הפעלה או השבתה של MFA עבור משתמשים ב- Azure/Microsoft 365

באפשרותך להפעיל, להפוך ללא זמין או לקבל את מצב אימות רב-גורמי (MFA) עבור משתמשים בדייר Azure/Microsoft 365 שלך באמצעות פורטל Azure, מרכז הניהול של Microsoft 365 או PowerShell. במאמר זה, נראה כיצד לנהל MFA עבור חשבונות משתמשים ב- AzureAD ונקבל דוחות על הגורם השני המשמש את המשתמשים שלך.

באפשרותך לגשת לדף אינטרנט עם מצב MFA עבור כל המשתמשים בשתי דרכים:

• מרכז הניהול של Microsoft 365 -> משתמשים פעילים -> אימות רב-גורמי.

• Portal Azure -> Azure AD-> Users -> לכל משתמש MFA

תראה רשימה של כל המשתמשים בדייר שלך ואת מצב MFA עבור כל אחד מהם. סטטוסים זמינים של MFA הם:

• מושבת - אימות רב-גורמי מושבת (כברירת מחדל, עבור כל המשתמשים החדשים);

• מופעל - MFA מופעל, אך משתמש עדיין משתמש באימות רגיל עד שהוא בוחר את שיטת MFA בעצמו;

• אכיפה - משתמש ייאלץ לרשום גורם MFA שני בכניסה הבאה.

  

ניתן להפעיל, להשבית, לאפס או להגדיר MFA עבור כל משתמש באמצעות לחצנים בחלונית Quick Steps מימין.

הדוח אינו מציג אם משתמש השלים את הגדרת MFA ובאיזה גורם שני הוא בחר. כמו כן, לא ניתן לייצא את תוכן הדף לקובץ TXT/CSV. קל יותר להשתמש ב- PowerShell כדי לנהל MFA של משתמשים ב- Microsoft 365 ולבנות דוחות.

כעת באפשרותך להפעיל/להשבית MFA עבור משתמשי Azure (Microsoft 365) ב- PowerShell באמצעות מודול MSOnline או Microsoft Graph API.

התקן את מודול MSOnline (במידת הצורך) והתחבר לדייר שלך:

Install-Module MSOnline
Connect-MsolService

באפשרותך לקבל את המידע אודות מצב MFA של משתמש מהסמל

StrongAuthenticationMethods

תכונה:

Get-MsolUser -UserPrincipalName t.muller@a-d.onmicrosoft.com | Select-Object UserPrincipalName,StrongAuthenticationMethods

אם התכונה StrongAuthenticationMethods אינה ריקה, MFA זמין עבור המשתמש. באפשרותך לגלות איזה סוג של MFA מוגדר עבור המשתמש:

(Get-MsolUser -UserPrincipalName t.muller@a-d.onmicrosoft.com). StrongAuthenticationMethods

צילום המסך שלהלן מראה שאפליקציית Microsoft Authenticator מופעלת על-ידי המשתמש כגורם MFA שני (PhoneAppNotification —

IsDefault=True

).

אימות מודרני של Microsoft מאפשר ארבעה סוגים של אימות כגורם שני עבור משתמשים:

• OneWaySMS - הודעת SMS סטנדרטית;

• TwoWayVoiceMobile - משתמש מקבל סיסמה חד פעמית בשיחת טלפון;

• PhoneAppOTP - משתמש מקבל סיסמה חד פעמית (6 תווים דיגיטליים) באמצעות אסימון חומרה או אפליקציית Microsoft Authenticator;

• PhoneAppNotification - אימות באמצעות האפליקציה Microsoft Authenticator.

כדי להפוך MFA לזמין עבור משתמש Azure:

$st = New-Object -TypeName Microsoft.Online.Administration.StrongAuthenticationRequirement
$st.RelyingParty = "*"
$st.State = "Enabled"
$sta = @($st)
Set-MsolUser -UserPrincipalName t.muller@a-d.onmicrosoft.com -StrongAuthenticationRequirements $sta

כדי לאלץ משתמש לשנות את שיטת MFA הנוכחית שלו:

Set-MsolUser -UserPrincipalName t.muller@a-d.onmicrosoft.com -StrongAuthenticationMethods @()

כדי להפוך MFA ללא זמין עבור משתמש:

Get-MsolUser -UserPrincipalName t.muller@a-d.onmicrosoft.com | Set-MsolUser -StrongAuthenticationRequirements @()

באפשרותך להשתמש בקובץ ה-script הבא של PowerShell כדי לקבל את מצב MFA עבור כל המשתמשים בדייר Azure:

$Report = @()
$AzUsers = Get-MsolUser -All
ForEach ($AzUser in $AzUsers) {
$DefaultMFAMethod = ($AzUser.StrongAuthenticationMethods | ? { $_.IsDefault -eq "True" }).MethodType
$MFAState = $AzUser.StrongAuthenticationRequirements.State
if ($MFAState -eq $null) {$MFAState = "Disabled"}
$objReport = [PSCustomObject]@{
User = $AzUser.UserPrincipalName
MFAState = $MFAState
MFAPhone = $AzUser.StrongAuthenticationUserDetails.PhoneNumber
MFAMethod = $DefaultMFAMethod
}
$Report += $objReport
}
$Report

באפשרותך לייצא את דוח MFA לקובץ CSV:

$Report| Export-CSV -NoTypeInformation -Encoding UTF8 c:\Reports\AzureUsersMFAstatus.csv

או לטבלה Out-GridView:

$Report | Out-GridView

הסקריפט זמין במאגר GitHub שלי: https://github.com/maxbakhub/winposh/blob/main/Azure/GetAzureMFAUsersReport.ps1