Microsoft Entra ID 的更新在这个七月接连不断。虽然上周"通行密钥设为默认"的重磅公告仍在全球IT部门中引发热议，但微软在7月14日至18日期间又悄悄推出了几项值得关注的更新。从 Windows 上的 SSO 提示管理，到 MCP 授权模式和目录级加密控制，以下是全面的详细解读。

1. Windows SSO 提示的管理员控制

公告日期： 2026年7月14日 来源： Microsoft Learn

解决的问题

在欧洲经济区（EEA），微软更改了 Windows 登录行为，用户在登录 Windows 后不再自动登录其他 Microsoft 应用和服务。取而代之的是，Windows 现在会向用户显示一个同意对话框：“继续登录？"—询问用户是否希望使用其 Windows 凭据访问其他应用和服务。

这是一项合规性调整，旨在让用户对 Windows 账户的使用方式拥有选择权。但对于已经通过 IT 控制登录策略和信任关系的受管企业环境来说，这一提示只会带来不必要的摩擦和支持工单。

解决方案

自 2026年7月安全更新（KB5101650） 起，适用于 Windows 11 24H2 和 25H2 版本，IT 管理员现在可以部署注册表策略，在符合条件的受管 Windows 设备上自动接受 SSO 权限：

注册表路径： HKLM\SOFTWARE\Policies\Microsoft\Windows\AAD 值： AutoAcceptSsoPermission（DWORD）= 1

部署方式

该策略可通过以下方式部署：

  • 组策略（GPO） — 传统的基于 AD 的部署
  • Microsoft Intune 或类似的 MDM 工具
  • Microsoft Configuration Manager
  • 任何支持注册表策略部署的管理工具

重要范围限制

  • ✅ 适用对象： 使用 Microsoft Entra ID 账户的受管企业 Windows 设备
  • ❌ 个人账户（MSA）： 无法管理控制——提示仍然存在
  • ❌ 非受管设备： 无法管理控制——提示仍然存在
  • 支持的操作系统： 仅限 Windows 11 24H2 和 25H2 版本（需安装 KB5101650）

IT 管理员应采取的步骤

  1. 确认设备运行的是 Windows 11 24H2 或 25H2，并已安装2026年7月安全更新
  2. 通过首选管理工具部署注册表策略
  3. 验证受管设备群的 SSO 行为
  4. 部署后监控是否出现意外的提示

对于管理企业 Windows 设备群的 IT 管理员——尤其是在 EEA 运营或为 EEA 用户提供服务的团队——这是一项直接但受欢迎的改变。

2. Entra Connect Sync v2.6.84.0：通行密钥走进安装向导

公告日期： 2026年7月7日至14日 来源： Microsoft Learn

Microsoft Entra Connect Sync 可能终将被 Cloud Sync 取代，但它仍在接收有意义的更新。版本 2.6.84.0（替代撤回的 2.6.79.0）带来了多项重大的安全和功能改进。

主打功能：安装向导中的通行密钥认证（预览版）

管理员现在可以通过 Windows Web Account Manager（WAM）使用通行密钥和 FIDO2 安全密钥登录配置 Microsoft Entra Connect。这是一项预览功能，需通过注册表启用：

# 启用无密码认证
New-ItemProperty -Path "HKLM:\SOFTWARE\Microsoft\Azure AD Connect" -Name "EnablePasswordlessAuth" -Value 1 -PropertyType DWORD -Force

启用后，运行安装程序时，选择 登录选项 → 人脸、指纹、PIN 或安全密钥，然后使用已注册的通行密钥或安全密钥完成提示。

这与微软推动从管理工作流中消除密码的广泛战略相一致——如果你正在配置身份同步，就不应该需要密码来完成。

v2.6.84.0 的其他值得注意的变更

法国主权云支持：

  • 传递身份验证、无缝 SSO、密码写回和 Health Agent 监控现在可在法国主权云环境中使用

安全强化：

  • 基于应用程序的身份验证失败时，不再静默回退到传统目录同步账户——向导现在会显示明确的错误并停止
  • 后台同步期间，现有服务器不会从传统目录同步账户自动切换到基于应用程序的身份验证
  • PowerShell cmdlet（Set-ADSyncAADCompanyFeature、Set-ADSyncAADPasswordSyncState）现在需要显式指定 -AADUsername 进行交互式管理员身份验证
  • 改进了基于 TPM 的证书处理——预先测试签名能力，并正确处理 TPM 签名验证

移除了 PHS 自愈功能：

  • 密码哈希同步不再在后台自动重新启用其云功能标志。如果 PHS 被禁用，管理员必须显式重新启用。这防止了静默配置漂移。

捆绑组件升级：

  • MSAL：4.64.1 → 4.83.3
  • SQL LocalDB：SQL Server 2019 → SQL Server 2022
  • Visual C++ 可再发行组件：2013 → 2015-2022（14.42.34438）
  • 移除了 VC++ 2013 可再发行组件依赖

行动项

如果你正在运行 Entra Connect Sync，请计划升级到 2.6.84.0。仅安全改进——无静默回退、交互式管理员身份验证、TPM 处理——就足以证明更新的必要性。如果你想在安装过程中尝试通行密钥认证，请在运行向导前启用注册表项。

3. 基于 Entra ID 和 App Service 的 MCP Enterprise-Managed Authorization

公告日期： 2026年7月16日 来源： Microsoft Tech Community

Model Context Protocol（MCP）已成为 AI 代理的标准连接层，而微软正在确保 Entra ID 在组织管理代理对工具和服务的访问权限方面处于核心位置。

什么是 Enterprise-Managed Authorization（EMA）？

EMA 是一项稳定的 MCP 扩展（自 2026 年 6 月 18 日起），从根本上改变了 AI 代理及其用户获得 MCP 服务器授权的方式。不再采用传统的每服务器 OAuth 同意流程——每新增一台 MCP 服务器都需要浏览器重定向和用户点击——EMA 将组织的身份提供者作为策略决策点。

流程如下：

  1. SSO 身份验证： MCP 客户端通过 OpenID Connect 或 SAML 在企业 IdP 上验证用户身份
  2. ID-JAG 签发： IdP 签发 Identity Assertion JWT Authorization Grant（ID-JAG）——一个短生命周期、限受众的 JWT，用于验证用户身份和组织策略
  3. 令牌交换： 客户端将 ID-JAG 提交给 MCP 服务器的授权服务器（使用 RFC 7523 JWT bearer grant），获得资源特定的访问令牌
  4. 无需同意界面——IdP 已经评估了策略

Entra ID 和 App Service 的定位

微软的指南展示了如何利用 Azure App Service 构建强治理的 MCP 终端：

  • App Service 身份验证位于应用程序前端，在请求到达 Python 进程之前验证 Microsoft Entra 访问令牌
  • App Service 可作为 MCP 资源服务器
  • 对于完整的 EMA 流程，企业 IdP 必须能够签发 ID-JAG（通过 RFC 8693 令牌交换）
  • 微软在 GitHub 上提供了包含本地 ID-JAG 实验环境的完整 Python 参考实现

当前支持状态

组件状态
MCP EMA 扩展已稳定（2026年6月18日）
Okta（XAA）首个生产级 IdP 支持
Entra ID ID-JAG 签发尚未正式发布
Anthropic 客户端已支持（Claude、Claude Code、Cowork）
VS Code已支持
服务器Asana、Atlassian、Canva、Figma、Granola、Linear、Supabase

为什么这对 Entra ID 管理员很重要

尽管 Entra ID 的原生 ID-JAG 签发尚未正式可用，但这一公告意义重大，原因如下：

  1. 它定义了架构： 微软正在展示 Entra ID + App Service 如何作为 MCP 服务器的授权边界
  2. 与 Entra Agent ID 对齐： 代理身份通过相同的策略框架获得一流的治理
  3. MCP 2026-07-28 规范即将发布： 该规范将正式确定无状态协议变更和 EMA 扩展——组织应现在开始规划
  4. 安全团队获得集中控制： 在一个地方授予和撤销对 MCP 服务器的访问权限，并带有审计跟踪

对于正在构建 AI 代理基础设施的组织来说，这是必读内容。

4. 目录数据的可配置静态加密

公告日期： 约 2026 年 7 月 10 日至 15 日 来源： 引用微软官方公告的第三方分析

微软推出了可能是多年来 Entra ID 目录存储最重大的安全增强：目录对象支持可配置的静态加密，具有按属性粒度控制和客户托管密钥支持。

新增功能

按属性加密控制： 管理员现在可以通过 Microsoft Graph API 中新增的 Encryption Policy 对象，选择性地对高风险目录属性——如电话号码、MFA 密钥或自定义扩展字段——应用增强的加密保护：

PATCH https://graph.microsoft.com/v1.0/directory/encryptionPolicies/{policyId}
{
  "attributes": [
    "extensionAttribute1",
    "mobilePhone",
    "authMethods"
  ],
  "encryptionType": "AES256",
  "scope": "User"
}

这不是一刀切的加密——而是有针对性加密，允许合规团队保护敏感数据，同时不破坏传统集成或给非关键属性读取增加延迟。

客户托管密钥（CMK）： Entra ID 现在支持使用 Azure Key Vault 托管的密钥进行静态加密。这填补了受监管行业长期存在的空白——此前仅靠微软托管密钥无法满足主权数据要求。

门户体验： 管理门户在 Identity Governance > Protection Policies 下展示了属性加密功能，每次策略变更都有审计日志记录。API 响应现在包含每个属性的 encryptionStatus 字段，支持程序化合规性验证。

需要注意的限制

  • 对象支持： 属性加密仅适用于用户和组对象——服务主体、设备和应用注册暂不支持
  • 许可要求： 客户托管密钥需要 Entra ID P2 许可
  • 审计保留： 加密策略变更的审计日志默认保留 90 天（如需合规需要，请配置更长的保留期）

2026年第四季度即将推出（公开预览）

微软已宣布两个即将推出的预览功能：

  • 精细密钥轮换： 按属性或用户组轮换加密密钥，在发生泄露时将影响范围降至最低
  • 条件加密： 基于 Identity Protection 风险信号的策略驱动加密——对被标记为高风险的用户应用更强的加密

评估

如果这些能力得到微软官方文档的确认，对于需要精细控制身份数据静态加密方式的受监管行业（医疗、金融、政府）的组织来说，这代表了一次重大进步。按属性加密的方法尤其聪明——它避免了全盘加密带来的性能影响，同时仍能保护最敏感的字段。

5. Microsoft Graph API 2026年7月更新

公告日期： 2026年7月16日 来源： Microsoft Learn - Microsoft Graph 最新动态

7月的 Graph API 更新带来了 v1.0 正式发布和新预览功能的组合，扩展了开发者通过 Entra ID 进行编程操作的能力。

v1.0 新增（生产就绪）

访问评审的 BYOD 上传 API： Bring Your Own Data（BYOD）上传 API 已从 beta 升级到 v1.0，支持上传外部访问数据进行访问评审。这包括 customDataProvidedResourceUploadSession 基础资源及相关类型——允许组织将外部访问数据输入 Entra ID Governance 进行评审。

fileStorageContainer 权限批量更新： 单个请求中对文件存储容器的权限操作限制已从 10 个增加到 40 个权限对象——这对 SharePoint 和 Teams 预配工作流来说是一项有意义的改进。

用户资源上的 sponsorOf 关系： 用户资源类型上新增了 sponsorOf 关系，表示用户所赞助的目录对象——直接支持 Entra Agent ID 赞助生命周期模型。

预览版新增

程序化 FIDO2 通行密钥注册： 开发者现在可以通过 creationOptions 函数获取 WebAuthn 凭据创建选项，然后通过将新的 publicKeyCredential 属性发布到 fido2AuthenticationMethod 资源来完成注册，从而实现通行密钥的程序化注册。这支持在标准安全信息门户之外构建自定义注册流程。

变更通知的 Web Push 端点： Microsoft Graph 订阅现在通过新增属性支持浏览器原生 Web Push 投递：vapidPublicKey、webPushEncryptionP256dhPublicKey 和 webPushEncryptionSecret。基于浏览器的应用可以通过 W3C Push API 通道接收变更通知，而无需运行公共 webhook——这对客户端开发者来说是一项显著的简化。

Windows 365 for Agents 组织管理： 新增的 cloudPC: organizationAction 和 cloudPC: retrieveOrganizationActionDetail 方法支持激活或停用 Windows 365 for Agents 的组织设置。

生命周期工作流增强：

  • cancelProcessing 方法用于取消正在进行或排队的工作流运行
  • 工作流预览操作支持在不影响生产用户的情况下进行验证
  • 带可配置阈值的自动隔离（quarantineConfiguration 属性）

访问包建议： 新增的 accessPackageSuggestion 资源类型及 filterByCurrentUser 函数，基于相关用户洞察和分配历史提供个性化的访问包建议。

访问包中的 PIM 角色分配： accessPackageResourceRole 上的 type 属性指示 Azure 资源角色是活动还是合格，从而支持在访问包内进行基于 PIM 的角色分配。

Verified ID 自定义声明验证： 新增的 onVerifiedIdClaimValidationCustomExtension 和 onVerifiedIdClaimValidationListener 资源类型支持在身份验证流程中对 Verified ID 凭据展示进行自定义声明验证逻辑。

Defender 集成： 新增的 alert: moveAlerts 和 incident: mergeIncidents 操作支持在 Microsoft Defender 中移动告警和合并事件。

Entra Connect Sync： onPremisesDirectorySynchronizationFeature 资源上新增了 allowOnPremUpdateOfOnPremisesObjectIdentifierEnabled 属性。

优先级建议

对于大多数组织，以下是本次更新中我建议优先处理的事项：

  1. 部署 SSO 管理员控制注册表策略——如果你在 EEA 有受管 Windows 设备，这项工作投入低、影响大
  2. 计划升级 Entra Connect Sync 到 v2.6.84.0——仅安全强化就值得更新
  3. 评估 MCP EMA 模式——如果你正在构建 AI 代理基础设施，架构方向已明确，提前规划可避免返工
  4. 关注目录静态加密的官方文档——如果确认发布，开始规划哪些属性需要增强保护
  5. 探索程序化通行密钥注册——如果你需要自定义注册流程，Graph API 现已支持

Entra ID 创新的步伐持续加速。上周"通行密钥设为默认"的公告是头条新闻，但本次这些更新共同代表了平台的显著成熟——从 SSO 管理和身份同步安全，到 AI 代理治理和目录级加密控制。

如需持续关注 Entra ID 更新，请在 X 上关注 @kkaminsk 并定期回访本站。Big Hat Group Inc. 提供专注于 AI 和身份技术的 Microsoft 咨询服务。