Azure ACS og SharePoint Add-Ins udgår i SharePoint Online

Azure ACS (Access Control Services) er den gamle godkendelse, SharePoint brugte til provider-hosted SharePoint Add-Ins og til app-only-adgang med klient-id og client secret. Den 27. november 2023 meldte Microsoft, at ACS og Add-In-modellen i SharePoint Online udgår, og at der ikke kommer nogen forlængelse (SharePoint-bloggen, ACS, SharePoint-bloggen, Add-Ins). Den endelige frist var 2. april 2026. Det, der stadig brugte ACS den dag, er holdt op med at virke, og erstatningen er en Microsoft Entra-applikation.

Tidslinjen#

1. 27. november 2023 Annonceret

   ACS og Add-Ins annonceret (MC693863, MC693865)

2. 1. marts 2024 Frist

   Microsoft tager ikke længere nye Add-Ins til opførelse i det offentlige marked (Microsoft)

3. 18. marts 2024 Annonceret

   Remote event receivers med Entra-app får frist til 1. juli 2027 (SharePoint-bloggen)

4. 1. juli 2024 Frist

   Add-Ins kan ikke erhverves i det offentlige marked

5. 26. september 2024 Annonceret

   Klient-id og client secret kan ikke længere angives i AppRegNew.aspx, udrullet primo oktober til primo november 2024 (MC898388)

6. 1. november 2024 Frist

   ACS og Add-Ins virker ikke for nye tenants

7. 2. april 2026 Frist

   ACS og Add-Ins virker ikke for eksisterende tenants, alle miljøer

8. 1. juli 2027 Frist

   Alle remote event receivers holder op, også dem med Entra-app (MC1411726)

Datoerne i Message center-opslagene er uændrede i alle bevarede udgaver siden den første (1. juli og 1. november 2024 og 2. april 2026 for Add-Ins, 1. november 2024 og 2. april 2026 for ACS). Opslagene er blevet gentaget som påmindelser 12. april 2024, 1. februar, 2. juni og 3. oktober 2025 og 5. januar, 2. februar og 2. marts 2026 (MC693863, versionshistorik i merill/mc). Månedsnoterne har de enkelte trin: november 2023, december 2023, januar 2024, september 2024, oktober 2025, marts 2026, april 2026 og juli 2026.

Fire frister på samme dato#

Den 2. april 2026 var slutdato for fire udfasninger, hver med en tidligere frist for nye tenants:

Hvad der er berørt, og hvad der ikke er#

• Add-Ins af begge slags: SharePoint-hosted (brugerflade og JavaScript i brugerens egen kontekst) og provider-hosted (kører udenfor SharePoint og bruger ACS til at kalde tilbage). Project Online følger samme forløb (Microsoft).
• App-only med ACS, altså klient-id og client secret oprettet med AppRegNew.aspx og givet tilladelser med AppInv.aspx. I PnP PowerShell er det Connect-PnPOnline -ClientId -ClientSecret (Microsoft). Det ramte for eksempel scriptet, der flytter filer fra et netværksdrev.
• Ikke berørt: SPFx, tenant- og site collection-app catalogs, SharePoint Store (som fortsat bruges til SPFx), CSOM og JSOM. SharePoint Server on-premises og dets hybridopsætninger med ACS er heller ikke berørt, og Add-Ins i en on-premises app catalog virker videre (Microsoft).
• Brugerprofiler og taksonomi kan stadig opdateres med en Entra-app, med tilladelserne User.ReadWrite.All og TermStore.ReadWrite.All på SharePoint (Microsoft).

Hvad der gøres#

1. Find ud af, hvad der bruger ACS. Microsoft 365 Assessment Tool leverer to Power BI-rapporter. Azure ACS Report viser alle brugte principaler med scopes, om app-only var tilladt, og hvilke websteder hver af dem kan nå. SharePoint Add-In Report viser Add-Ins pr. websted, hvor de kommer fra (marked eller app catalog), hvem der installerede dem, og for provider-hosted Add-Ins ACS-principalens gyldighed og scopes (Microsoft, Microsoft).

2. Erstat.

• SharePoint-hosted Add-Ins bliver til SPFx-webdele. Gemmer Add-In’en data i sin app web, skal de hentes først, fordi app web’en slettes, når Add-In’en afinstalleres. Den kan gendannes fra papirkurven, hvis det sker ved et uheld (Microsoft).
• Provider-hosted Add-Ins bliver til en ekstern tjeneste med Entra ID, evt. udbudt som Teams-app. Skal den ind i SharePoints brugerflade, kan SPFx kalde den (Microsoft).
• App-only bliver til en Entra-applikation med certifikat. Andre former end certifikat afvises af SharePoint Online (Microsoft):

1# Before: ACS app-only (no longer works)
2Connect-PnPOnline -Url "https://contoso.sharepoint.com/sites/demo" -ClientId $clientId -ClientSecret $clientSecret
3
4# After: Entra app with certificate
5Connect-PnPOnline -Url "https://contoso.sharepoint.com/sites/demo" -ClientId $clientId -Tenant "contoso.onmicrosoft.com" -Thumbprint $thumbprint

Den gamle model gav adgang til hele tenanten, hvis principalen havde tenanttilladelser. Skal adgangen begrænses til udvalgte websteder, tildeles Sites.Selected på SharePoint-API’et (til REST og CSOM) og/eller Graph, og tilladelsen gives pr. websted med et kald til Graph. Kaldet kræver en anden applikation med Sites.FullControl.All (Microsoft).

1POST https://graph.microsoft.com/v1.0/sites/{siteId}/permissions
2Content-Type: application/json
3
4{
5  "roles": ["write"],
6  "grantedToIdentities": [{
7    "application": { "id": "<client id>", "displayName": "<app name>" }
8  }]
9}

3. Slå det gamle fra, når intet bruger det. Tre indstillinger i Set-SPOTenant:

1# Block ACS app-only tokens (does not affect provider-hosted Add-Ins; can be reversed)
2Set-SPOTenant -DisableCustomAppAuthentication $true
3
4# Switch off Add-Ins: no new ones can be added, existing ones stay usable
5Set-SPOTenant -IsSharePointAddInsDisabled $true
6
7# Stop site collection admins from creating ACS principals (default is $false since 2023)
8Set-SPOTenant -SiteOwnerManageLegacyServicePrincipalEnabled $false

Den første og den anden er beskrevet af Microsoft (ACS, Add-Ins). Den tredje er sat til falsk som standard, siden ændringen i 2023 (månedsnoten for juli 2023, Set-SPOTenant). For nye tenants er ACS app-only slået fra som standard.

4. Ryd op. ACS-principaler udløber af sig selv, standardlevetiden er to år. Skal de slettes, sker det for websteds-, web- og listetilladelser under _layouts/15/appprincipals.aspx på webstedet og for tenanttilladelser i Entra under Enterprise applications, hvor AppId fra rapporten søges frem (Microsoft). Har en principal begge slags tilladelser, skal begge dele fjernes.

Secrets i ACS indtil da#

Så længe ACS virkede, udløb en secret oprettet i AppRegNew.aspx efter et år, og Microsoft anbefalede at lave en ny mindst 30 dage før. Siden udrulningen i oktober 2024 kan klient-id og secret ikke længere vælges selv i AppRegNew.aspx, så en secret kunne ikke fornyes ved at oprette principalen igen med samme klient-id (MC898388). Siden december 2024 oprettes principalerne som almindelige Entra-applikationer og ikke som service principals med legacyServicePrincipal sat til Legacy, og fornyelsen sker på en anden måde (Microsoft). Det er historie efter 2. april 2026.

Remote event receivers: frist til 1. juli 2027#

Remote event receivers kaldte tidligere en ekstern tjeneste, når noget skete i en liste, ofte som en del af en provider-hosted Add-In. De, der var registreret med ACS, stoppede 2. april 2026. De, der er registreret med en Entra-applikation med Sites.Selected og certifikat virker til 1. juli 2027, uden forlængelse (MC1411726, Microsoft). Tjenesten får så ikke længere et ContextToken, og den kan derfor ikke handle som den bruger, der udløste hændelsen. Den må bruge applikationstilladelser.

Microsoft anbefaler SharePoint-webhooks eller Graph change notifications. De er asynkrone, så løsninger, der stopper eller afviser en handling med synkrone -ing-hændelser (for eksempel ItemAdding), skal bygges om. Microsoft nævner at sikre filer og mapper, så de ikke kan ændres eller slettes, eller at flytte dem til et skjult bibliotek (Microsoft). Der findes ingen måde at finde remote event receivers i hele tenanten, og Microsoft vil opdatere opslaget, når der kommer en (MC1411726). Webhooks på lister er beskrevet i Ét flow til ændringer på mange SharePoint-lister med webhooks.

Ikke bekræftet#

• Hvad der præcis skete den 2. april 2026, og hvor mange løsninger der gik i stykker. Learn skriver, at modellen er “fully retired on April 2, 2026”, og Message center, at ACS-registrerede remote event receivers “stopped functioning correctly”. Ingen kilde beskriver selve overgangen.