Microsoft Entra ve PowerShell'de MFA durumunu alın

Microsoft 365/Microsoft Entra MFA kullanıcılarının durumunu listelemek için PowerShell'i kullanmak istemiyor musunuz? Bunun yerine Grafik Kullanıcı Arayüzü (GUI) kullanmak istiyorsunuz. Endişelenmeyin çünkü tüm MFA ayrıntılarını Microsoft Entra yönetim merkezinden alabilirsiniz. Bu yazıda Microsoft Entra ve PowerShell'de MFA kullanıcılarının kimlik doğrulama yöntemlerini nasıl alacağınızı öğreneceksiniz. portal.

Microsoft kiracısında MFA'yı yapılandırma

Microsoft kiracınızda MFA'yı yapılandırmanın iki yolu vardır:

  1. MFA'yı Koşullu Erişimle Yapılandırma
  2. Kullanıcı başına MFA'yı yapılandırma

Daha fazla kontrole ve yapılandırılacak daha fazla özelliğe sahip olduğunuz için 1. seçeneği öneririz. Ancak Microsoft Entra ID P1 veya Microsoft Entra ID P2 lisansını gerektirir. Dolayısıyla, Entra ID sürümlerini almaya gücünüz yetmiyorsa ücretsiz olan seçenek 2'yi seçin.

Bunu yaparken, kuruluşta MFA yorulma saldırılarını önleme makalesini okuyun ve ekstra koruma için gösterilen ayarları etkinleştirin.

Önemli: ÖNEMLİ olduğundan her kiracı için MFA'yı etkinleştirin.

Microsoft Entra ID P1 veya P2'ye sahip olduğunuzu ve kullanıcı başına MFA'yı yapılandırdığınızı ancak Koşullu Erişim MFA'sına geçmek istediğinizi varsayalım; Kullanıcı başına MFA'dan Koşullu Erişim MFA'sına geçiş makalesini okuyun.

Microsoft Entra'da tüm kullanıcıların MFA durumu nasıl alınır?

Aşağıdaki adımları izleyerek Microsoft Entra yönetim merkezinde hangi kullanıcıların MFA'ya kaydolduğunu kontrol edin:

  1. Microsoft Entra yönetim merkezinde oturum açın
  2. Kimlik > Koruma'yı genişletin
  3. Kimlik doğrulama yöntemleri'ni tıklayın
  4. Kullanıcı kayıt ayrıntıları'nı seçin

Not: Kullanıcı kayıt ayrıntılarını görmek için Microsoft Entra ID P1 veya P2 lisansına ihtiyacınız vardır.

  1. MFA kullanıcı hesabı durumunu almak için aşağıdaki sütunları kontrol edin:
  • Çok faktörlü kimlik doğrulama özelliği
  • Varsayılan çok faktörlü kimlik doğrulama yöntemi
  • Kayıtlı yöntemler

Peki ya aynı raporu PowerShell ile almak istiyorsanız? Bir sonraki adımda buna bakalım.

Microsoft Graph PowerShell ile kullanıcıların MFA durumunu alın

Tüm kullanıcıların kimlik doğrulama yöntemlerini almanın mükemmel bir yolu Microsoft Graph PowerShell'dir.

Get-AuthenticationMethods.ps1 betiği, tüm kullanıcıların varsayılan MFA yöntemini ve kayıtlı kimlik doğrulama yöntemlerini alacak ve bunları bir CSV dosyasına aktaracaktır.

Her kullanıcı için aşağıdaki bilgileri toplar:

  1. İD
  2. KullanıcıPrincipalName
  3. Yönetici
  4. VarsayılanMfaYöntemi
  5. Kayıtlı Yöntemler
  6. IsMfaYetenekli
  7. IsMfaKayıtlı
  8. ParolasızYetenekli
  9. SsprYetenekli
  10. IsSsprEtkin
  11. IsSsprKayıtlı
  12. IsSystemPreferredAuthenticationMethodEnabled
  13. Son GüncellenmeTarihiSaat

1. Adım. Get-AuthenticationMethods PowerShell betiğini hazırlayın

(C:) sürücüsünde iki klasör oluşturun:

  • Sıcaklık
  • Komut dosyaları

Get-AuthenticationMethods.ps1 PowerShell betiğini indirin ve C:\scripts klasörüne yerleştirin. Komut dosyası, CSV dosyasını C:\temp klasörüne aktaracaktır.

Komut dosyasını çalıştırırken hataları önlemek için dosyanın engellemesinin kaldırıldığından emin olun. PowerShell betiğini çalıştırırken dijital olarak imzalanmamış hata makalesinde daha fazlasını okuyun.

Diğer bir seçenek de aşağıdaki kodu kopyalayıp Not Defteri'ne yapıştırmaktır. Ona Get-AuthenticationMethods.ps1 adını verin ve C:\scripts klasörüne yerleştirin.

<#
    .SYNOPSIS
    Get-AuthenticationMethods.ps1

    .DESCRIPTION
    Export users authentication methods report from Micrososoft Graph and know which MFA method
    is set as default for each user and what MFA methods are registered for each user.

    .LINK
    www.alitajran.com/get-mfa-status-entra/

    .NOTES
    Written by: ALI TAJRAN
    Website:    www.alitajran.com
    LinkedIn:   linkedin.com/in/alitajran

    .CHANGELOG
    V1.00, 10/12/2023 - Initial version
#>

# Export path for CSV file
$csvPath = "C:\Temp\AuthenticationReport.csv"

# Connect to Microsoft Graph
Connect-MgGraph -Scopes "User.Read.All", "Group.Read.All", "UserAuthenticationMethod.Read.All", "AuditLog.Read.All"

try {
    # Fetch user registration detail report from Microsoft Graph
    $Users = Get-MgBetaReportAuthenticationMethodUserRegistrationDetail -All

    # Create custom PowerShell object and populate it with the desired properties
    $Report = foreach ($User in $Users) {
        [pscustomobject]@{
            Id                                           = $User.Id
            UserPrincipalName                            = $User.UserPrincipalName
            UserDisplayName                              = $User.UserDisplayName
            IsAdmin                                      = $User.IsAdmin
            DefaultMfaMethod                             = $User.DefaultMfaMethod
            MethodsRegistered                            = $User.MethodsRegistered -join ','
            IsMfaCapable                                 = $User.IsMfaCapable
            IsMfaRegistered                              = $User.IsMfaRegistered
            IsPasswordlessCapable                        = $User.IsPasswordlessCapable
            IsSsprCapable                                = $User.IsSsprCapable
            IsSsprEnabled                                = $User.IsSsprEnabled
            IsSsprRegistered                             = $User.IsSsprRegistered
            IsSystemPreferredAuthenticationMethodEnabled = $User.IsSystemPreferredAuthenticationMethodEnabled
            LastUpdatedDateTime                          = $User.LastUpdatedDateTime
        }
    }
    # Output custom object to GridView
    $Report | Out-GridView -Title "Authentication Methods Report"

    # Export custom object to CSV file
    $Report | Export-Csv -Path $csvPath -NoTypeInformation -Encoding utf8

    Write-Host "Script completed. Report exported successfully to $csvPath" -ForegroundColor Green
}
catch {
    # Catch errors
    Write-Host "An error occurred: $_" -ForegroundColor Red
}
  • Satır 22: CSV dosya yolunu düzenleyin

Not: Belirli bir grubun MFA durumunu kontrol etmek istiyorsanız 27, 28 ve 29 satırlarını değiştirin. aşağıdaki kodla. -GroupId parametresinden sonra grubun benzersiz tanımlayıcısını ekleyin.

try {
    # Fetch group members
    $GroupMembers = Get-MgGroupMember -GroupId "62dee815-d5c9-44ce-9085-e17f2c80734d" -All

    # Extract Ids from group members
    $GroupMemberIds = $GroupMembers.Id

    # Fetch user registration detail report from Microsoft Graph for group members
    $Users = Get-MgBetaReportAuthenticationMethodUserRegistrationDetail -All | Where-Object { $GroupMemberIds -contains $_.Id }

2. Adım. Microsoft Graph PowerShell'i yükleyin

Windows PowerShell'i yönetici olarak çalıştırın ve Microsoft Graph PowerShell'i yükleyin.

Install-Module Microsoft.Graph -Force
Install-Module Microsoft.Graph.Beta -AllowClobber -Force

Önemli: Her zaman Microsoft Graph PowerShell ve Microsoft Graph Beta PowerShell modüllerini yükleyin. Bunun nedeni, bazı cmdlet'lerin henüz son sürümde mevcut olmaması ve çalışmayacak olmasıdır. Hataları ve yanlış sonuçları önlemek için bir cmdlet'i veya betiği çalıştırmadan önce her iki modülü de en son sürüme güncelleyin.

3. Adım. Microsoft Graph PowerShell'e bağlanın

Microsoft Graph PowerShell'e bağlanın.

Connect-MgGraph -Scopes "User.Read.All", "UserAuthenticationMethod.Read.All", "AuditLog.Read.All"

Genel yönetici kimlik bilgilerinizi girin ve Microsoft Graph izin isteğini kabul edin.

4. Adım. Get-AuthenticationMethods PowerShell betiğini çalıştırın

PowerShell ile tüm kullanıcıların kimlik doğrulama yöntemlerini edinin. Get-AuthenticationMethods.ps1 betiğini çalıştırmak için aşağıdaki komutu çalıştırın.

c:\scripts\.\Get-AuthenticationMethods.ps1

Out-GridView, tüm kullanıcıları ve onların bilgilerini içeren sütunları gösterecektir.

5. Adım. Kimlik Doğrulama Yöntemleri raporunu açın

Get-AuthenticationMethods.ps1 PowerShell betiği, tüm kullanıcıların kimlik doğrulama yöntemlerini CSV dosyasına aktarır. C:\temp yolunda AuthenticationReport.csv dosyasını bulun.

CSV dosyasını favori uygulamanızla açın. Örneğimizde Microsoft Excel var.

İşte bu!

Çok Faktörlü kimlik doğrulama SSS'leri

Listedeki kullanıcı hesabı için Yetenekli ve Yetenekli Değil durumunun ne zaman görüneceğine ilişkin sorular olacaktır. İşte aklınıza gelebilecek başlıca sorular ve cevapları.

Yetenekli ve Yeteneksiz arasındaki fark nedir?

  • Yetenekli: MFA, kullanıcı hesabı için ayarlanmıştır
  • Yetenekli Değil: MFA, kullanıcı hesabı için ayarlanmadı

Çok Faktörlü Kimlik Doğrulama ne zaman Yetenekli olarak görünür?

Kullanıcı MFA sihirbazı yapılandırmasını tamamlarsa Yetenekli olarak görünecektir. Kullanıcı MFA kurulumunu tamamlamadığı sürece Yeterli Değil olarak görünecektir.

Kullanıcı için kullanıcı başına MFA'yı etkinleştirirseniz veya uygularsanız ve kullanıcı MFA'yı yapılandırmadıysa, yine de Yeterli Değil olarak gösterilir. MFA Koşullu Erişimi yapılandırırsanız ve kullanıcıyı politikaya eklerseniz de aynı durum geçerlidir. Kullanıcı MFA'yı yapılandırmazsa Yetenekli Değil olarak görünür.

Kullanıcı başına MFA ve Koşullu Erişim MFA'sı listede görünüyor mu?

Evet, kullanıcı başına MFA ve Koşullu Erişimli MFA kullanıcıları ve kimlik doğrulama yöntemleri listede görünecektir.

Önemli: Koşullu Erişimi kullanarak MFA'yı etkinleştirirken tüm kullanıcılar için kullanıcı başına MFA'yı devre dışı bırakın.

Not: Yeterli Değil olarak gösterilen kullanıcı hesapları için kullanıcılarla iletişime geçin ve onlara MFA kurulum sihirbazını tamamlamalarını hatırlatın.

Devamını oku: Koşullu Erişim ile güvenli MFA ve SSPR kaydı »

Çözüm

Microsoft Entra ve PowerShell'de MFA durumunu nasıl alacağınızı öğrendiniz. Microsoft Entra yönetim merkezinde kimlik doğrulama yöntemleri bölümünün bulunması mükemmel. Bu, PowerShell kullanmaktan kaçınmak isteyen yöneticilerin MFA durum bilgilerini almalarına yardımcı olur.

Her kullanıcının Multi-Factor Authentication'ı yapılandırması gerekir ve kimlik doğrulama yöntemlerindeki kullanıcı kayıt ayrıntılarına bakarak hangi MFA yöntemlerinin kullanıldığını ve kimin hala MFA'yı yapılandırması gerektiğini hızlı bir şekilde belirleyebilirsiniz.

Bu makaleyi beğendiniz mi? Ayrıca Koşullu Erişim MFA kesintileri Azure AD Connect senkronizasyonunu da beğenebilirsiniz. Bizi takip etmeyi ve bu makaleyi paylaşmayı unutmayın.

İlgili makaleler