วิธีตั้งค่าแคมเปญการลงทะเบียนสำหรับ MFA ใน Microsoft Entra

แคมเปญการลงทะเบียนใน Microsoft Entra เป็นวิธีที่ดีเยี่ยมในการสนับสนุนให้ผู้ใช้ใช้วิธีการรับรองความถูกต้องแบบหลายปัจจัยที่แข็งแกร่งยิ่งขึ้น ซึ่งช่วยรักษาระดับความปลอดภัยโดยรวมขององค์กรของคุณให้ดีขึ้น และช่วยให้คุณก้าวสู่การรับรองความถูกต้องแบบไร้รหัสผ่านได้ดี

ในบทช่วยสอนนี้ ฉันจะแสดงวิธีตั้งค่าแคมเปญการลงทะเบียนสำหรับแอป Microsoft Authenticator ใน Microsoft Entra Admin Center โดยใช้ Microsoft Graph PowerShell

วัตถุประสงค์ของแคมเปญการลงทะเบียน

เป้าหมายของการใช้แคมเปญการลงทะเบียนคือการแจ้งให้ผู้ใช้ลงทะเบียนแอป Microsoft Authenticator เป็นวิธีการรับรองความถูกต้องหลักสำหรับการรับรองความถูกต้องแบบหลายปัจจัย แอป Authenticator ถือเป็นหนึ่งในวิธีการที่ปลอดภัยที่สุดของ MFA ในขณะที่อาจเป็นวิธีการที่ง่ายที่สุดและมีผลกระทบน้อยที่สุดสำหรับผู้ใช้ปลายทาง

เมื่อแคมเปญการลงทะเบียนเสร็จสมบูรณ์และผู้ใช้เป้าหมายของคุณทั้งหมดได้ลงทะเบียนในวิธีแอป Authenticator ที่ปลอดภัยยิ่งขึ้นแล้ว คุณสามารถปิดใช้งานวิธีที่มีความปลอดภัยน้อยกว่า เช่น เสียงและ SMS ได้ผ่านนโยบายสำหรับการลงชื่อเข้าใช้ของผู้ใช้

แคมเปญการลงทะเบียนทำงานอย่างไร

แคมเปญการลงทะเบียนทำงานโดยแจ้ง (หรือกระตุ้น) ผู้ใช้ให้ลงทะเบียนแอป Microsoft Authenticator ตามกำหนดเวลาหรือทุกครั้งที่ลงชื่อเข้าใช้ ขึ้นอยู่กับการตั้งค่าที่คุณกำหนดค่า

ผู้ใช้ที่กำหนดเป้าหมายโดยแคมเปญจะต้องลงทะเบียนสำหรับการตรวจสอบสิทธิ์แบบหลายปัจจัยแล้วโดยใช้วิธีการที่มีความปลอดภัยน้อยกว่า เช่น เสียงหรือ SMS เมื่อผู้ใช้รายดังกล่าวเข้าสู่ระบบบัญชีของตนด้วยข้อความแจ้งให้เข้าสู่ระบบแบบโต้ตอบ (เช่น ที่ office.com) พวกเขาจะถูกขอให้ดำเนินการท้าทาย MFA ที่มีอยู่ให้เสร็จสิ้นก่อน จากนั้นพวกเขาจะได้รับแจ้งให้ 'ปรับปรุงเครื่องหมายของคุณ- ins ปกป้องบัญชีของคุณได้ดีขึ้นด้วยแอป Microsoft Authenticator พิสูจน์ว่าคุณเป็นใครได้อย่างง่ายดายผ่านการแจ้งเตือนแบบพุช' จากนั้นผู้ใช้สามารถเลือกที่จะดำเนินการให้เสร็จสิ้นทันที หรือคลิก ไม่ใช่ตอนนี้ และลงทะเบียนวันอื่น

หากผู้ใช้ตัดสินใจลงทะเบียน Microsoft Authenticator ทันที พวกเขาจะถูกเปลี่ยนเส้นทางไปยังหน้า mysignins.microsoft.com เพื่อตั้งค่าแอป Authenticator ให้เสร็จสิ้น มิฉะนั้นสามารถเลือกข้ามการลงทะเบียนได้สูงสุด 3 ครั้งก่อนที่จะถูกบังคับให้ลงทะเบียน

คำถามที่พบบ่อย

การเข้าสู่ระบบนี้มีผลกระทบอะไรบ้าง

แคมเปญการลงทะเบียนจะแจ้งให้ผู้ใช้ลงทะเบียนสำหรับการรับรองความถูกต้องแบบหลายปัจจัยเมื่อเข้าสู่ระบบผ่านเว็บเบราว์เซอร์เท่านั้น หน้าต่างเบราว์เซอร์แบบโต้ตอบระหว่างการลงชื่อเข้าใช้แอปพลิเคชันไคลเอ็นต์ (เช่น Outlook) จะไม่ได้รับผลกระทบ

ผู้ใช้สามารถข้ามการแจ้งเตือนการลงทะเบียนได้กี่ครั้ง

สามารถข้ามพรอมต์การลงทะเบียนได้สูงสุด 3 ครั้ง จากนั้นผู้ใช้จะถูกบังคับให้ลงทะเบียนสำหรับแอป Microsoft Authenticator

จะเป็นอย่างไรหากฉันใช้แอปตรวจสอบสิทธิ์บุคคลที่สามอยู่แล้ว

หากคุณไม่ได้ลงทะเบียนกับแอป Microsoft Authenticator คุณจะได้รับแจ้งให้ลงทะเบียน ไม่ว่าคุณจะใช้แอปของบุคคลที่สามอยู่แล้วก็ตาม

ฉันยังสามารถกำหนดเป้าหมายการลงทะเบียนข้อมูลความปลอดภัยของผู้ใช้ด้วยการเข้าถึงแบบมีเงื่อนไขได้หรือไม่

ใช่ แต่โปรดจำไว้ว่า หากผู้ใช้ถูกบังคับให้ลงทะเบียนแอป Authenticator หลังจากข้ามข้อความแจ้ง 3 ครั้ง และพวกเขาไม่อยู่ในพื้นที่ปลอดภัยที่ได้รับอนุญาตให้ลงทะเบียนข้อมูลความปลอดภัย พวกเขาจะไม่เห็นข้อความแจ้ง แม้ว่าสิ่งนี้อาจมีประโยชน์ แต่ก็อาจมองว่าเป็นการบายพาสความปลอดภัยด้วย

จะเกิดอะไรขึ้นหากผู้ใช้ปิดเบราว์เซอร์ของตนแทนที่จะคลิก "ไม่ใช่ตอนนี้"

สิ่งนี้จะเหมือนกับการข้ามข้อความแจ้งและจะนับรวมในขีดจำกัดการข้าม

วิธีการตั้งค่าแคมเปญการลงทะเบียนใน Microsoft Entra

ทำตามขั้นตอนด้านล่างเพื่อตั้งค่าแคมเปญการลงทะเบียนในศูนย์การจัดการ Microsoft Entra:

1. เข้าสู่ระบบ Microsoft Entra

2. ใต้ การป้องกัน ให้เลือก วิธีการตรวจสอบสิทธิ์ > แคมเปญการลงทะเบียน

3. คลิก แก้ไข และกำหนดการตั้งค่าที่คุณต้องการ ฉันขอแนะนำให้คุณเปิดใช้งานแคมเปญการลงทะเบียนโดยมีการตั้งค่า วันที่อนุญาตให้เลื่อนการเตือน ที่ 0 จากนั้นกำหนดเป้าหมาย ผู้ใช้ทั้งหมด โดยไม่รวมผู้ใช้ที่จำเป็นใดๆ

4. เมื่อเสร็จแล้ว คลิก บันทึก

วิธีตั้งค่าแคมเปญการลงทะเบียนด้วย Microsoft Graph PowerShell

หากต้องการกำหนดค่าแคมเปญการลงทะเบียนด้วย Microsoft Graph PowerShell คุณควรใช้ cmdlet update-MgBetaPolicyAuthenticationMethodPolicy สำหรับสิ่งนี้ คุณจะต้องให้สิทธิ์การเข้าถึง Policy.ReadWrite.AuthenticationMethod ทั่วทั้งผู้เช่า โดยดำเนินการด้วยคำสั่งต่อไปนี้:

Connect-MgGraph -Scopes Policy.ReadWrite.AuthenticationMethod

เมื่อเซสชั่นของคุณได้รับอนุญาตแล้ว ให้ใช้สคริปต์ต่อไปนี้เพื่อเปิดใช้งานแคมเปญการลงทะเบียน:

$params = @{
	registrationEnforcement = @{
		authenticationMethodsRegistrationCampaign = @{
			snoozeDurationInDays = 1
			state = "enabled"
			excludeTargets = @(
			)
			includeTargets = @(
				@{
					id = "all_users"
					targetType = "group"
					targetedAuthenticationMethod = "microsoftAuthenticator"
				}
			)
		}
	}
	reportSuspiciousActivitySettings = @{
		state = "enabled"
		includeTarget = @{
			targetType = "group"
			id = "all_users"
		}
		voiceReportingCode = 0
	}
}

update-MgBetaPolicyAuthenticationMethodPolicy -BodyParameter $params

เมื่อคุณเรียกใช้สคริปต์โดยไม่มีข้อผิดพลาด ให้ใช้ Get-MgBetaPolicyAuthenticationMethodPolicy cmdlet เพื่อยืนยันว่าการตั้งค่าใหม่เปิดใช้งานอยู่:

(Get-MgBetaPolicyAuthenticationMethodPolicy).RegistrationEnforcement.AuthenticationMethodsRegistrationCampaign.state

ประสบการณ์ของผู้ใช้ปลายทาง

เมื่อเปิดใช้งานแคมเปญการลงทะเบียนแล้ว ผู้ใช้ที่ไม่มีแอป Microsoft Authenticator จะลงทะเบียนด้วยการจับคู่หมายเลข จะได้รับแจ้งให้ลงทะเบียนโดยอัตโนมัติ

ตัวอย่างเช่น ผู้ใช้จะนำทางไปยัง office.com (หรือบริการ Microsoft 365 ที่คล้ายกัน) และดำเนินการเข้าสู่ระบบ หลังจากการลงชื่อเข้าใช้ครั้งแรก พวกเขาจะถูกขอให้ทำการยืนยันตัวตนแบบหลายปัจจัยที่มีอยู่ให้เสร็จสิ้น

เมื่อเสร็จแล้ว ข้อความแจ้งอีกฉบับจะปรากฏขึ้นพร้อมข้อความต่อไปนี้:

จากนั้นผู้ใช้จะเข้าสู่หน้าการลงทะเบียนความปลอดภัยตามปกติเพื่อลงทะเบียนแอป Microsoft Authenticator