[What and why]

We are correcting the behavior of the Microsoft Graph delegated and app-only permission User.ReadBasic.All. This permission is intended to provide access only to a limited set of basic user profile properties. However, it currently also allows access to user app role assignments and license details.

To address a security vulnerability, we are removing access to user app role assignments and license details from User.ReadBasic.All and aligning the permission with its intended scope. This is not a breaking change for applications that use User.ReadBasic.All only for its intended purpose of accessing basic user profile information.

Applications that rely on this unintended access should be updated with the appropriate least-privileged permissions before rollout is complete.

[Rollout schedule]

• General Availability (Worldwide): Beginning in mid-September 2026 and expected to complete by late September 2026

[Impact on your organization]

Who is affected

Organizations are affected if their applications use the Microsoft Graph delegated or app-only permission User.ReadBasic.All to read:

• User app role assignments
• User license details

Developers, application owners, and administrators responsible for managing application permissions in Microsoft Entra ID should review this change.

Platforms and services

• Microsoft Graph
• Microsoft Entra ID
• Applications using Microsoft Graph permissions

What will happen

• Applications granted only User.ReadBasic.All will no longer be able to read user app role assignments or user license details.
• Applications that access only basic user properties, such as display name, email address, and department, will continue to function without changes.
• Affected applications may experience failures or permission-related errors after the change is applied.
• Users may experience application disruptions if an application has only User.ReadBasic.All but attempts to access user app role assignments or license details.

[Action required and recommendations]

Action is required if you have applications that use User.ReadBasic.All to access user app role assignments or license details.

Recommended actions:

• Review applications granted User.ReadBasic.All in the Microsoft Entra admin center under Enterprise applications > Permissions or in your internal application catalog.
• Identify applications that use this permission to read user app role assignments or user license details.
• Update affected applications to use the appropriate least-privileged permissions:
  • To read user app role assignments: User.Read.All
  • To read user license details: LicenseAssignment.Read.All
  • To read both: User.Read.All
• Obtain administrator consent for the new permissions, update application configurations, redeploy affected applications, and test impacted scenarios.
• Notify developers and application owners of the upcoming permission changes and rollout schedule.
• Monitor application logs and Microsoft Graph API responses for permission-related errors after rollout.

[Compliance considerations]

No compliance considerations identified. Review as appropriate for your organization.

[何となぜ]

Microsoft Graphの委任権限およびアプリのみ権限である User.ReadBasic.Allの挙動を修正しています。この権限は、基本的なユーザープロファイルプロパティの限られたセットのみへのアクセスを提供することを目的としています。しかし現在は、ユーザーアプリの役割割り当てやライセンス詳細へのアクセスも許可しています。

セキュリティの脆弱性に対処するため、 User.ReadBasic.All からユーザーアプリの役割割り当てやライセンス詳細へのアクセスを削除し、権限を意図の範囲に整合させます。これは、 User.ReadBasic.All を使用するアプリケーションにとっては、基本的なユーザープロファイル情報へのアクセスという目的でのみ問題となる変更ではありません。

この意図しないアクセスに依存するアプリケーションは、ロールアウト完了前に適切な最小権限権限で更新されるべきです。

[展開スケジュール]

• 一般公開(世界):2026年9月中旬から開始され、2026年9月下旬までに完了予定です

[組織への影響]

影響を受ける人物

組織は、アプリケーションがMicrosoft Graphの委任権限またはアプリのみ権限である User.ReadBasic.All を使って以下を読む場合に影響を受けます。

• ユーザーアプリの役割割り当て
• ユーザーライセンスの詳細

Microsoft Entra IDのアプリケーション権限管理を担当する開発者、アプリケーションオーナー、管理者はこの変更を検討すべきです。

ホームとサービス

• マイクロソフトグラフ
• Microsoft Entra ID
• Microsoft Graph権限を使用するアプリケーション

何が起こるのか

• User.ReadBasic.Allのみが付与されたアプリケーションは、ユーザーアプリの役割割り当てやユーザーライセンスの詳細を読み取ることができなくなります。
• 表示名、メールアドレス、部門などの基本的なユーザープロパティのみにアクセスするアプリケーションは、変更なしで動作を継続します。
• 変更後、影響を受けたアプリケーションは失敗や権限関連のエラーが発生する可能性があります。
• アプリケーションが User.ReadBasic.All のみを持っている場合、ユーザーはアプリケーションの役割割り当てやライセンス詳細へのアクセスを試みる場合があります。

[行動が必要と提言]

User.ReadBasic.Allを使用しているアプリケーションでユーザーアプリの役割割り当てやライセンス詳細にアクセスする場合は、アクションが必要です。

推奨される行動:

• Microsoft Entra管理センターのエンタープライズアプリケーション>権限欄、または社内のアプリケーションカタログでUser.ReadBasic.Allに付与されたアプリケーションを確認してください。
• この権限を使ってユーザーアプリの役割割り当てやユーザーライセンスの詳細を読み取るアプリケーションを特定しましょう。
• 影響を受けたアプリケーションは、適切な最小権限を使用するよう更新してください:
  • ユーザーアプリの役割割り当てを読むには、 User.Read.All
  • ユーザーライセンスの詳細を読むには、LicenseAssignment.Read.All をご覧ください
  • 両方を読むには、User.Read.All をご覧ください
• 新しい権限の管理者同意を取得し、アプリケーション設定を更新し、影響を受けたアプリケーションの再展開を行い、影響を受けたシナリオをテストします。
• 開発者やアプリケーション所有者に今後の権限変更や展開スケジュールを通知してください。
• ロールアウト後、アプリケーションログやMicrosoft Graph APIの応答を監視し、権限関連のエラーを監視してください。

[コンプライアンスの考慮事項]

コンプライアンス上の考慮事項は特定されていません。組織に応じた適切なレビューを行ってください。