เปิดใช้งานหรือปิดใช้งาน MFA สำหรับผู้ใช้ใน Azure/Microsoft 365

คุณสามารถเปิดใช้งาน ปิดใช้งาน หรือรับสถานะการรับรองความถูกต้องด้วยหลายปัจจัย (MFA) สำหรับผู้ใช้ในผู้เช่า Azure/Microsoft 365 ของคุณโดยใช้ Azure Portal, Microsoft 365 Admin Center หรือ PowerShell ในบทความนี้ เราจะแสดงวิธีจัดการ MFA สำหรับบัญชีผู้ใช้ใน AzureAD และรับรายงานเกี่ยวกับปัจจัยที่สองที่ผู้ใช้ของคุณใช้

คุณสามารถเข้าถึงหน้าเว็บที่มีสถานะ MFA สำหรับผู้ใช้ทั้งหมดได้สองวิธี:

• ศูนย์การจัดการ Microsoft 365 -> ผู้ใช้ที่ใช้งานอยู่ -> การรับรองความถูกต้องด้วยหลายปัจจัย

• Portal Azure -> Azure AD-> ผู้ใช้ -> MFA ต่อผู้ใช้

คุณจะเห็นรายชื่อผู้ใช้ทั้งหมดในผู้เช่าของคุณและสถานะ MFA สำหรับผู้ใช้แต่ละราย สถานะ MFA ที่มีคือ:

• ปิดใช้งาน - การตรวจสอบสิทธิ์แบบหลายปัจจัยถูกปิดใช้งาน (โดยค่าเริ่มต้น สำหรับผู้ใช้ใหม่ทั้งหมด)

• เปิดใช้งาน - เปิดใช้งาน MFA แต่ผู้ใช้ยังคงใช้การรับรองความถูกต้องมาตรฐานจนกว่าจะเลือกวิธีการ MFA เอง

• บังคับใช้ - ผู้ใช้จะถูกบังคับให้ลงทะเบียนปัจจัย MFA ที่สองในการเข้าสู่ระบบครั้งถัดไป

  

คุณสามารถเปิดใช้งาน ปิดใช้งาน รีเซ็ต หรือกำหนดค่า MFA สำหรับผู้ใช้แต่ละรายโดยใช้ปุ่มในแผง ขั้นตอนด่วน ทางด้านขวา

รายงานไม่แสดงว่าผู้ใช้ตั้งค่า MFA เสร็จแล้วหรือไม่ และปัจจัยที่สองใดที่เขาเลือก นอกจากนี้ คุณไม่สามารถส่งออกเนื้อหาของหน้าเป็นไฟล์ TXT/CSV การใช้ PowerShell เพื่อจัดการ MFA ของผู้ใช้ใน Microsoft 365 และสร้างรายงานทำได้ง่ายกว่า

ตอนนี้คุณสามารถเปิด/ปิดใช้งาน MFA สำหรับผู้ใช้ Azure (Microsoft 365) ใน PowerShell โดยใช้โมดูล MSOnline หรือ Microsoft Graph API

ติดตั้งโมดูล MSOnline (หากจำเป็น) และเชื่อมต่อกับผู้เช่าของคุณ:

Install-Module MSOnline
Connect-MsolService

คุณสามารถรับข้อมูลเกี่ยวกับสถานะ MFA ของผู้ใช้ได้จาก

StrongAuthenticationMethods

คุณลักษณะ:

Get-MsolUser -UserPrincipalName t.muller@a-d.onmicrosoft.com | Select-Object UserPrincipalName,StrongAuthenticationMethods

หากแอตทริบิวต์ StrongAuthenticationMethods ไม่ว่างเปล่า แสดงว่ามีการเปิดใช้งาน MFA สำหรับผู้ใช้ คุณสามารถดูประเภทของ MFA ที่กำหนดค่าสำหรับผู้ใช้:

(Get-MsolUser -UserPrincipalName t.muller@a-d.onmicrosoft.com). StrongAuthenticationMethods

ภาพหน้าจอด้านล่างแสดงให้เห็นว่าผู้ใช้เปิดใช้งานแอป Microsoft Authenticator เป็นปัจจัย MFA ที่สอง (การแจ้งเตือนของ PhoneApp —

IsDefault=True

).

การรับรองความถูกต้อง Microsoft Modern ช่วยให้การรับรองความถูกต้องสี่ประเภทเป็นปัจจัยที่สองสำหรับผู้ใช้:

• OneWaySMS - ข้อความ SMS มาตรฐาน

• TwoWayVoiceMobile - ผู้ใช้จะได้รับรหัสผ่านแบบใช้ครั้งเดียวในการโทรศัพท์

• PhoneAppOTP - ผู้ใช้จะได้รับรหัสผ่านแบบใช้ครั้งเดียว (อักขระดิจิทัล 6 ตัว) โดยใช้โทเค็นฮาร์ดแวร์หรือแอป Microsoft Authenticator

• PhoneAppNotification - การตรวจสอบสิทธิ์โดยใช้แอป Microsoft Authenticator

ในการเปิดใช้งาน MFA สำหรับผู้ใช้ Azure:

$st = New-Object -TypeName Microsoft.Online.Administration.StrongAuthenticationRequirement
$st.RelyingParty = "*"
$st.State = "Enabled"
$sta = @($st)
Set-MsolUser -UserPrincipalName t.muller@a-d.onmicrosoft.com -StrongAuthenticationRequirements $sta

ในการบังคับให้ผู้ใช้เปลี่ยนวิธี MFA ปัจจุบัน:

Set-MsolUser -UserPrincipalName t.muller@a-d.onmicrosoft.com -StrongAuthenticationMethods @()

หากต้องการปิดใช้งาน MFA สำหรับผู้ใช้:

Get-MsolUser -UserPrincipalName t.muller@a-d.onmicrosoft.com | Set-MsolUser -StrongAuthenticationRequirements @()

คุณสามารถใช้สคริปต์ PowerShell ต่อไปนี้เพื่อรับสถานะ MFA สำหรับผู้ใช้ทั้งหมดในผู้เช่า Azure:

$Report = @()
$AzUsers = Get-MsolUser -All
ForEach ($AzUser in $AzUsers) {
$DefaultMFAMethod = ($AzUser.StrongAuthenticationMethods | ? { $_.IsDefault -eq "True" }).MethodType
$MFAState = $AzUser.StrongAuthenticationRequirements.State
if ($MFAState -eq $null) {$MFAState = "Disabled"}
$objReport = [PSCustomObject]@{
User = $AzUser.UserPrincipalName
MFAState = $MFAState
MFAPhone = $AzUser.StrongAuthenticationUserDetails.PhoneNumber
MFAMethod = $DefaultMFAMethod
}
$Report += $objReport
}
$Report

คุณสามารถส่งออกรายงาน MFA เป็นไฟล์ CSV:

$Report| Export-CSV -NoTypeInformation -Encoding UTF8 c:\Reports\AzureUsersMFAstatus.csv

หรือลงในตาราง Out-GridView:

$Report | Out-GridView

สคริปต์มีอยู่ในที่เก็บ GitHub ของฉัน: https://github.com/maxbakhub/winposh/blob/main/Azure/GetAzureMFAUsersReport.ps1