Настройка MFA для Office 365: Полное руководство

Это полное руководство по многофакторной аутентификации Microsoft Office 365.

Многофакторная аутентификация (MFA) — это самый рекомендуемый способ защиты вашего арендатора Microsoft 365. В этом руководстве я объясню, что такое MFA, что такое устаревшая аутентификация и что такое современная аутентификация. Я также проведу вас через процесс проверки, используется ли устаревшая аутентификация в вашем арендаторе, и как её отключить. И, наконец, я подробно расскажу, как настроить MFA в Office 365.

Темы в этом руководстве:

Что такое MFA?
Что такое наследственная аутентификация?
Что такое современная аутентификация Microsoft?
Как мне узнать, использует ли моя организация устаревшие протоколы аутентификации?
Как мне проверить, включена ли современная аутентификация?
Как настроить многофакторную аутентификацию в Office 365
Включите MFA для группы Microsoft 365
Как мне сбросить MFA для пользователя?

Что такое MFA?

Многофакторная аутентификация, или MFA, позволяет защитить вход пользователей, добавляя несколько методов аутентификации. В настоящее время просто пароль не является самым безопасным, даже если он сложный. Всегда полезно иметь более одного метода аутентификации для любой используемой вами платформы.

Чтобы лучше понять MFA, позвольте мне объяснить Устаревшую аутентификацию и Современную аутентификацию, а также то, как важно иметь успешную реализацию MFA.

Что такое наследственная аутентификация?

Наследственная аутентификация часто называется базовой аутентификацией. Базовая аутентификация просто подразумевает приложение, клиента или протокол, который передает только имя пользователя и пароль для аутентификации.

Основная аутентификация была единственной формой аутентификации для большинства приложений и протоколов на протяжении многих лет. В сегодняшнем мире это проблематично, потому что эти имена пользователей и пароли могут быть легко скомпрометированы. К этому добавляется тот факт, что многие имена пользователей и пароли не шифруются при отправке для аутентификации. Кроме того, большинство учетных данных хранится на устройстве, на котором они используются. Это делает очень простым кражу учетных данных.

Сказав это, усилия по отключению устаревших протоколов аутентификации находятся в полном разгаре. Microsoft призывает организации сделать это как можно скорее. Для ускорения этого процесса Microsoft начала отказываться от устаревших протоколов аутентификации в 365. Я объясню, как проверить, использует ли ваша организация какие-либо из этих устаревших протоколов аутентификации, позже в этой статье.

Что такое современная аутентификация Microsoft 365?

Современная аутентификация, также известная как OAuth 2.0, представляет собой гораздо большее, чем просто требование имени пользователя и пароля для аутентификации. Современная аутентификация включает в себя ряд протоколов аутентификации и авторизации, таких как многопроверочная аутентификация (MFA). Хотя многие приложения все еще требуют введения имени пользователя и пароля с использованием современной аутентификации, процессы, происходящие за кулисами, выполняются более безопасно.

С современным методом аутентификации существует поставщик удостоверений и поставщик услуг. Для Microsoft 365 примером поставщика услуг является Microsoft Outlook. Azure Active Directory — это поставщик удостоверений. Поставщик удостоверений предоставляет услуги аутентификации. Все это известно как платформа Microsoft Identity. Приложения больше не выполняют аутентификацию, вместо этого она передается поставщику удостоверений Microsoft для аутентификации пользователя путем выдачи токенов. Токены затем используются для предоставления пользователю информации и прав доступа к приложению.

Это гораздо более безопасный метод аутентификации, потому что учетные данные аккаунта не передаются приложениям или веб-сайтам, а пароли не хранятся на устройстве; вместо этого на устройстве хранится куки, токен или состояние сессии.

Одним из самых важных аспектов безопасности при использовании современного метода аутентификации является возможность использования многофакторной аутентификации (MFA). Чтобы использовать MFA, современный метод аутентификации должен быть включен. Для того чтобы MFA применялся, устаревший метод аутентификации необходимо полностью заблокировать.

Как мне узнать, использует ли моя организация устаревшие протоколы аутентификации?

Чтобы помочь выяснить, использует ли ваша организация их, вы можете проверить несколько различных способов.
Просмотрите свои сообщения в Центре сообщений. Перейдите на https://admin.microsoft.com/#/MessageCenter и ищите любые сообщения о сводках по базовой аутентификации. Microsoft отправляет электронные письма арендаторам, использующим базовую аутентификацию.

Запрос на базовую аутентификацию

Другой способ - следить за запросами базовой аутентификации, подобными приведенным ниже, при подключении к приложениям или серверам.

Современный запрос аутентификации

Современная аутентификация будет использовать веб-форму для ввода учетных данных, которая выглядит следующим образом:

Журналы входа в Azure Active Directory

И наконец, внимательно посмотрите на журналы входа в вашу Azure Active Directory.

Войдите в Azure AD, перейдя по адресу https://aad.portal.azure.com/, затем выберите Azure Active Directory и нажмите на журналы входа в разделе Мониторинг. Выберите Дата вверху и измените на Последние 7 дней.

Затем нажмите на «Добавить фильтры» вверху, выберите приложение клиента, а затем нажмите Применить.

Затем нажмите на клиентское приложение: Не выбрано и выберите все параметры ниже Клиенты с устаревшей аутентификацией, затем нажмите Применить.

Как вы можете видеть, список устаревших протоколов аутентификации включает Автозаполнение, Exchange ActiveSync, Exchange Online PowerShell, Exchange Web Services, IMAP, MAPI через HTTP, Офлайн адресную книгу, другие клиенты, Outlook Anywhere, POP, Web Services отчетности, SMTP и Universal Outlook.

Если вы получите какие-либо результаты, значит, ваша организация все еще использует устаревшие протоколы аутентификации.

Если вы используете любое из этих приложений, велика вероятность, что обновление до последней версии приложения Microsoft Outlook на всех устройствах - Windows, Apple и Android - решит большинство из них. Убедитесь, что вы выбрали Microsoft 365 в качестве типа аккаунта при добавлении учетных записей в почтовые приложения.
Для Exchange Online PowerShell убедитесь, что вы используете модуль EXO V2 или EXO V3.
Для Exchange Web Services и Reporting Web Services мигрируйте приложения на Microsoft Graph API.
Обязательно обновите весь код и обновите сторонние приложения, использующие базовую аутентификацию, чтобы также использовать современную аутентификацию.

Microsoft находится в процессе отмены базовой аутентификации в Exchange Online, что включает большинство из этих протоколов. Это происходит медленно, но если это еще не случилось для вашего арендатора, ожидайте этого очень скоро и подготовьтесь. Запуск отмены этих протоколов начался 1 октября 2022 года.

Вот официальная статья от Microsoft.

Устаревание базовой аутентификации в Exchange Online

Кроме того, для тех из вас, кто использует принтеры, сканеры или приложения, которые используют Аутентифицированный SMTP (SMTP Auth), это в конечном итоге также будет устаревать. Рассмотрите возможность настройки Прямой отправки или подключения вместо SMTP Auth. Я всегда рекомендую использовать TLS, когда это возможно, при отправке электронных писем с устройств.

Вот ссылка на статью Microsoft, чтобы это настроить. Вам нужно будет использовать вариант 2 или 3.

Как настроить многофункциональное устройство или приложение для отправки электронной почты с использованием Microsoft 365 или Office 365.

Как мне проверить, включена ли современная аутентификация?

Для арендаторов, созданных до 1 августа 2017 года, Современная аутентификация по умолчанию отключена. Однако, если ваш арендатор был создан после 1 октября 2019 года, то параметры безопасности по умолчанию включены.

Если установлены настройки безопасности по умолчанию, то современная аутентификация включена, а устаревшая аутентификация заблокирована.

Что касается тайминга, лучше всего проверить.

Чтобы проверить настройки вашей организации, перейдите на https://admin.microsoft.com и выберите Настройки, затем Настройки организации. Нажмите на Современную аутентификацию.

Если настройки безопасности по умолчанию включены, вы увидите этот экран. Больше ничего не нужно делать, чтобы убедиться, что современная аутентификация включена, если вы видите экран ниже.

Если вы видите экран ниже, значит, параметры безопасности по умолчанию не включены. Если все поля ниже “Разрешить доступ к базовым протоколам аутентификации” отмечены, это означает, что базовая аутентификация включена для этих клиентов/приложений/протоколов.

Как отключить наследуемые протоколы аутентификации?

Если вы проверили свои журналы входа в Azure Active Directory и уверены, что ваша организация не использует никакую устаревшую аутентификацию, то вы должны быть готовы отключить устаревшие протоколы аутентификации.

Существует несколько различных способов сделать это. Вы можете отключить их через Админцентр, включить стандарты безопасности или использовать условия доступа.

Вариант 1: Отключить устаревшие протоколы аутентификации в Центре администрирования

Перейдите на https://admin.microsoft.com и выберите Настройки, затем Настройки организации. Щелкните по Современной аутентификации.

Убедитесь, что в поле слева от "Включить современную аутентификацию для Outlook 2013 для Windows и более поздних версий" стоит галочка. Если её нет, поставьте галочку в поле и нажмите "Сохранить".

Затем снимите галочку со всех протоколов под "Разрешить доступ к базовым протоколам аутентификации" и нажмите кнопку "Сохранить" внизу.

Вариант 2: Включите стандартные настройки безопасности в Azure Active Directory

Если у вас есть арендатор, созданный после 21 октября 2019 года, то параметры безопасности включены по умолчанию в Azure.

Если нет, то включение стандартных настроек безопасности следует запланировать, и о нем необходимо заранее уведомить ваших пользователей. Когда вы включаете Стандартные настройки безопасности, пользователи и администраторы должны зарегистрироваться для MFA, используя приложение Microsoft Authenticator, в течение 14 дней, иначе есть риск блокировки доступа к арендаторам. Это также блокирует устаревшие протоколы аутентификации. Таким образом, вы включаете MFA и блокируете устаревшую аутентификацию в одном месте.

Чтобы проверить, включены ли параметры безопасности по умолчанию в вашем арендаторе, войдите в вашу Azure Active Directory, перейдя по адресу https://aad.portal.azure.com, затем щелкните на 'Свойства', а затем 'Управление параметрами безопасности по умолчанию' внизу.

Если установлено значение Да, то это включено для вашего арендатора.

Я бы не включал Безопасные настройки, если вы планируете внедрять или уже имеете политики условного доступа для вашего арендодателя. Также, если вы платите за лицензии Azure Active Directory P1 или P2, то использование политик условного доступа дает вам больше гибкости в ваших политиках безопасности.

Опция 3: Условия доступа

Вы можете использовать политики условного доступа в Azure Active Directory для отключения устаревших протоколов.

Перейдите на https://aad.portal.azure.com и выберите Azure Active Directory. Щелкните на Безопасность, а затем на Условный доступ.

Мы собираемся создать правило для отключения устаревших протоколов аутентификации.

Нажмите на Новую политику и дайте правилу уникальное и легко распознаваемое имя.

Для заданий выберите пользователей и группы, затем включите всех пользователей и исключите тех пользователей, для которых вы не хотите отключать устаревшую аутентификацию.

ВАЖНОЕ ЗАМЕЧАНИЕ: ВСЕГДА исключайте глобального администратора при настройке условий доступа, чтобы не лишить себя доступа к вашему тенанту.

В разделе Условия выберите Клиентские приложения, нажмите Да для Настройки и выберите клиенты Exchange ActiveSync и Другие клиенты в разделе Клиенты с устаревшей аутентификацией.
В разделе Контроль доступа нажмите на Разрешить, затем выберите Блокировать доступ.

Оставьте ваше правило в режиме только отчета, пока не подтвердите, что оно работает так, как должно, а затем переключите его в режим Включено.

Как настроить многофакторную аутентификацию в Office 365

Вы можете включить многофакторную аутентификацию (MFA) для вашего арендатора в Azure Active Directory, активировав стандартные настройки безопасности или с помощью политик условного доступа. Включение MFA для каждого пользователя не рекомендуется.

Вариант 1: Включите MFA в Office 365, используя настройки безопасности по умолчанию.

ВАЖНОЕ ЗАМЕЧАНИЕ: Этот метод включает MFA для всех пользователей.

Как упоминалось выше, вы можете включить стандартные параметры безопасности, чтобы активировать многофакторную аутентификацию (MFA) для вашего арендатора. С этим методом вы не можете исключить никаких пользователей. Все пользователи, независимо от их роли в вашем арендаторе, будут обязаны использовать MFA. Также, если у вас включена многофакторная аутентификация для отдельных пользователей, вы должны выключить ее, прежде чем сможете включить стандартные параметры безопасности.

Чтобы включить стандартные параметры безопасности в вашем арендаторе, войдите в свою службу Azure Active Directory, перейдя по адресу https://aad.portal.azure.com, затем нажмите на Свойства, затем Управление стандартными параметрами безопасности внизу. Переключите включение стандартных параметров безопасности на Да, затем нажмите Сохранить.

Вариант 2: Включите многофакторную аутентификацию в Office 365, используя политику условного доступа

Вы можете использовать политику условного доступа в Azure Active Directory для включения MFA. Это дает вам гораздо большую гибкость в добавлении и исключении пользователей, устройств и приложений.

Политики условного доступа требуют лицензии Azure AD Premium P2.

Вы должны отключить стандартные настройки безопасности и многофакторную аутентификацию для каждого пользователя перед использованием политик условного доступа.

Шаг 1: Перейдите на https://aad.portal.azure.com и выберите Azure Active Directory. Нажмите на Безопасность, затем на Условный доступ.

Мы собираемся создать правило для включения многофакторной аутентификации.

Шаг 2: Нажмите на Новое правило и дайте правилу уникальное и легко идентифицируемое имя. В этом примере я называю правило Включить MFA.

Шаг 3: В разделе Назначения выберите Пользователь и группы, затем выберите Включить и выберите Всех пользователей, чтобы активировать это для всех в вашем клиенте.

Включите MFA для группы Microsoft 365

Вместо того чтобы включать многофакторную аутентификацию для всех пользователей, вы можете включить её для конкретной группы.

Например, я хотел внедрить MFA медленно, чтобы убедиться, что служба поддержки сможет справляться с объемом звонков, поэтому я создал группу Microsoft 365 под названием MFA Enabled. Я добавил в группу пользователей, для которых хотел его активировать. Затем, вместо выбора всех пользователей, я выбрал группу Microsoft 365, которую создал в Azure Active Directory.

Чтобы использовать группу вместо всех пользователей, щелкните по "Выбрать пользователей и группы". Затем нажмите на то место, где указано "0 пользователей и групп выбрано".

Найдите группу, которую вы хотите добавить. В данном случае я добавил группу с включенной MFA. Нажмите 'Выбрать' внизу.

Теперь у меня в списке Microsoft 365 Group вместо Всех Пользователей. MFA будет ВКЛЮЧЕН только для пользователей в этой группе.

Затем нажмите на Исключить и выберите Пользователи и группы. Затем нажмите на надпись, где указано 0 выбранных пользователей и групп. Добавьте пользователей, которых вы хотите исключить из включения MFA. Вы также можете использовать группу Microsoft 365 здесь.

Далее, в разделе Облачные приложения или действия вы можете включить Все облачные приложения или выбрать определенные приложения. В разделе Включить выберите Все облачные приложения.

Затем нажмите на Исключить. Добавьте любые приложения, которые вы хотите исключить из требования MFA, нажав на Ни одно под Выберите исключенные облачные приложения.

Опции условного доступа MFA для Office 365

Условия являются необязательными. Но, если вы захотите, вы можете включить или исключить приложения, местоположение, устройство и операционную систему.

Например, если вы хотите исключить офис, в котором работают ваши пользователи, чтобы им не предлагали многофакторную аутентификацию во время работы, вы можете добавить Именованное Местоположение в подраздел Исключить в Местоположениях.

Вы также можете исключить приложения и платформы, нажав на один из вариантов и настроив параметры.

Как сбросить MFA в Office 365 для пользователя

Иногда пользователю нужен новый телефон, и ему нужно сбросить многократную аутентификацию.

Перейдите на https://aad.portal.azure.com и выберите Пользователи. В верхней части экрана нажмите на MFA для каждого пользователя.

Это откроет страницу многофакторной аутентификации. Найдите своего пользователя в списке и щелкните на пользователя. В этом случае я выберу пользователя 123.

Появляется окно управления настройками пользователей. Нажмите на "Требовать от выбранных пользователей предоставить контактные методы" снова. Нажмите "Сохранить".

Затем попросите пользователя перейти по адресу https://aka.ms/mfasetup, чтобы они снова настроили свою многофакторную аутентификацию.

Надеюсь, вы нашли этот гид полезным. Если у вас есть вопросы или комментарии, оставьте их ниже.