Завершение поддержки EWS в Exchange Online

Дата актуальности: 06 августа 2026 года․ Ситуация критическая: ключевые дедлайны уже наступили или приближаются в ближайшие месяцы․

Краткое резюме (Executive Summary)

Протокол EWS (Exchange Web Services) официально устарел и выводится из эксплуатации в Exchange Online (Microsoft 365)․
Главная причина: безопасность․ Инцидент Midnight Blizzard (январь 2024), в котором был задействован EWS, резко ускорил процесс и расширило его масштаб на все приложения (включая собственные продукты Microsoft)․
Замена: Microsoft Graph API — современный, безопасный, унифицированный интерфейс для всех сервисов Microsoft 365․
Ключевые даты (статус на ):
- 1 июля 2026: Доступ к EWS заблокирован для пользователей, лицензии которых не включают права на EWS (прошла);
- Конец августа 2026: Крайний срок для настройки списков разрешенных приложений (Allow Lists) и конфигурационных параметров для временного продления жизни (дедлайн наступит через 3 недели)․
- 1 апреля 2027: Полное и окончательное отключение EWS в Exchange Online․
Зона поражения: Только облачные среды (Microsoft 365, Exchange Online)․ Локальные серверы Exchange On-Premises не затрагиваются․

Почему это происходит: Контекст и драйверы изменений

Устаревание технологии

EWS был представлен еще в Exchange Server 2007․ Это легаси-протокол, основанный на SOAP/XML, который не поддерживает современные стандарты безопасности — в первую очередь OAuth 2․0 / Modern Authentication в полной мере, условный доступ (Conditional Access) и детальные права доступа (RBAC/Least Privilege)․ Приложения на EWS часто требуют прав полного доступа к почтовым ящикам (Full Access / Impersonation), что нарушает принцип минимальных привилегий․

Инцидент Midnight Blizzard (Январь 2024) — Точка невозврата

Согласно официальной документации Microsoft Learn, атака группы Midnight Blizzard (Nobelium) напрямую использовала уязвимости и архитектуру EWS для компрометации почтовых ящиков․ Это событие:

Повысило приоритет вывода EWS на критический․
Расширило область действия: изначально план был убрать EWS у сторонних приложений (ISV), теперь Microsoft убирает зависимости от EWS во всех своих собственных продуктах (Teams, SharePoint, внутренние миграционные инструменты и т․д․)․

Стратегия Microsoft: «One API»

Microsoft Graph — это единая точка входа для данных Microsoft 365 (Почта, Календарь, Контакты, Teams, OneDrive, SharePoint, Intune, Security)․ Переход на Graph дает:

Единую модель безопасности (OAuth, MSAL, Conditional Access)․
Гранулярные разрешения (например, Mail․Read вместо полного доступа к ящику)․
Поддержку вебхуков (Change Notifications) вместо неэффективного поллинга․
Доступ к данным, недоступным через EWS (Teams chats, Planner, Security alerts)․

Хронология и текущий статус (Roadmap)

На 06 августа 2026 года мы находимся в фазе активного блокирования․

Дата	Событие	Статус на	Действия
1 июля 2026	Блокировка EWS для лицензий без прав EWS (большинство бизнес/enterprise лицензий теперь требуют явного включения)․	УЖЕ ВЫПОЛНЕНО	Проверить, не сломались ли скрипты/интеграции у пользователей без явных прав․
Конец августа 2026	Дедлайн настройки Allow Lists (списки разрешенных приложений) и специальных конфигурационных параметров для временного доступа․	НАСТУПАЕТ ЧЕРЕЗ ~3 НЕДЕЛИ	КРИТИЧЕСКИ ВАЖНО: Настроить исключения для критических приложений, которые еще не мигрировали на Graph․
Постоянно (до апреля 2027)	Временные тестовые отключения (Brownouts) для выявления скрытых зависимостей․ Уведомления в Message Center․	АКТИВНАЯ ФАЗА	Мониторить Message Center (MC), анализировать логи входов (Sign-in logs / EWS logs)․
1 апреля 2027	Полное, необратимое отключение EWS в Exchange Online․	БУДУЩЕЕ	Все миграции должны быть завершены к этой дате․

> Важное уточнение от Computerworld / Schneider IT Management: Админы могут купить себе немного времени («wiggle room»), создав Allow Lists и изменив настройки конфигурации, но это необходимо сделать до конца августа 2026 года․ После этой даты путь назад будет закрыт до полного отключения в 2027 году․

Зоны риска: Что именно сломается?

Опыт сообщества (Reddit r/sysadmin, r/Office365) и анализ вендоров (Mimecast, Keepit) показывают, что под удар попадают следующие сценарии:

Интеграции с Общественными папками (Public Folders) — КРИТИЧЕСКИЙ РИСК

Множество решений для архивации, миграции, бэкапа и синхронизации общественных папок жестко завязаны на EWS․ Microsoft Graph API для Public Folders исторически отставал по функционалу (parity gaps)․ Хотя Microsoft публикует дорожную карту (Roadmap for Parity Gaps), на август 2026 года не все сценарии (копирование/перемещение между ящиками/группами, бэкап сообщений групп Microsoft 365) покрыты на 100%․

Резервное копирование (Backup) и Архивация

Вендоры вроде Veeam, Commvault, Keepit, Mimecast, AvePoint активно мигрируют на Graph API․ Если ваш агент бэкапа не обновлен до версии с поддержкой Graph к августу 2026 — бэкап почты остановится․

Миграционные инструменты (Migration Tools)

Инструменты миграции (BitTitan, Quest, Cloudiway, CodeTwo, нативные батчи миграции) используют EWS для высокоскоростного копирования․ Проверьте версии агентов․

Внутренние скрипты и легаси-приложения (PowerShell/EWS Managed API)

Скрипты администраторов на PowerShell (использующие Microsoft․Exchange․WebServices․dll), старые CRM/ERP интеграции, системы обработки входящих писем (ticketing systems), IoT-устройства (МФУ/сканеры, отправляющие сканы на email через EWS)․

Приложения Microsoft First-Party

Даже собственные сервисы Microsoft (например, некоторые функции в Teams, Outlook для Windows/Mac старых версий, синхронизация контактов) перестраиваются․ Убедитесь, что клиенты Outlook обновлены (Current Channel / Monthly Enterprise Channel)․

План действий: Чек-лист для выживания (Action Plan)

Этап 1: Инвентаризация (Discovery) — СДЕЛАТЬ НЕМЕДЛЕННО

Анализ логов входа (Sign-in Logs / Entra ID): Фильтруйте по Client App = "Exchange Web Services" или User Agent contains "EWS"․
Отчеты в Exchange Admin Center (EAC): Раздел «Reports» -> «EWS Usage» (если доступен) или PowerShell: Get-OrganizationConfig | Select-Object EwsEnabled (для понимания политик)․
Опрос владельцев приложений: CRM, Helpdesk, Backup, Archiving, Custom Scripts, MFU/Printers․
Классификация: Критично / Важно / Можно отключить / Уже на Graph․

Этап 2: Временные меры (Buying Time) — ДЕДЛАЙН: КОНЕЦ АВГУСТА 2026

Если миграция на Graph не успевается, необходимо настроить исключения (Allow List) через Exchange Online PowerShell (модуль ExchangeOnlineManagement v3+)․

# Пример логики (синтаксис может отличаться, см․ актуальную документацию Microsoft Learn)

New-ApplicationAccessPolicy -AppId "ВАШ_CLIENT_ID_В_ENTRA_ID" -PolicyScopeGroupId "ГРУППА_ПОЧТОВЫХ_ЯЩИКОВ" -AccessRight RestrictAccess -Description "Temporary EWS Allow for Legacy App X"

Это требует регистрации приложения в Microsoft Entra ID (Azure AD) и назначения прав full_access_as_app (или более гранулярных, если приложение поддерживает Graph, но пока работает на EWS)․
Внимание: Это не «бесплатный проезд навсегда»․ Это отсрочка до апреля 2027 года․

Этап 3: Миграция на Microsoft Graph (Strategic Fix)

Сценарий EWS	Аналог в Microsoft Graph	Примечания
Чтение/Отправка почты (MailItem)	`/me/messages`, `/me/sendMail`	Требуется область `Mail․ReadWrite` или `Mail․Send`․
Календарь (Appointment/Meeting)	`/me/events`, `/me/calendars`	Поддержка онлайн-собраний (Teams/Skype) нативно․
Контакты	`/me/contacts`, `/me/contactFolders`
Общественные папки (Public Folders)	`/publicFolders` (Beta/Preview)	Проверить Parity Gaps! Не все операции доступны․ Может потребоваться EWS Allow List до 2027․
Имперсонация / Делегированный доступ	Application Permissions (`Mail․ReadBasic․All` и т․д․) + Certificate/Client Secret Auth	Никаких паролей сервисных аккаунтов․ Только сертификаты / Federated Identity Credentials․
Push Notifications (Streaming/ Pull)	`/subscriptions` (Change Notifications / Webhooks)	Намного эффективнее: сервер сам шлет уведомление на ваш HTTPS эндпоинт․
Поиск (Search/FindItem)	`/me/messages?$search=․․․` или `/me/messages?$filter=․․․`	KQL (Keyword Query Language) в Graph мощнее․

Этап 4: Обновление инфраструктуры

Бэкап: Обновите агенты Veeam / Commvault / Keepit / Mimecast / AvePoint до последних версий с поддержкой Graph API․
МФУ / Сканеры: Проверьте прошивки․ Большинство вендоров (HP, Canon, Xerox, Kyocera) выпустили обновления для поддержки Modern Auth (OAuth2) и Graph/SMTP Auth․ Если нет — изолируйте в отдельной VLAN с релеем через SMTP Auth (если политика позволяет) или замените․
Скрипты PowerShell: Перепишите на Microsoft․Graph SDK (модуль Microsoft․Graph в PowerShell Gallery)․ Старый модуль EWS Managed API больше не поддерживается․

Гибридные развертывания: Нюансы

Согласно Microsoft Learn, вывод из эксплуатации EWS не затрагивает локальные серверы Exchange On-Premises (2016/2019/SE)․ Однако:

Если у вас гибрид, и вы используете EWS для доступа к облачным ящикам из локальной сети (или наоборот), облачный эндпоинт перестанет отвечать․
ОAuth конфигурация между On-Prem и Online должна быть исправна для работы Graph API в гибриде․
Планируя списание локальных серверов (Decommissioning), помните, что после апреля 2027 года никакого EWS в облаке не будет, поэтому все оставшиеся нагрузки должны быть на Graph к тому моменту․

Резюме: Чего делать нельзя (Anti-patterns)

Игнорировать уведомления в Message Center․ Microsoft шлет ежемесячные отчеты о найденных зависимостях․
Надеяться на «авось продлят»․ После инцидента Midnight Blizzard Microsoft жестко придерживается дедлайнов․
Использовать Basic Auth / Пароли сервисных аккаунтов․ Даже если временно включите EWS через Allow List, Basic Auth в Exchange Online отключен навсегда с 2022 года․ Работает только Modern Auth (OAuth)․
Откладывать тестирование Public Folders на Graph․ Это самая проблемная зона․ Начните пилот прямо сейчас․

Полезные ссылки и ресурсы

Официальная документация (Microsoft Learn): Deprecation of Exchange Web Services (EWS) in Exchange Online
Дорожная карта равенства возможностей (Parity Gaps): Roadmap for parity gaps
Microsoft Graph Documentation: Overview | Mail API | Public Folders (Beta)
PowerShell Module: Microsoft․Graph (PowerShell Gallery)
Message Center (в админ-центре M365): Поиск по тегам «EWS», «Exchange Web Services», «Deprecation»․

Начните с инвентаризации логов Sign-in прямо сегодня․ Каждый день задержки увеличивает риск того, что критически важный бизнес-процесс (бэкап, тикеттинг, сканирование документов) остановится внезапно и без возможности быстрого восстановления․