Token Protection Deployment Guide - Windows - Microsoft Entra ID
Microsoft veröffentlicht einen Deployment-Leitfaden für Token Protection auf Windows in Conditional Access. Die Funktion erfordert Entra ID P1, unterstützt nur native Clients (kein Browser) und blockiert nicht unterstützte Geräteregistrierungen wie Entra-joined Cloud PCs, AVD-Session-Hosts, Autopilot Self-Deploying und Azure-VMs mit VM-Extension. Betroffene Sign-ins sind über tokenProtectionStatusDetails und signInSessionStatusCode 1003 identifizierbar.
→ Vor dem Enforce der Token-Protection-Policy müssen Gerätefilter für nicht unterstützte Registrierungstypen (CloudPC, AzureVirtualDesktop, MicrosoftPowerAutomate, SecureVM, Autopilot Self-Deploying) gesetzt und die Sign-in-Logs auf Statuscode 1003 geprüft werden, sonst werden Nutzer ausgesperrt.