|
21.07.2026 14:04 Uhr |
Microsoft entfernt den Parameter -Credential in Exchange Online PowerShell erst aus Modulversionen, die ab Dezember 2026 erscheinen. Bislang war der Schritt für Juli 2026 geplant, wie das Exchange-Team mitteilt. Betroffen sind die Cmdlets Connect-ExchangeOnline und Connect-IppsSession. Skripte und Automatisierungen, die den Parameter weiter nutzen, funktionieren nach dem Update auf eine ab Dezember 2026 veröffentlichte Modulversion nicht mehr.
Über -Credential können PowerShell-Skripte ein Anmeldeobjekt mit Benutzername und Kennwort übergeben, etwa ein mit Get-Credential erzeugtes PSCredential-Objekt. In automatisierten Abläufen lassen sich damit hinterlegte Zugangsdaten für Exchange Online oder Security & Compliance PowerShell verwenden. Microsoft will diese ältere Anmeldemethode ablösen, weil sie moderne Schutzmechanismen wie Multifaktor-Authentifizierung nicht unterstützt.
Die Umstellung erfolgt in zwei Schritten: Zunächst streicht Microsoft -Credential aus neuen Versionen des Exchange-Online-PowerShell-Moduls. Skripte mit älteren Modulversionen sollen vorerst weiter funktionieren. Das verschafft Administratoren Zeit für die Migration.
Automatische Updates können allerdings geplante Aufgaben unerwartet beeinträchtigen. Aktualisieren sie das Modul auf eine betroffene Version, schlagen Skripte fehl, die -Credential an eines der beiden Cmdlets übergeben.
Später will Microsoft auch den zugrunde liegenden Anmeldeablauf serverseitig abschalten. Dann funktioniert -Credential auch mit älteren Modulversionen nicht mehr. Einen Termin dafür hat der Konzern noch nicht genannt, will die Änderung aber vorab ankündigen. Dauerhaft können Administratoren also nicht auf einer älteren Modulversion bleiben.
Betroffen sind vor allem automatisiert ausgeführte Skripte, etwa für Berichte, die Empfängerverwaltung, Berechtigungsprüfungen oder Änderungen an Transportregeln. Für interaktive Administrationssitzungen steht weiterhin die normale Anmeldung mit Connect-ExchangeOnline zur Verfügung, die Multifaktor-Authentifizierung unterstützt.
Für Automatisierungen außerhalb von Azure verweist Microsoft auf die App-only-Authentifizierung. Dabei meldet sich keine Benutzerkennung an, sondern eine in Microsoft Entra registrierte Anwendung. Für Exchange Online PowerShell weist sich diese Anwendung mit einem Zertifikat aus.
Die Anwendung benötigt die Berechtigung Exchange.ManageAsApp und die für die jeweiligen Cmdlets erforderlichen RBAC-Rechte. Das Verfahren vermeidet gespeicherte Benutzerkennwörter, verlangt aber eine sorgfältige Verwaltung von Zertifikaten und Berechtigungen.
Läuft eine Automation in Azure, etwa als Runbook in Azure Automation oder auf einer Azure-VM, kann sie eine Managed Identity verwenden. Azure weist der Ressource dabei eine eigene Identität zu. Das Skript muss dann weder Kennwort noch Zertifikat verwalten.
Die Verbindung kann beispielsweise mit Connect-ExchangeOnline -ManagedIdentity -Organization <Tenant>.onmicrosoft.com erfolgen. Welche Cmdlets und Parameter verfügbar sind, hängt von den zugewiesenen RBAC-Rechten ab.
Administratoren sollten schon jetzt prüfen, welche eigenen Skripte und Drittanbieterprodukte -Credential an Connect-ExchangeOnline oder Connect-IppsSession übergeben. Anschließend sollten sie für jede Automation ein passendes Ersatzverfahren auswählen, nur die erforderlichen Berechtigungen vergeben und die Umstellung testen.
Die Ersatzverfahren decken allerdings nicht jedes Cmdlet ab. Insbesondere bei Cmdlets für M365-Gruppen und bei einzelnen Purview-Cmdlets gibt es Einschränkungen. Administratoren sollten daher alle betroffenen Abläufe einzeln prüfen. Weitere Details liefert der Message-Center-Beitrag MC1248389.
(fo)