SharePoint ACS zostaje wycofany 2 kwietnia 2026. Oto jak migrować do Entra ID.

Czym jest ACS i dlaczego jest wycofywany?

Azure Access Control Service (ACS) to legacy usługa uwierzytelniania, która pozwalała SharePoint Add-ins uzyskiwać tokeny app-only. Jeśli kiedykolwiek używałeś stron SharePoint /_layouts/15/appregnew.aspx do rejestracji aplikacji i /_layouts/15/appinv.aspx do nadania uprawnień, to korzystałeś z ACS.

Ważne: ACS to nie tylko tokeny app-only. Provider-hosted add-iny działające w kontekście użytkownika (tokeny user+app) też przechodzą przez ACS. Jeśli Twoja aplikacja frontendowa przekierowuje użytkowników przez ACS, żeby uzyskać token do SharePoint, ten flow też przestanie działać. Zarówno scenariusze app-only, jak i user+app wymagają migracji.

ACS był standardowym podejściem przez lata. Był prosty: dostawałeś Client ID i Client Secret, a kod używał ich do uzyskiwania tokenów. Problem? ACS to stara, ograniczona usługa:

• Uprawnienia tylko na cały tenant — nie można ograniczyć dostępu do konkretnych kolekcji witryn
• Client secret wygasa — a gdy to nastąpi, integracja przestaje działać bez ostrzeżenia
• Brak audytu — ograniczona widoczność tego, co aplikacja faktycznie robi
• Brak Conditional Access — nie można zastosować nowoczesnych polityk bezpieczeństwa

Microsoft oficjalnie wycofał ACS jako ogólną usługę Azure jeszcze w listopadzie 2018, ale utrzymywał endpoint ACS specyficzny dla SharePoint (accounts.accesscontrol.windows.net). Ten okres przejściowy kończy się 2 kwietnia 2026.

Co przestanie działać 2 kwietnia 2026

Po dacie wycofania endpoint ACS przestanie wydawać tokeny. To oznacza:

# Połącz się z SharePoint Online Management Shell
Connect-SPOService -Url https://twoj-tenant-admin.sharepoint.com

# Wylistuj wszystkie ACS app principals
Get-SPOServicePrincipalPermissionGrant | Format-Table -AutoSize

Microsoft Entra ID: następca

Microsoft Entra ID (nowa nazwa Azure Active Directory, czyli Azure AD) to nowoczesna platforma tożsamości dla wszystkich usług Microsoft 365. Zamiast client secretów ACS używasz:

ACS vs Entra ID — porównanie

Opcja 1: Automatyczna migracja z PnP PowerShell

Najszybszy sposób rejestracji nowej aplikacji w Entra ID to PnP PowerShell. Jedno polecenie załatwia wszystko: rejestrację aplikacji, tworzenie certyfikatu, upload certyfikatu i konfigurację uprawnień.

Install-Module -Name PnP.PowerShell -Scope CurrentUser

$app = Register-PnPAzureADApp \
  -ApplicationName "Nazwa Twojej Aplikacji" \
  -Store CurrentUser \
  -Tenant twojtenant.onmicrosoft.com \
  -Username "admin@twojtenant.onmicrosoft.com" \
  -Password (Read-Host -AsSecureString -Prompt "Podaj hasło") \
  -CertificatePassword (Read-Host -AsSecureString -Prompt "Podaj hasło certyfikatu") \
  -OutPath .\

# Zapisz te wartości — będziesz ich potrzebować w kodzie
$app.'AzureAppId/ClientId'
$app.'Certificate Thumbprint'

# Przykład: tylko Sites.ReadWrite.All zamiast FullControl
Register-PnPAzureADApp \
  -ApplicationName "Nazwa Twojej Aplikacji" \
  -Store CurrentUser \
  -Tenant twojtenant.onmicrosoft.com \
  -Username "admin@twojtenant.onmicrosoft.com" \
  -Password (Read-Host -AsSecureString) \
  -CertificatePassword (Read-Host -AsSecureString) \
  -SharePointApplicationPermissions "Sites.ReadWrite.All" \
  -GraphApplicationPermissions "Sites.ReadWrite.All" \
  -OutPath .\

Opcja 2: Ręczna migracja w Azure Portal

Jeśli potrzebujesz większej kontroli lub Twoja organizacja wymaga ręcznego zatwierdzania każdego kroku, oto proces krok po kroku w Azure Portal.

$cert = New-PnPAzureCertificate \
  -CommonName "certyfikat-twojej-aplikacji" \
  -OutPfx .\twoja-aplikacja.pfx \
  -OutCert .\twoja-aplikacja.cer \
  -ValidYears 2 \
  -CertificatePassword (Read-Host -AsSecureString)

$cert.Thumbprint

Zmiany w kodzie: przed i po

Jeśli używasz PnP Framework (najpopularniejszej biblioteki do SharePoint CSOM), zmiany w kodzie są minimalne. Oto porównanie.

// Uwierzytelnianie ACS — przestanie działać po 2 kwietnia 2026
var am = new AuthenticationManager();

using (var context = am.GetACSAppOnlyContext(
    siteUrl,
    clientId,
    clientSecret))   // <-- współdzielony sekret
{
    var list = context.Web.Lists.GetByTitle("Documents");
    context.Load(list, l => l.Title);
    await context.ExecuteQueryAsync();
    Console.WriteLine(list.Title);
}

// Uwierzytelnianie Entra ID z certyfikatem X.509
var certificate = X509CertificateUtility.LoadCertificate(
    StoreName.My,
    StoreLocation.CurrentUser,
    certificateThumbprint);  // <-- certyfikat, nie sekret

var am = AuthenticationManager.CreateWithCertificate(
    clientId,
    certificate,
    tenantId);

using (var context = am.GetContext(siteUrl))
{
    // Twój kod CSOM zostaje dokładnie taki sam
    var list = context.Web.Lists.GetByTitle("Documents");
    context.Load(list, l => l.Title);
    await context.ExecuteQueryAsync();
    Console.WriteLine(list.Title);
}

Zmiany w konfiguracji

Zaktualizuj ustawienia aplikacji (appsettings.json, zmienne środowiskowe lub Azure Key Vault):

// Przed (ACS)
{
  "SharePoint": {
    "SiteUrl": "https://twojtenant.sharepoint.com/sites/twojawitryna",
    "ClientId": "xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx",
    "ClientSecret": "twoj-acs-client-secret"
  }
}

// Po (Entra ID)
{
  "SharePoint": {
    "SiteUrl": "https://twojtenant.sharepoint.com/sites/twojawitryna",
    "ClientId": "xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx",
    "TenantId": "yyyyyyyy-yyyy-yyyy-yyyy-yyyyyyyyyyyy",
    "CertificateThumbprint": "ABC123DEF456..."
  }
}

Checklista migracji

FAQ