Το App Governance είναι το κομμάτι του Defender for Cloud Apps που βλέπει τις εφαρμογές OAuth του tenant σου: ποιες έχουν δικαιώματα στο Graph, ποιες διαβάζουν mailboxes, ποιες έγιναν ξαφνικά πολύ «ομιλητικές». Μετά τις επιθέσεις με κακόβουλες εφαρμογές OAuth και consent phishing, είναι από τα πιο σημαντικά σημεία ελέγχου σε ένα tenant Microsoft 365. Και το ποιος το ελέγχει είναι ερώτηση που θα κάνει ο ελεγκτής.
Αυτό ακριβώς αλλάζει: το App Governance περνά στο Unified RBAC του Defender XDR, και μαζί αλλάζουν τα δικαιώματα συγκεκριμένων ρόλων του Entra.
Τι αλλάζει
Σύμφωνα με την ανακοίνωση MC1479503, που δημοσιεύθηκε στις 25 Σεπτεμβρίου 2026:
| Ρόλος | Τι αλλάζει |
|---|---|
| Cloud App Security Administrator | Αποκτά δικαίωμα να βλέπει και να διαχειρίζεται τα App Governance policies. Σήμερα ενεργοποιεί το App Governance, αλλά δεν βλέπει τις δυνατότητές του. |
| Compliance Administrator | Χάνει τη διαχείριση των App Governance policies και την ενεργοποίηση ή απενεργοποίηση του App Governance από τα Settings. |
| Compliance Data Administrator | Χάνει την ενεργοποίηση ή απενεργοποίηση του App Governance από τα Settings. |
| Custom Unified RBAC roles για το Defender for Cloud Apps | Αποκτούν πρόσβαση στις δυνατότητες του App Governance. |
Η αλλαγή είναι Generally Available. Η αρχική ημερομηνία ήταν από τα μέσα έως τα τέλη Οκτωβρίου, αλλά στις 20 Οκτωβρίου η Microsoft τη μετέθεσε από τα μέσα έως τα τέλη Νοεμβρίου 2026. Έχεις δηλαδή περίπου τρεις εβδομάδες.
Ένα σημείο προσοχής: ο πίνακας ρόλων στο Microsoft Learn δείχνει ακόμα τα σημερινά δικαιώματα, όπου ο Compliance Administrator διαχειρίζεται policies. Μέχρι να ενημερωθεί, η ανακοίνωση στο Message Center σου είναι η πηγή για το τι θα ισχύει.
Γιατί σε ενδιαφέρει
Σε πολλά tenants το App Governance το στήνει κάποιος από την ομάδα compliance, επειδή ο Compliance Administrator το επέτρεπε. Από τα μέσα Νοεμβρίου αυτός ο άνθρωπος δεν θα μπορεί να αλλάξει τα policies που έφτιαξε. Αν κανείς δεν το προσέξει, θα το ανακαλύψετε όταν χρειαστεί να αλλάξετε ένα policy μετά από ένα alert.
Από την άλλη πλευρά, ο Cloud App Security Administrator αποκτά περισσότερα δικαιώματα από όσα είχε. Όσοι έχουν σήμερα αυτόν τον ρόλο θα μπορούν πλέον να αλλάζουν ή να διαγράφουν τα policies που προστατεύουν από κακόβουλες εφαρμογές OAuth. Αυτό είναι αλλαγή στο privileged access, ακόμα κι αν δεν έκανες εσύ καμία ανάθεση.
Τι κάνεις πριν από τα μέσα Νοεμβρίου
- Βρες ποιοι έχουν τους τρεις ρόλους. Στο Microsoft Entra admin center, στο Roles & admins, άνοιξε τους Cloud App Security Administrator, Compliance Administrator και Compliance Data Administrator, και κατέγραψε τις αναθέσεις, eligible και active.
- Για όσους χάνουν πρόσβαση και πρέπει να συνεχίσουν: δώσε τους custom role στο Unified RBAC του Defender XDR με τα δικαιώματα του Defender for Cloud Apps που χρειάζονται, αντί για ευρύτερο ρόλο του Entra όπως ο Security Administrator.
- Για όσους κερδίζουν πρόσβαση: έλεγξε αν πρέπει πραγματικά να έχουν τον Cloud App Security Administrator. Αν τον έχουν μόνο για τα classic policies του Defender for Cloud Apps, ίσως αρκεί custom role. Αν έχεις Entra ID P2, κάνε τον eligible μέσω PIM αντί για μόνιμο.
- Έλεγξε τους custom Unified RBAC roles που έχεις ήδη για το Defender for Cloud Apps, γιατί θα αποκτήσουν πρόσβαση στο App Governance.
- Ενημέρωσε την τεκμηρίωση ρόλων και τον πίνακα εξουσιοδοτήσεων.
Για την αναθεώρηση μπορείς να ξεκινήσεις από το query Αναθέσεις ρόλων στο Entra ID της Βιβλιοθήκης KQL.
📖 Θέλεις όλη την εικόνα; Shadow IT, App Governance για OAuth apps και session policies: Microsoft Defender for Cloud Apps: Μια πρακτική περιήγηση στο CASB.
Σύνδεση με ΚΥΑ 1689/2025, NIS2, ISO 27001 και GDPR
- ΚΥΑ 1689/2025 13.γ και 13.δ: least privilege και περιορισμός των δικαιωμάτων διαχείρισης. Η αλλαγή είναι αφορμή να ελέγξεις ποιος διαχειρίζεται πραγματικά τις πολιτικές για εφαρμογές OAuth. 13.η: περιοδική αναθεώρηση των δικαιωμάτων. 12.2.α: οι εφαρμογές OAuth τρίτων είναι κομμάτι της εφοδιαστικής αλυσίδας.
- Οδηγία NIS2 21.2.θ και 21.2.δ: πολιτικές ελέγχου πρόσβασης και ασφάλεια της αλυσίδας εφοδιασμού.
- ISO/IEC 27001 A.8.2, A.5.18 και A.5.3: privileged access rights, access rights και διαχωρισμός καθηκόντων ανάμεσα σε compliance και security.
- GDPR 32.1.β και 28.1: οι εφαρμογές OAuth με πρόσβαση σε mailboxes και αρχεία επεξεργάζονται προσωπικά δεδομένα.
Τεκμήρια για τον ελεγκτή: η λίστα αναθέσεων των τριών ρόλων πριν και μετά την αλλαγή, οι custom Unified RBAC roles με τα δικαιώματά τους, και η καταγεγραμμένη απόφαση για κάθε χρήστη που κράτησε ή έχασε πρόσβαση.
Πηγές και επαλήθευση
Επιπλέον πηγές: Turn on app governance: Required roles · App governance FAQ · Manage admin access in Defender for Cloud Apps · Message Center MC1479503 (25 Σεπτεμβρίου 2026, ενημερώθηκε στις 20 Οκτωβρίου 2026), όπως αρχειοθετείται στο mc.merill.net. Η αλλαγή στους ρόλους και οι ημερομηνίες προέρχονται μόνο από την ανακοίνωση. Το θέμα πρωτοεμφανίστηκε στο Microsoft 365 Security: τι άλλαξε (εβδομάδα 43/2026).
Τελευταίος έλεγχος στοιχείων: 27 Οκτωβρίου 2026.