Azure/Microsoft 365'te Kullanıcılar için MFA'yı Etkinleştirme veya Devre Dışı Bırakma

Azure Portal, Microsoft 365 Admin Center veya PowerShell kullanarak Azure/Microsoft 365 kiracınızdaki kullanıcılar için Multi-Factor Authentication (MFA) durumunu etkinleştirebilir, devre dışı bırakabilir veya alabilirsiniz. Bu yazıda, AzureAD'de kullanıcı hesapları için MFA'nın nasıl yönetileceğini ve kullanıcılarınızın kullandığı ikinci faktör hakkında raporların nasıl alınacağını göstereceğiz.

MFA'yı Azure Koşullu Erişim ilkeleriyle değil, kullanıcı bazında yönettiğinizi varsayıyoruz.

Tüm kullanıcılar için MFA statüsüne sahip bir web sayfasına iki şekilde erişebilirsiniz:

  • Microsoft 365 Yönetim Merkezi -> Etkin Kullanıcılar -> Çok faktörlü kimlik doğrulama.

  • Portal Azure -> Azure AD-> Kullanıcılar -> Kullanıcı Başına MFA

Kiracınızdaki tüm kullanıcıların bir listesini ve her birinin MFA durumunu göreceksiniz. Mevcut MFA durumları şunlardır:

  • Devre Dışı - çok faktörlü kimlik doğrulama devre dışıdır (varsayılan olarak, tüm yeni kullanıcılar için);

  • Etkin - MFA etkinleştirildi, ancak kullanıcı MFA yöntemini kendisi seçene kadar standart kimlik doğrulamasını kullanmaya devam ediyor;

  • Zorunlu - bir kullanıcı, bir sonraki oturum açmada ikinci bir MFA faktörünü kaydetmeye zorlanır.

Sağdaki Hızlı Adımlar panelindeki düğmeleri kullanarak her kullanıcı için MFA'yı etkinleştirebilir, devre dışı bırakabilir, sıfırlayabilir veya yapılandırabilirsiniz.

Rapor, bir kullanıcının MFA kurulumunu tamamlayıp tamamlamadığını ve hangi ikinci faktörü seçtiğini göstermez. Ayrıca, sayfanın içeriğini bir TXT/CSV dosyasına aktaramazsınız. Microsoft 365'te kullanıcıların MFA'sını yönetmek ve raporlar oluşturmak için PowerShell'i kullanmak daha kolaydır.

Artık MSOnline modülünü veya Microsoft Graph API'yi kullanarak Azure (Microsoft 365) kullanıcıları için MFA'yı PowerShell'de etkinleştirebilir/devre dışı bırakabilirsiniz.

Şu anda MFA'yı AzureAD modülünün en son sürümüyle yönetemezsiniz.

MSOnline modülünü kurun (gerekirse) ve kiracınıza bağlanın:

Install-Module MSOnline
Connect-MsolService

Kullanıcı MFA durumuyla ilgili bilgileri şu adresten alabilirsiniz:

StrongAuthenticationMethods

bağlanmak:

Get-MsolUser -UserPrincipalName t.muller@a-d.onmicrosoft.com | Select-Object UserPrincipalName,StrongAuthenticationMethods

StrongAuthenticationMethods özniteliği boş değilse kullanıcı için MFA etkinleştirilir. Kullanıcı için ne tür MFA'nın yapılandırıldığını öğrenebilirsiniz:

(Get-MsolUser -UserPrincipalName t.muller@a-d.onmicrosoft.com). StrongAuthenticationMethods

Aşağıdaki ekran görüntüsü, kullanıcının Microsoft Authenticator Uygulamasını ikinci bir MFA faktörü olarak etkinleştirdiğini gösterir (PhoneAppNotification —

IsDefault=True

).

Microsoft Modern kimlik doğrulama, kullanıcılar için ikinci bir faktör olarak dört tür kimlik doğrulamaya izin verir:

  • OneWaySMS - standart SMS mesajı;

  • TwoWayVoiceMobile - kullanıcı bir telefon görüşmesinde tek seferlik bir şifre alır;

  • PhoneAppOTP - bir kullanıcı, bir donanım belirteci veya Microsoft Authenticator uygulaması kullanarak tek seferlik bir parola (6 dijital karakter) alır;

  • PhoneAppNotification - Microsoft Authenticator uygulamasını kullanarak kimlik doğrulama.

Bir Azure kullanıcısı için MFA'yı etkinleştirmek üzere:

$st = New-Object -TypeName Microsoft.Online.Administration.StrongAuthenticationRequirement
$st.RelyingParty = "*"
$st.State = "Enabled"
$sta = @($st)
Set-MsolUser -UserPrincipalName t.muller@a-d.onmicrosoft.com -StrongAuthenticationRequirements $sta

Bir kullanıcıyı mevcut MFA yöntemini değiştirmeye zorlamak için:

Set-MsolUser -UserPrincipalName t.muller@a-d.onmicrosoft.com -StrongAuthenticationMethods @()

Bir kullanıcı için MFA'yı devre dışı bırakmak için:

Get-MsolUser -UserPrincipalName t.muller@a-d.onmicrosoft.com | Set-MsolUser -StrongAuthenticationRequirements @()

Bir Azure kiracısındaki tüm kullanıcılar için MFA durumunu almak üzere aşağıdaki PowerShell betiğini kullanabilirsiniz:

$Report = @()
$AzUsers = Get-MsolUser -All
ForEach ($AzUser in $AzUsers) {
$DefaultMFAMethod = ($AzUser.StrongAuthenticationMethods | ? { $_.IsDefault -eq "True" }).MethodType
$MFAState = $AzUser.StrongAuthenticationRequirements.State
if ($MFAState -eq $null) {$MFAState = "Disabled"}
$objReport = [PSCustomObject]@{
User = $AzUser.UserPrincipalName
MFAState = $MFAState
MFAPhone = $AzUser.StrongAuthenticationUserDetails.PhoneNumber
MFAMethod = $DefaultMFAMethod
}
$Report += $objReport
}
$Report

MFA raporunu bir CSV dosyasına aktarabilirsiniz:

$Report| Export-CSV -NoTypeInformation -Encoding UTF8 c:\Reports\AzureUsersMFAstatus.csv

Veya bir Out-GridView tablosuna:

$Report | Out-GridView

Komut dosyası GitHub depomda mevcuttur: https://github.com/maxbakhub/winposh/blob/main/Azure/GetAzureMFAUsersReport.ps1

İlgili makaleler