เลิกใช้ EWS ใน Exchange Online ปิดถาวร 1 เม.ย. 2027: คู่มือหาแอปและตั้ง EWSAllowedAppIDs

Get-OrganizationConfig | Format-List EWSEnabled
Get-OrganizationConfig -RetrieveEwsOperationAccessPolicy | Format-List EwsAllowedAppIDs

ขั้นตอนที่ 3: ตัดสินใจว่าแอปใดได้อยู่ในรายชื่อ

เมื่อรู้ว่าแอปใดจะได้รับผลจากการเลิกใช้ EWS ให้แบ่งแอปเป็นสามกลุ่ม คือแอปที่เลิกใช้ได้เลย แอปที่ต้องใช้ต่อชั่วคราวระหว่างรอย้ายไป Graph และแอปที่ยังไม่รู้ที่มา แล้วแก้รายชื่อโดยเก็บรายการเดิมไว้เสมอ เพราะคำสั่ง Set-OrganizationConfig -EwsAllowedAppIDs เขียนทับทั้งรายการ ทีม Exchange ใช้วิธีอ่านค่าเดิม ต่อ ID ใหม่ แล้วเขียนกลับ

$current = (Get-OrganizationConfig -RetrieveEwsOperationAccessPolicy).EwsAllowedAppIDs
$updated = @($current -split "," | ForEach-Object { $_.Trim() } | Where-Object { $_ }; $appId) | Select-Object -Unique
Set-OrganizationConfig -EwsAllowedAppIDs ($updated -join ",")

ข้อควรรู้เรื่องเวลา การแก้ EWSAllowedAppIDs ใช้เวลามีผลราว 24 ชั่วโมง ส่วนการแก้ EWSEnabled มักไม่ถึง 1 ชั่วโมงแต่อาจนานถึง 4 ชั่วโมง และไม่ต้องแตะค่า EWSAllowList เพราะไม่เกี่ยวกับการเลิกใช้ EWS

ขั้นตอนที่ 4: ทดสอบก่อนเชื่อผลจริง

บทความ Notes from the field ของทีม Exchange แนะนำให้ทดสอบทั้งแบบอนุญาตและแบบบล็อก ถ้าทำได้ให้ทำใน tenant ทดสอบ เพราะการถอดแอปออกจากรายชื่ออาจทำให้งานจริงหยุด

1. เตรียมกล่องจดหมายทดสอบที่มีอีเมลใน Inbox อย่างน้อย 1 ฉบับ และ app registration ที่มีสิทธิ์ EWS แบบ application พร้อม admin consent
2. ระหว่างเตรียม บทความตั้ง EWSEnabled เป็น Null ก่อน แล้วใส่ App ID ในรายชื่อ รอให้มีผลสูงสุด 24 ชั่วโมง จึงตั้ง EWSEnabled เป็น True และรันสคริปต์ Test-EWSAppAccess.ps1 ผลที่ถูกต้องคือเข้าถึงกล่องจดหมายได้
3. ถอดเฉพาะ App ID ทดสอบออก รออย่างน้อย 24 ชั่วโมง แล้วรันซ้ำ ผลที่ถูกต้องคือเข้าไม่ได้
4. ใส่ App ID กลับ และอย่าปล่อย tenant จริงไว้กับรายชื่อที่ว่างหรือไม่ครบ

ถ้าตั้งค่าแล้วระบบสำคัญหยุดทำงาน ทางที่เร็วที่สุดตามบทความเดียวกันคือ Set-OrganizationConfig -EWSEnabled $null ซึ่งทำให้ EWS เปิดแบบไม่จำกัดภายในราว 1 ชั่วโมง แต่เป็นทางแก้ฉุกเฉินเท่านั้น เพราะตามตารางวันที่ 15 ตุลาคม tenant ที่ EWSEnabled เป็น Null และไม่มีรายชื่อ จะถูก Microsoft ตั้งเป็น False หลังคำเตือน 7 วัน

ขั้นตอนที่ 5: ย้ายแอปไป Microsoft Graph ก่อน 1 เมษายน 2027

Microsoft แนะนำไม่ให้รอช่องว่างปิดครบก่อนเริ่มเตรียมการเลิกใช้ EWS และมีเครื่องมือช่วย ได้แก่ EWS Analyzer, ตารางเทียบ EWS กับ Graph API และบทเรียนการใช้ AI ช่วยวิเคราะห์และปรับโค้ด เอกสาร Microsoft Learn ระบุช่องว่างที่อยู่ในแผน เช่น

วันที่เหล่านี้เป็นเป้าหมายที่อาจเปลี่ยนได้ และสิ่งที่ Microsoft ยืนยันว่าจะไม่เพิ่มใน Graph คือการสร้าง อ่าน แก้ และลบแบบทั่วไปใน Public Folder และกล่องจดหมาย Microsoft 365 Group รวมถึงการเข้าถึง Discovery Mailbox แบบเดิม เอกสารยังเตือนว่าความสามารถที่ไม่อยู่ในตารางแผนไม่ควรคาดว่าจะมีใน Graph ก่อน EWS ปิดถาวร

ข้อผิดพลาดที่พบบ่อยระหว่างเลิกใช้ EWS

ทีม Exchange รวบรวมข้อผิดพลาดที่เจอบ่อยจากการคุยกับลูกค้าไว้ในบทความ Notes from the field ดังนี้

• ทดสอบแบบบล็อกทันทีหลังถอด App ID ผลที่ยังเข้าได้อาจมาจากเซิร์ฟเวอร์ Exchange Online ที่ยังจำค่าเดิมไว้ ต้องรออย่างน้อย 24 ชั่วโมงก่อนสรุป
• เขียนรายชื่อใหม่ทั้งชุด แทนการเก็บ App ID เดิมไว้ ทำให้แอปอื่นที่ยังจำเป็นหลุดจากรายชื่อโดยไม่ตั้งใจ
• ใช้กล่องจดหมายทดสอบที่ Inbox ว่าง สคริปต์ทดสอบอ่านรายการแรกใน Inbox จึงล้มเหลวทั้งที่การตั้งค่าถูกต้อง
• เข้าใจผิดว่ารายชื่อเป็นต้นเหตุ ทั้งที่ปัญหาจริงอยู่ที่ OAuth token สิทธิ์ admin consent หรือรหัสลับของแอป
• สับสน EWSAllowList กับ EWSAllowedAppIDs สองค่านี้ทำงานคนละชั้น ถ้าองค์กรเคยตั้ง EwsApplicationAccessPolicy ไว้ คำขอต้องผ่านทั้งการตรวจ App ID และการตรวจ user agent จึงจะเข้าถึง EWS ได้ และ FAQ ของทีม Exchange ระบุว่ารายชื่อ App ID แบบใหม่มีลำดับก่อน

แอปของ Microsoft และองค์กรแบบ hybrid ที่ต้องดู

ในช่วงเลิกใช้ EWS แอปของ Microsoft ที่ยังขึ้นในรายงาน EWS usage ต้องอยู่ในรายชื่อด้วยจึงจะทำงานต่อ ประกาศวันที่ 1 ตุลาคม (ปรับ 15 ตุลาคม) ระบุว่า

• Outlook for Windows ควรเป็นบิลด์เดือนสิงหาคม 2026 รุ่น 16.0.20430.20092 ขึ้นไป
• Outlook for Mac ควรอัปเดตและเปลี่ยนเป็น new Outlook ถ้ายังใช้ classic Outlook ต้องมี AppID ของ "Microsoft Office" ในรายชื่อ
• Excel Power Query มีคำแนะนำแยกที่ aka.ms/xlewsretirement ส่วน Power BI Microsoft จะแจ้งข้อมูลภายหลัง

องค์กรแบบ hybrid ที่มีกล่องจดหมาย on-premises พร้อม archive บน Exchange Online ต้องคง EWSEnabled เป็น True และใส่แอป hybrid เฉพาะ (dedicated Exchange hybrid application) ในรายชื่อไว้ก่อน เพราะการใช้ Graph กับกรณีนี้ยังรองรับไม่ครบ และ Graph สำหรับ rich coexistence ต้องใช้ Exchange SE อัปเดตพฤษภาคม 2026 ขึ้นไป องค์กรที่ใช้ Exchange แบบ on-premises ล้วนแล้วแชร์ free/busy กับ tenant Exchange Online ของอีกองค์กร ฝั่ง tenant นั้นต้องคง EWSEnabled เป็น True

ส่วนผู้ใช้ใบอนุญาต Exchange Online Kiosk, F1 และ F3 ข้อความ MC1191578 ที่ปรับเมื่อ 16 ตุลาคม 2026 ระบุว่า Microsoft ตัดสินใจไม่บล็อก EWS ของใบอนุญาตกลุ่มนี้ตามแผนเดิมแล้ว แต่การเลิกใช้ EWS ทั้งระบบในวันที่ 1 เมษายน 2027 ยังมีผลกับทุกกล่องจดหมายใน Exchange Online

ผลต่อองค์กรไทย

• ตั้งงบและกำหนดการกับผู้ขายตอนนี้ เพราะการเลิกใช้ EWS ไม่มีการขยายเวลาหลัง 1 เมษายน 2027 แอปที่ผู้ขายในประเทศพัฒนาให้ เช่น ระบบที่อ่านปฏิทินห้องประชุมหรือดึงอีเมลเข้าระบบงาน ควรถามผู้ขายเป็นลายลักษณ์อักษรว่ารุ่นที่ใช้ Graph พร้อมเมื่อไร
• ใช้รายชื่อ EWSAllowedAppIDs เป็นโอกาสลดสิทธิ์ แอปที่เรียก EWS ด้วยสิทธิ์แบบ application ต้องได้ admin consent ระดับทั้ง tenant การเหลือเฉพาะแอปที่จำเป็นช่วยลดจำนวนระบบที่เข้าถึงกล่องจดหมาย ซึ่งเก็บข้อมูลส่วนบุคคลตาม PDPA ไว้มาก และควรบันทึกเหตุผลของแต่ละ App ID ไว้
• อย่าปล่อยให้ Microsoft เลือกแทน รายชื่อที่ Microsoft เติมให้มาจากการใช้งานย้อนหลัง จึงอาจรวมแอปที่ไม่ควรมีสิทธิ์ ตรวจทีละรายการแล้วจัดการเอง
• เตรียมคนที่เขียน Graph ได้ สคริปต์และระบบที่ทีมไอทีเขียนเองต้องเปลี่ยนไปใช้ Microsoft Graph และการล็อกอินแบบ OAuth ถ้าทีมยังไม่มีทักษะนี้ ควรเริ่มจากแอปที่เรียก SOAP action ไม่กี่ตัวก่อน
• ดูแลอีเมลขาออกไปพร้อมกัน ทีมเดียวกันมักดูแล mail flow ด้วย อ่านเพิ่มเรื่อง Change Optics Report ที่ชี้อีเมลเสี่ยงถูกจำกัด และการตั้ง SPF, DKIM และ DMARC

ติดตามข่าว Microsoft 365 และ Exchange Online ได้ที่หมวดแอปพลิเคชันองค์กร