เติมข้อมูลโทรศัพท์มือถือล่วงหน้าสำหรับการตรวจสอบสิทธิ์แบบหลายปัจจัย

ฉันกำลังทำงานร่วมกับลูกค้าที่เราต้องการเปิดใช้งานการรับรองความถูกต้องแบบหลายปัจจัยสำหรับผู้ใช้ของพวกเขา เพื่อเป็นมาตรการในการรักษาความปลอดภัยสภาพแวดล้อมของพวกเขา แต่เมื่อคุณเปิดใช้งาน MFA และผู้ใช้เข้าสู่ระบบเป็นครั้งแรก ผู้ใช้จะต้องป้อนหมายเลขโทรศัพท์มือถือของเขา แม้ว่าหมายเลขโทรศัพท์มือถือจะถูกเติมใน Active Directory ภายในองค์กรและซิงโครไนซ์กับ Azure Active Directory (ซึ่งเป็นค่าเริ่มต้น) .

เมื่อคุณตรวจสอบบัญชีผู้ใช้ในพอร์ทัล Azure AD คุณจะเห็นว่ามีการซิงโครไนซ์หมายเลขโทรศัพท์มือถือ แต่หมายเลขโทรศัพท์การรับรองความถูกต้องว่างเปล่า

นี่ไม่ใช่วิธีแก้ปัญหาที่ต้องการ หากผู้ใช้สามารถตั้งค่าโทรศัพท์มือถือใหม่ในระหว่างการเข้าสู่ระบบ ผู้ใช้ที่ประสงค์ร้ายก็สามารถทำเช่นนี้ได้เช่นกัน ผู้ใช้ทั่วไปจะเข้าสู่ระบบไม่นานหลังจากตั้งค่า MFA แต่โดยเฉพาะอย่างยิ่งเมื่อทำการเปลี่ยนแปลงจำนวนมาก กรณีนี้อาจไม่เป็นเช่นนั้น และเมื่อบัญชีผู้ใช้ที่เปิดใช้งาน MFA แต่ไม่ได้ตั้งค่าคุณสมบัติโทรศัพท์การตรวจสอบสิทธิ์ถูกบุกรุก คุณจะเสียหายอย่างแน่นอน

เมื่อแกะกล่อง ไม่มีวิธีง่ายๆ ในการเติมหมายเลขโทรศัพท์สำหรับยืนยันตัวตนไว้ล่วงหน้า หมายเลขโทรศัพท์สำหรับการรับรองความถูกต้องไม่ได้จัดเก็บไว้ใน Active Directory ภายในองค์กร แต่เป็นคุณสมบัติ Azure AD คุณสมบัติในการควบคุมการรับรองความถูกต้องที่รัดกุมเรียกว่า StrongAuthenticationMethods และคุณสามารถตั้งค่านี้ได้โดยใช้ PowerShell เมื่อคุณตั้งค่านี้ หมายเลขโทรศัพท์สำหรับการรับรองความถูกต้องจะยังคงถูกเติมไว้ล่วงหน้า แต่เมื่อหมายเลขโทรศัพท์มือถือถูกซิงโครไนซ์ หมายเลขนี้จะถูกใช้ตั้งแต่แรก

หากต้องการตั้งค่าคุณสมบัติ StrongAuthenticationMethods นี้ คุณสามารถใช้คำสั่ง PowerShell ต่อไปนี้:

Connect MsolService 
$UserPrincipalName = "j.brown@exchangelabs.nl"
$SMS = New-Object -TypeName Microsoft.Online.Administration.StrongAuthenticationMethod
$SMS.IsDefault = $true
$SMS.MethodType = "OneWaySMS"
$Phone = New-Object -TypeName Microsoft.Online.Administration.StrongAuthenticationMethod
$Phone.IsDefault = $false
$Phone.MethodType = "TwoWayVoiceMobile"
$PrePopulate = @($SMS, $Phone)
Set-MsolUser -UserPrincipalName $UserPrincipalName -StrongAuthenticationMethods $PrePopulate

ตอนนี้เมื่อผู้ใช้เข้าสู่ระบบเป็นครั้งแรกโดยเปิดใช้งาน MFA เขาจะแสดงกล่องโต้ตอบป้อนรหัส โดยไม่ต้องป้อนหมายเลขโทรศัพท์มือถือก่อน

ถ้าคุณทำเช่นนี้ และหมายเลขโทรศัพท์มือถือไม่ได้ตั้งค่าไว้ใน Active Directory ภายในองค์กร MFA จะยังคงพยายามใช้หมายเลขโทรศัพท์มือถือ แต่จะไม่มีอะไรเกิดขึ้นดังที่แสดงในภาพหน้าจอต่อไปนี้:

เนื่องจากไม่มีหมายเลขโทรศัพท์มือถือให้ใช้ และไม่มีตัวเลือกในการเพิ่มหมายเลขนี้โดยตรงจากผู้ใช้อีกต่อไป คุณจึงติดอยู่ที่นี่ (จนกว่าหมายเลขโทรศัพท์มือถือจะถูกเพิ่มลงใน Active Directory ภายในองค์กร)

หมายเหตุ หากคุณต้องการเปิดใช้งาน MFA โดยใช้ PowerShell คุณสามารถใช้คำสั่งต่อไปนี้ (และอาจรวมเข้ากับคำสั่งที่กล่าวถึงก่อนหน้านี้):

$Strong = New-Object -TypeName Microsoft.Online.Administration.StrongAuthenticationRequirement
$Strong.RelyingParty = "*"
$Strong.State = "Enabled"
$MFA = @($Strong)
Set-MsolUser -UserPrincipalName j.smith@exchangelabs.nl -StrongAuthenticationRequirements $MFA

ข้อมูลมากกว่านี้

• การจัดเตรียมการรับรองความถูกต้องแบบหลายปัจจัยของ Microsoft Azure ล่วงหน้าสำหรับผู้ใช้ - https://blogs.technet.microsoft.com/cloudpfe/2014/04/09/pre-provisioning-microsoft-azure-multi-factor-authentication-for-users/
• วิธีกำหนดให้มีการตรวจสอบสองขั้นตอนสำหรับผู้ใช้ - https://docs.microsoft.com/en-us/azure/active-directory/authentication/howto-mfa-userstates