Graph lukker for licensdata: tjek jeres licensrapporter nu

Graph-permissionen User.ReadBasic.All har givet adgang til mere, end navnet lover. Ud over navn, e-mailadresse og profilbillede har den også kunnet læse to ting, der ikke hører til i en basisprofil: brugeres licensdetaljer og deres app-rolletildelinger.

Det lukker Microsoft nu. Udrulningen begyndte midt i september 2026 og ventes færdig sidst på måneden. Ændringen gælder både delegated og app-only adgang.

En app, der kun har User.ReadBasic.All, kan efter udrulningen ikke længere læse:

• •Licensdetaljer per bruger — GET /users/{id}/licenseDetails, i PowerShell Get-MgUserLicenseDetail
• •App-rolletildelinger — GET /users/{id}/appRoleAssignments, i PowerShell Get-MgUserAppRoleAssignment

Bruger en app kun permissionen til det, den er beregnet til, altså navne, e-mailadresser og billeder i en personsøgning eller et intranet, skal der ikke laves noget om.

Der er to vidt forskellige spørgsmål, man stiller Graph om licenser, og de bruger hver sit endpoint. Forskellen afgør, om det her rører jer.

"Hvor mange licenser betaler vi for, og hvor mange er taget i brug?" kommer fra /subscribedSkus. Det er tenant-totalerne: prepaidUnits.enabled mod consumedUnits, altså købt mod tildelt. Endpointet kræver som minimum LicenseAssignment.Read.All og virker både delegated og app-only. Det rører ændringen ikke.

"Hvem har hvilken licens?" kommer fra /users/{id}/licenseDetails. Det er her, User.ReadBasic.All har fungeret, og det er her, det stopper. Værd at bemærke: det endpoint understøtter slet ikke app-only adgang. Kun delegated, altså i en brugers navn.

I praksis betyder det, at den grove optælling er i sikkerhed, mens det detaljerede opslag er det, der kan gå i stå. Og det er ærgerligt, for det er sjældent totalerne, der sparer penge. "Vi har 47 E3-licenser og 45 er tildelt" fører ikke til nogen handling. "Disse otte brugere har E3 og har ikke rørt Teams eller SharePoint i tre måneder" gør. Det er den sidste type rapport, der bygger på per-bruger-opslaget.

De fleste mindre virksomheder kalder ikke selv Graph. Men noget i jeres tenant gør det næsten helt sikkert, og det er sjældent noget, I selv har bygget.

De typiske kandidater er et licensoptimeringsværktøj fra en tredjepart, en rapporteringsportal hos jeres it-leverandør, et HR- eller onboardingsystem, der slår op i Entra, eller et PowerShell-script, som nogen skrev for to år siden og satte til at køre hver måned.

I kan selv kigge efter. I Entra-administrationscenteret under Identity → Applications → Enterprise applications kan I åbne en app og se dens Permissions. Er User.ReadBasic.All blandt de godkendte, og trækker appen licensdata, er den kandidat til at knække.

Efter udrulningen er der ét sted mere at se: log-ind for service principals. Fejler et kald på grund af manglende rettigheder, efterlader det spor der, også når værktøjets egen brugerflade tier stille.

Microsoft peger på tre veje, afhængigt af, hvad appen faktisk skal bruge:

Skiftet kræver, at en administrator giver samtykke på ny, og at appen bliver rullet ud og testet igen. Det er ikke stort arbejde, men det er heller ikke noget, der sker af sig selv.

En ting er værd at holde fast i undervejs. Fristelsen, når et kald pludselig fejler, er at give Directory.Read.All og komme videre. Den permission giver læseadgang til hele jeres directory. Skal appen kun læse licenser, er LicenseAssignment.Read.All det rigtige valg, og det er samtidig den, Microsoft selv angiver som mindst privilegeret på begge licens-endpoints.

Det er i øvrigt hele pointen med ændringen. User.ReadBasic.All blev givet til apps, fordi den lød harmløs, og så fulgte der licens- og rolledata med, som ingen havde taget stilling til. Microsoft lukker hullet, fordi permissionen gav mere, end den lovede.

Har I ikke selv nogen, der arbejder med Graph, er det her, I kan gribe ind. Send tre spørgsmål videre:

Det tredje er det vigtigste. En rapport, der viser en fejl, bliver rettet i næste uge. En rapport, der viser nul tildelte licenser, uden at sige hvorfor, bliver taget for gode varer, og så træffer nogen en beslutning om opsigelse eller nedgradering på et tomt datasæt.

Svaret "vi bruger kun totalerne" er gyldigt og gode nyheder. Svaret "det tjekker vi lige" er også fint. Svaret "det plejer at virke" er det, I skal følge op på inden udgangen af september.

Og en ting mere: det her koster ikke noget og kræver ingen bestemt plan. Graph-permissions følger ikke licensniveauet. Uanset om I kører Business Basic eller E5, er ændringen den samme, og løsningen er den samme.

Kilder: Microsoft Graph permissions reference (Microsoft Learn), List licenseDetails (Microsoft Learn), List subscribedSkus (Microsoft Learn), Cloud licensing API i Microsoft Graph, beta (Microsoft Learn) og meddelelse MC1470871 i Message Center, refereret af mwpro.co.uk og ourcloudnetwork.com.