วิธีเปิดใช้งาน Microsoft Authenticator สำหรับ Outlook Mobile

Microsoft Authenticator รองรับแอปคู่หู เช่น Microsoft Outlook สำหรับมือถือ เพื่อมอบประสบการณ์ 'Lite' ที่เรียบง่ายให้กับผู้ใช้ในการใช้วิธีการรับรองความถูกต้องแบบหลายปัจจัยที่แข็งแกร่ง โดยไม่ต้องติดตั้งแอปพลิเคชัน MFA เพิ่มเติมบนอุปกรณ์มือถือของตน การใช้ Authenticator Lite บน Outlook สำหรับมือถือ แทนแอป Microsoft Authenticator ให้การปกป้องข้อมูลประจำตัวผู้ใช้ในระดับเดียวกัน เช่น การจับคู่หมายเลขและประสบการณ์ OTP

ในบทช่วยสอนนี้ ฉันจะอธิบายว่าประสบการณ์ Authenticator Lite ทำงานอย่างไร คุณควรใช้หรือไม่ และวิธีการเปิดใช้งานใน Entra Portal และการใช้ Microsoft Graph PowerShell

Authenticator Lite สำหรับ Outlook Mobile คืออะไร

Authenticator Lite เป็นวิธีการตรวจสอบสิทธิ์แบบหลายปัจจัยที่ง่ายและปลอดภัยซึ่งสร้างขึ้นโดยตรงในแอปพลิเคชันมือถือ Microsoft ทั่วไป โดยเฉพาะ Outlook สำหรับอุปกรณ์เคลื่อนที่บนระบบปฏิบัติการ IOS และ Android ประสบการณ์ที่เรียบง่ายนี้หมายความว่าคุณสามารถดำเนินการ OTP ที่ปลอดภัยและการรับรองความถูกต้องขั้นตอนที่สองของการแจ้งเตือนแบบพุชได้โดยตรงจากแอปพลิเคชันที่คุณอาจติดตั้งบนมือถือของคุณแล้ว

สำหรับ Outlook ประสบการณ์ Authenticator Lite จะพร้อมใช้งานบน Android Outlook เวอร์ชัน 4.2308.0 ขึ้นไป และสำหรับ IOS Outlook 4.2309.0 ขึ้นไป

ข้อกำหนดเบื้องต้นสำหรับ Authenticator Lite

1. คุณต้องดาวน์โหลดแอป Outlook บนอุปกรณ์ IOS หรือ Android ของคุณ และต้องกำหนดค่าแอปด้วยบัญชีที่ทำงานหรือโรงเรียนของคุณ หากคุณไม่ได้ติดตั้งและกำหนดค่า Outlook คุณจะต้องดำเนินการนี้ก่อนจึงจะสามารถเปิดใช้งาน Authenticator Lite ได้

2. คุณต้องทำตามขั้นตอนด้านล่างเพื่อเปิดใช้งานการตั้งค่าที่จำเป็นในผู้เช่าของคุณ ซึ่งสามารถทำได้กับผู้ใช้ทุกคนในคราวเดียวหรือค่อยๆ เปิดตัวกับผู้ใช้บางรายในองค์กรของคุณ

3. คุณต้องมีวิธีการตรวจสอบสิทธิ์ปัจจัยที่สองที่กำหนดค่าไว้ในบัญชีของคุณอยู่แล้ว นี่อาจเป็นวิธีอื่นที่ไม่ใช่แอป Microsoft Authenticator

ฉันควรใช้ Microsoft Authenticator หรือ Authenticator Lite หรือไม่

แอปพลิเคชัน Microsoft Authenticator เต็มรูปแบบจะทำให้คุณได้รับประสบการณ์ที่ดียิ่งขึ้น ตัวอย่างเช่น หากคุณต้องการเชื่อมต่อกับบัญชี Microsoft 365 มากกว่าหนึ่งบัญชี การดำเนินการนี้จะง่ายกว่าในการจัดการด้วยแอป Microsoft Authenticator เต็มรูปแบบผ่านประสบการณ์ Lite ใน Outlook สำหรับอุปกรณ์เคลื่อนที่

อย่างไรก็ตาม คุณควรใช้หากคุณใช้การตรวจสอบสิทธิ์ผ่าน SMS หรือเสียง และเข้าถึงข้อมูลบริษัทผ่าน Outlook บนอุปกรณ์เคลื่อนที่ของคุณ (โดยไม่ได้ติดตั้งแอป Microsoft Authenticator ไว้)

Authenticator Lite มีความสำคัญเหนือกว่า Microsoft Authenticator หรือไม่

ไม่ได้ ถ้าคุณมีแอป Microsoft Authenticator ติดตั้งอยู่ในอุปกรณ์ของคุณ คุณจะไม่สามารถลงทะเบียน Authenticator Lite บน Outlook สำหรับอุปกรณ์เคลื่อนที่ได้ เนื่องจากแอปที่แสดงร่วม (Outlook) จะตรวจพบว่า Microsoft Authenticator ได้รับการติดตั้งแล้ว และไม่พร้อมท์ให้คุณลงทะเบียนเมื่อเปิดใช้งาน

สถานะเริ่มต้นสำหรับ Authenticator Lite คืออะไร?

ตามค่าเริ่มต้น Authenticator Lite จะถูกตั้งค่าเป็น Microsoft Managed ซึ่งหมายความว่า Microsoft สามารถจัดการและควบคุมสถานะเริ่มต้นของ Authenticator Lite ได้ ก่อนวันที่ 9 มิถุนายน 2023 สถานะ Microsoft Managed จะมีค่าเริ่มต้นเป็นปิดใช้งาน อย่างไรก็ตาม หลังจากวันดังกล่าว Authenticator Lite จะถูกเปิดใช้งานโดยอัตโนมัติ เว้นแต่คุณจะเลือกที่จะปิดใช้งาน

ฉันควรใช้ Authenticator Lite ในสถานการณ์ใดบ้าง

Authenticator Lite สามารถใช้เพื่อทำให้ผู้ใช้เริ่มต้นใช้งาน Multi-Factor Authentication ได้ง่ายขึ้น และย้ายผู้ใช้ออกจากที่ปลอดภัยและสะดวกน้อยกว่า การรับรองความถูกต้อง วิธีการเช่น SMS และ เสียง

การปฏิเสธความจำเป็นในการติดตั้งแอปเพิ่มเติมลงในอุปกรณ์สามารถช่วยในการเริ่มต้นใช้งานผู้ใช้ใหม่ได้ อย่างไรก็ตาม โดยส่วนตัวแล้ว ฉันพบว่าประสบการณ์นี้ค่อนข้างไม่จำเป็น หากผู้ใช้ติดตั้งแอป Outlook สำหรับมือถือ คุณอาจจินตนาการได้อย่างง่ายดายว่าพวกเขาติดตั้งแอป Authenticator ไว้แล้ว หากพวกเขาไม่ได้ใช้ Outlook สำหรับอุปกรณ์เคลื่อนที่ การเตรียมความพร้อมควรให้พวกเขาติดตั้ง Microsoft Authenticator อย่างน้อยที่สุด ไม่มีข้อโต้แย้งใด ๆ ต่อผู้ใช้ที่ติดตั้งแอป Outlook สำหรับอุปกรณ์เคลื่อนที่และการเข้าถึงข้อมูลบริษัทบนอุปกรณ์ส่วนบุคคลโดยไม่ต้องติดตั้ง Microsoft Authenticator หากมีการคัดค้าน การเข้าถึงข้อมูลบริษัทบนอุปกรณ์นั้นไม่ควรเกิดขึ้น หรือควรออกอุปกรณ์ของบริษัทหาก ถือเป็นความจำเป็น

แม้ว่าในกรณีที่คุณได้รับสภาพแวดล้อมที่ไม่สมบูรณ์หรือมีการใช้การตรวจสอบสิทธิ์ SMS ก่อนหน้านี้เนื่องจากความชอบส่วนตัวหรือไม่มีการบังคับใช้วิธีการที่แข็งแกร่งกว่า แต่ Authenticator Lite ก็สามารถใช้เป็นวิธีชนะอย่างรวดเร็วเพื่อให้เป็นไปตามข้อกำหนด และถือเป็นขั้นตอนตัวกลางในการดำเนินการ จากแอป Microsoft Authenticator ข้อโต้แย้งคือ คุณกำลังเพิ่มความซับซ้อนให้กับคุณและผู้ใช้ปลายทางของคุณ ทำไมต้องใช้ความพยายาม เอกสาร และการสื่อสารเป็นสองเท่า ในเมื่อคุณสามารถเปิดตัวแอป Microsoft Authenticator ได้

Authenticator Lite เป็นประสบการณ์ที่สะดวกสบายในการลดความซับซ้อนของประสบการณ์ MFA ของผู้ใช้และเป็นไปตามข้อกำหนดของ MFA ซึ่งจะมีประโยชน์ในสภาพแวดล้อมที่เรียบง่ายและเป็นขั้นตอนตัวกลางในการช่วยเหลือการเปิดตัว MFA ในสภาพแวดล้อมที่ซับซ้อนมากขึ้น ซึ่งผู้ใช้บางรายอาจมีบัญชีคลาวด์ที่สองสำหรับงานที่ได้รับสิทธิพิเศษ แอป Microsoft Authenticator สำหรับผู้ใช้ทุกคนจะให้ความยืดหยุ่นและความสม่ำเสมอที่ดีขึ้น

วิธีเปิดใช้งาน Authenticator Lite ผ่าน Web UI

Authenticator Lite สามารถเปิดใช้งานได้ผ่านทางหน้าวิธีการตรวจสอบสิทธิ์ของ Azure Active Directory ทำตามขั้นตอนด้านล่างเพื่อเปิดใช้งานสำหรับผู้ใช้ทุกคนในองค์กรของคุณ

1. เข้าสู่ระบบ Microsoft Entra ขยาย ป้องกันและรักษาความปลอดภัย จากนั้นเลือก วิธีการรับรองความถูกต้อง

2. เลือก Microsoft Authenticator จากรายการวิธีการ

3. เลือกแท็บ กำหนดค่า

4. ภายใต้ Microsoft Authenticator บนแอปพลิเคชันร่วม ให้เปลี่ยนสถานะเป็น เปิดใช้งาน แล้วคลิกบันทึก

วิธีเปิดใช้งาน Authenticator Lite ด้วย Microsoft Graph

หากคุณต้องการเปิดใช้งาน Authenticator Lite โดยทางโปรแกรมโดยใช้ PowerShell คุณสามารถทำได้ด้วยโมดูล Microsoft Graph PowerShell หากคุณยังไม่ได้ติดตั้งโมดูลเหล่านี้ โปรดดูคำแนะนำของฉันเกี่ยวกับวิธีการติดตั้งโมดูล Microsoft Graph PowerShell ทำตามขั้นตอนด้านล่างเพื่อเปิดใช้งานการตั้งค่านี้กับ PowerShell:

1. เริ่มต้นด้วยการเชื่อมต่อกับ Microsoft Graph ด้วยขอบเขตสิทธิ์ Policy.ReadWrite.AuthenticationMethods:

Connect-MgGraph -Scope Policy.ReadWrite.AuthenticationMethod

2. คุณจะต้องกำหนด URI สำหรับการตั้งค่าวิธี Microsoft Authenticator:

$uri = "https://graph.microsoft.com/beta/authenticationMethodsPolicy/authenticationMethodConfigurations/MicrosoftAuthenticator"

3. จากนั้นใช้ Invoke-MgGraphRequest cmdlet เพื่อรับการกำหนดค่านโยบายจากผู้เช่าของคุณและจัดเก็บสิ่งนี้ไว้ภายในตัวแปรในเซสชันของคุณ ข้อมูลนี้จะถูกบันทึกเป็นตารางแฮชใน $body และใช้เป็นเพย์โหลดของเรา

$body = Invoke-MgGraphRequest -uri $uri -method GET

4. ตอนนี้จำเป็นต้องแก้ไขเพย์โหลดเพื่อให้ตรงตามการกำหนดค่าใหม่ที่ต้องการ:

$body.featureSettings.companionAppAllowedState.state = `
$body.featureSettings.companionAppAllowedState.state.Replace('disabled','enabled')

5. หากคุณได้กำหนดค่าการจับคู่หมายเลขผ่านพอร์ทัลไว้ก่อนหน้านี้ คุณต้องลบการตั้งค่านี้ออกจากเพย์โหลดของคุณด้วย คุณสามารถทำได้โดยใช้คำสั่งต่อไปนี้:

$body.featureSettings.Remove('numberMatchingRequiredState')

หากคุณไม่ปฏิบัติตามขั้นตอนนี้ คุณจะพบกับข้อผิดพลาดต่อไปนี้ในขั้นตอนถัดไป:

“code”:”badRequest”,”message”:”การคงอยู่ของนโยบายล้มเหลวโดยมีข้อผิดพลาด: คุณลักษณะการจับคู่หมายเลขของ Microsoft Authenticator ไม่สามารถสลับเป็นส่วนหนึ่งได้อีกต่อไป ของการตั้งค่าคุณลักษณะ

6. สุดท้าย รันคำสั่ง Invoke-MgGraphRequest ด้วยเมธอด PATCH เพื่ออัปเดตการกำหนดค่าของคุณ:

Invoke-MgGraphRequest -uri $uri -body $body -method PATCH

7. ตรวจสอบว่าการกำหนดค่าของคุณมีการเปลี่ยนแปลงโดยใช้คำสั่งต่อไปนี้:

(Invoke-MgGraphRequest -uri $uri -method GET).featuresettings.companionAppAllowedState

คัดลอกและวางสคริปต์แบบเต็มด้านล่าง:

#Connect to Microsoft Graph
Connect-MgGraph -Scope Policy.ReadWrite.AuthenticationMethod

#Define the URI
$uri = "https://graph.microsoft.com/beta/authenticationMethodsPolicy/authenticationMethodConfigurations/MicrosoftAuthenticator"

#Get the current configuration
$body = Invoke-MgGraphRequest -uri $uri -method GET

#Modify your payload
$body.featureSettings.companionAppAllowedState.state = $body.featureSettings.companionAppAllowedState.state.Replace('disabled','enabled')
$body.featureSettings.Remove('numberMatchingRequiredState')

#Configure your new policy settings
Invoke-MgGraphRequest -uri $uri -body $body -method PATCH