no jaunajām moduļa versijām, ļaujot vecākām versijām vēl kādu laiku darboties. Tomēr vēlāk Microsoft pilnībā atslēgs arī pamatā esošo servera puses autentifikācijas procesu. Kad tas notiks, -Credential vairs nedarbosies ar jebkādām moduļa versijām. Precīzs šī otrā posma datums vēl nav paziņots, bet tas tiks laikus izziņots. Tātad - ilgtermiņā uz vecas moduļa versijas paļauties nevarēs.

Ietekme uz sistēmām un automatizētajiem skriptiem

Šīs izmaiņas visvairāk ietekmēs automatizētus skriptus, kas darbojas bez interaktīvas lietotāja iejaukšanās. Piemēram, skripti, kas veido atskaites, pārvalda lietotāju saņemšanas kastes, pārbauda atļaujas vai maina transporta noteikumus, bieži izmanto -Credential parametru. Ja jūsu sistēma automātiski atjaunina PowerShell moduļus, tad pēc 2026. gada decembra atjauninājuma šie skripti var pārstāt darboties, ja tie nav pielāgoti jaunajām autentifikācijas metodēm. Savukārt interaktīvām administrēšanas sesijām nekas būtiski nemainīsies, jo tās jau tagad atbalsta modernas autentifikācijas metodes, piemēram, MFA.

Alternatīvas automatizācijai: Sertifikāti vai pārvaldītās identitātes

Lai turpinātu automatizēt uzdevumus drošā veidā, Microsoft piedāvā divas galvenās alternatīvas:

• Lietotnes autentifikācija ar sertifikātiem (App-only authentication): Šī metode ir piemērota automatizācijai ārpus Azure mākoņa. Tā ietver Microsoft Entra reģistrētas lietojumprogrammas izveidi, kas autentificējas ar sertifikātu, nevis lietotājvārdu un paroli. Lietotnei ir jāpiešķir atļauja Exchange.ManageAsApp un atbilstošas RBAC tiesības. Tas nodrošina augstāku drošības līmeni, jo netiek glabātas lietotāja paroles.
• Pārvaldītās identitātes (Managed Identities): Ja jūsu automatizācija darbojas Azure vidē (piemēram, Azure Automation Runbook vai Azure virtuālajā mašīnā), varat izmantot Managed Identities. Šī metode ļauj Azure resursam automātiski iegūt savu identitāti un autentificēties bez nepieciešamības manuāli pārvaldīt paroles vai sertifikātus. Savienojumu var izveidot ar komandu Connect-ExchangeOnline -ManagedIdentity -Organization <Tenant>.onmicrosoft.com.

Ir svarīgi atzīmēt, ka ne visas Cmdlets komandas pagaidām atbalsta jaunās autentifikācijas metodes, īpaši tas attiecas uz M365 Group un dažām Purview komandām. Tāpēc katrs automatizācijas process ir jāpārskata individuāli.

Rīcības plāns administratoriem: Nepalaidiet garām termiņu!

Lai izvairītos no sistēmu pārtraukumiem, IT administratoriem ir kritiski svarīgi jau tagad sākt gatavoties šīm izmaiņām. Ieteicams veikt šādas darbības:

1. Identificēt visus skriptus: Pārbaudiet visus esošos PowerShell skriptus un trešo pušu risinājumus, kas izmanto -Credential parametru, lai piekļūtu Exchange Online vai Security & Compliance PowerShell.
2. Izvēlēties alternatīvu: Katram automatizācijas procesam izvēlieties piemērotāko jauno autentifikācijas metodi (lietotnes autentifikācija ar sertifikātu vai Managed Identities).
3. Pārskatīt atļaujas: Piešķiriet jaunajām autentifikācijas identitātēm tikai minimāli nepieciešamās atļaujas, lai ievērotu “minimālo privilēģiju” principu.
4. Testēt: Rūpīgi testējiet visus pārveidotos skriptus, lai pārliecinātos, ka tie darbojas pareizi un nepārtrauc kritiski svarīgus procesus.

Šis pagarinātais termiņš ir lieliska iespēja veikt nepieciešamās izmaiņas laikus un bez steigas, nodrošinot jūsu Exchange Online vides drošību un stabilitāti nākotnē.

Kā Tu gatavosies šīm izmaiņām savā organizācijā?