Kullanıcı başına MFA'dan Koşullu Erişim MFA'sına geçiş

Azure AD Premium P1 veya P2'ye sahip olduğunuzda Koşullu Erişim tabanlı MFA'yı kullanmak en iyisidir. Bir politika oluştururken size daha fazla kontrol ve esneklik sağlayacaktır. Bu kiracıda kullanıcı başına MFA'yı etkinleştirdik. Kullanıcı başına MFA'dan Koşullu Erişim tabanlı MFA'ya dönüştürmeyi seviyoruz. Bu nasıl işe yarayacak? Bu makalede, kullanıcı başına MFA'dan Koşullu Erişim tabanlı MFA'ya adım adım nasıl geçeceğinizi öğreneceksiniz.

giriiş

Microsoft 365 MFA'dan Azure Active Directory Koşullu Erişim'e geçiş üç adımda yapılabilir:

  1. Kullanıcı başına MFA'dan Koşullu Erişim MFA'sına geçiş (bu makale)

  2. MFA güvenilen IP'lerinden Koşullu Erişim adlandırılmış konumlara geçiş

  3. Güvenilir cihazda MFA'yı hatırla'dan Koşullu Erişim oturum açma sıklığına geçiş

Koşullu Erişim MFA'sı

Tüm kullanıcılarınızı yeniden kaydolmaya zorlamadan kullanıcı başına MFA'dan Koşullu Erişim MFA'ya geçmek istiyorsunuz. Çünkü kullanıcılarınızdan MFA'yı yeniden kaydetmelerini istemek büyük bir görevdir ve hizmet masası tüm bu aramaları beklemiyor. Soru şu: MFA'ya yeniden kaydolmadan taşınmak mümkün mü? Evet öyle.

Koşullu Erişim İlkesini MFA'yı tetikleyecek ve kullanıcı başına MFA'yı devre dışı bırakacak şekilde yapılandırırsanız, kullanıcı başına MFA'yı devre dışı bırakmak MFA yöntemlerini temizlemediğinden MFA'ya yeniden kaydolmanız gerekmez. MFA için Koşullu Erişim İlkesi'ni kullandığınızda kullanıcı başına MFA'yı etkinleştirmemelisiniz; onları yalnızca engelli durumda tutun.

Kullanıcı başına MFA durumunu bilmek ister misiniz? Önceki bir yazımızda Office 365 kullanıcılarının MFA durumunun PowerShell ile nasıl dışarı aktarılacağını ele almıştık.

Azure AD Premium lisansını kontrol edin

Microsoft Azure'da oturum açın ve Azure AD Premium plan 1 veya 2'ye sahip olup olmadığınızı kontrol edin. Portalda Azure Active Directory > Genel Bakış'a gidin. Aşağıdaki örnekte Azure AD Premium aboneliği yoktur.

Lisansın Azure AD Premium P1 veya Azure AD Premium P2'yi göstermesi gerekir. Bu örnekte kiracı, Azure AD Premium P2 lisansını almıştır.

Kullanıcı başına MFA durumunu kontrol edin

Microsoft 365 yönetim merkezinde oturum açın. Kullanıcılar > Etkin Kullanıcılar > Çok faktörlü kimlik doğrulama'ya gidin.

Yeni bir sayfa açılacak ve tüm kullanıcıları ve onların çok faktörlü kimlik doğrulama durumunu gösterecektir. Örneğimizde MFA statüsüne sahip birkaç kullanıcımız var; etkin, zorunlu ve devre dışı.

Önemli: Koşullu Erişimi kullanarak MFA'yı etkinleştirirken tüm kullanıcılar için kullanıcı başına MFA'yı devre dışı bırakın.

Azure AD PowerShell'e bağlanın

Koşullu Erişim MFA'sına dönüştürmeden önce Windows PowerShell'i yönetici olarak başlatmanız ve Azure AD PowerShell'e bağlanmanız gerekir.

PS C:\> Connect-MsolService

PowerShell ile kullanıcı başına MFA'yı Koşullu Erişim tabanlı MFA'ya dönüştürün

Kullanıcı başına MFA'dan Koşullu Erişimli MFA'ya dönüştürmenin mükemmel bir yolu PowerShell'dir. Convert-PU-to-CA.ps1 PowerShell betiğini indirin ve C:\scripts klasörüne yerleştirin. Eğer yoksa bir komut dosyası klasörü oluşturun.

# Sets the MFA requirement state
function Set-MfaState {

    [CmdletBinding()]
    param(
        [Parameter(ValueFromPipelineByPropertyName = $True)]
        $ObjectId,
        [Parameter(ValueFromPipelineByPropertyName = $True)]
        $UserPrincipalName,
        [ValidateSet("Disabled", "Enabled", "Enforced")]
        $State
    )

    Process {
        Write-Verbose ("Setting MFA state for user '{0}' to '{1}'." -f $ObjectId, $State)
        $Requirements = @()
        if ($State -ne "Disabled") {
            $Requirement =
            [Microsoft.Online.Administration.StrongAuthenticationRequirement]::new()
            $Requirement.RelyingParty = "*"
            $Requirement.State = $State
            $Requirements += $Requirement
        }

        Set-MsolUser -ObjectId $ObjectId -UserPrincipalName $UserPrincipalName `
            -StrongAuthenticationRequirements $Requirements
    }
}

# Disable MFA for all users
Get-MsolUser -All | Set-MfaState -State Disabled

Convert-PU-to-CA.ps1 PowerShell betiğini çalıştırın.

PS C:\> cd c:\scripts\
PS C:\scripts> .\Convert-PU-to-CA.ps1

MFA Koşullu Erişim ilkesi oluşturma

Önceki adımda PowerShell betiğini çalıştırırken MFA'yı herkes için devre dışı bıraktınız. Bir kullanıcı hesabıyla oturum açarsanız MFA istemeyecektir. Yapmanız gereken bir MFA Koşullu Erişim politikası oluşturmaktır.

Azure portalında oturum açın. Menüyü açın ve Azure Active Directory > Güvenlik > Koşullu Erişim'e göz atın. Yeni Politika'yı tıklayın.

Politikaya bir ad verin. Örneğin, MFA tüm kullanıcılar. Tüm kullanıcıları ve tüm bulut uygulamalarını seçin. Erişim izni verin ve Çok faktörlü kimlik doğrulamayı gerektir'i etkinleştirin. Politikayı etkinleştirin ve Kaydet'i tıklayın.

Koşullu Erişim ilkesi değişikliklerinin geçerlilik kazanması birkaç dakika sürebilir.

Azure AD MFA Koşullu Erişim ilkesi mevcuttur. Kullanıcı başına MFA'dan Koşullu Erişim tabanlı MFA'ya başarıyla geçiş yaptınız. Son adım, değişiklikleri ve çalıştığını doğrulamaktır.

Çalışmanızı doğrulayın

Tüm kullanıcılar, Microsoft 365 Multi-Factor Authentication sayfasında MFA durumunu devre dışı olarak gösterir.

MFA'nın önceden yapılandırılmış olduğu bir hesapla oturum açmak, MFA'yı sıfırdan kurmanıza gerek kalmadan tekrar çalışacaktır.

MFA'yı etkinleştirmemiş kullanıcılardan veya yeni oluşturulan kullanıcılardan, ilk kez oturum açtıklarında MFA kurulumundan geçmeleri istenecektir. Örneğin Microsoft 365 portalında.

Artık MFA'yı Azure'dan yöneteceksiniz. Bu harika çünkü inceleyebileceğiniz ve kuruluş gereksinimlerine göre etkinleştirebileceğiniz çok daha fazla Koşullu Erişim ilkesi seçeneği var.

Not: Kullanıcılar için her zaman MFA'yı etkinleştirin! Hesapları saldırılara ve ele geçirilen şifrelere karşı koruyacaktır. Kuruluşlara yardımcı olan başka bir koruma katmanı ekler.

Okumaya devam edin: Ekstra güvenlik için Microsoft 365'te harici e-postalara etiket ekleyin »

Çözüm

Kullanıcı başına MFA'dan Koşullu Erişim MFA'sına nasıl geçeceğinizi öğrendiniz. Öncelikle PowerShell ile Azure AD'ye bağlanın ve tüm kullanıcılar için kullanıcı başına MFA'yı devre dışı bırakmak üzere betiği çalıştırın. Bundan sonra Azure'da Koşullu Erişim ilkesi oluşturun. Son olarak, oturum açarken MFA'nın çalıştığını test edin ve doğrulayın.

Bu makaleyi beğendiniz mi? Ayrıca PowerShell ile gruba kullanıcı ekleme seçeneğini de beğenebilirsiniz. Bizi takip etmeyi ve bu yazımızı paylaşmayı unutmayın.

İlgili makaleler