Поиск по сайту:

Как сбросить MFA в Office 365

Включение MFA в вашем арендаторе Microsoft 365 важно для защиты вашей среды, но это иногда может вызывать определенные трудности. Когда пользователь забывает свой пароль, вы можете просто сбросить его, но что делать, если они больше не могут получить доступ к своему устройству MFA?

Когда пользователь теряет свой мобильный телефон или сбрасывает его до активации Microsoft Authenticator на новом устройстве, он больше не может войти в систему. Единственный вариант в этом случае - сбросить MFA в Office 365. Это позволяет пользователю перенастроить многофакторную аутентификацию.

В этой статье я покажу, как сбросить MFA для пользователя в Office 365.

Сброс MFA в Microsoft Office 365

Сброс многофакторной аутентификации пользователя всегда следует производить осторожно. Убедитесь, что вы действительно имеете дело с правильным человеком, прежде чем сбрасывать или удалять многофакторную аутентификацию.

Самый простой способ сбросить многофакторную аутентификацию - использовать Microsoft Entra. Здесь мы можем использовать функцию требовать повторную регистрацию многофакторной аутентификации. Это деактивирует аппаратные токены OATH пользователя и удаляет номера телефонов, приложение Microsoft Authenticator и программные токены OATH. Пользователь может настроить новый метод аутентификации MFA после следующего входа.

Мы также можем достичь тех же результатов с помощью PowerShell, что я также покажу ниже. Сначала давайте рассмотрим метод Microsoft Entra:

Сброс MFA пользователя в Microsoft Entra

  1. Откройте центр администрирования Microsoft Entra
  2. Разверните Идентичность > Пользователи и выберите Всех пользователей
  3. Нажмите на пользователя в вопросе

  1. Откройте Методы аутентификации
  2. Нажмите на Требовать повторной регистрации многократной аутентификации
  3. Нажмите Ок, чтобы подтвердить удаление токенов OATH

Когда пользователь войдет в систему в следующий раз, он получит уведомление о том, что требуется больше информации, что позволит ему снова настроить MFA на своем телефоне.

Использование PowerShell для сброса MFA

Мы также можем использовать PowerShell для сброса методов MFA у пользователя. Теперь это не так просто, как использовать метод Microsoft Entra. Чтобы сбросить MFA, нам нужно удалить каждый метод аутентификации пользователя.

Чтобы получить все зарегистрированные методы, мы можем использовать командлет Microsoft Graph Get-MgUserAuthenticationMethod. Это вернет все методы, которые зарегистрировал пользователь. Затем мы можем удалить каждый из этих методов с помощью соответствующего командлета Remove-MgUserAuthentication....Method.

Однако сложность заключается в том, что мы можем удалить метод по умолчанию только в том случае, если это последний зарегистрированный метод. Поэтому скрипт должен уметь определять, какой метод является методом по умолчанию, и удалять его последним.

Теперь я люблю писать сценарии PowerShell, но в данном случае Мерилл Фернандо уже создал идеальный сценарий для этой задачи. Я только добавил привязки командлета, чтобы мы могли запускать сценарий из командной строки и нужно только предоставить userprincipalname.

Заключение

Восстановление методов многофакторной аутентификации пользователя лучше всего выполнять в Центре администрирования Microsoft Entra. Вам просто нужно найти пользователя, и вы можете сбросить методы одним щелчком мыши. Однако метод PowerShell также хорош, когда необходимо сбросить его для нескольких пользователей.

Вы можете легко расширить скрипт, чтобы получить несколько пользователей и пройтись по каждому из них, чтобы сбросить методы MFA.

Надеюсь, вам понравилась эта статья. Если у вас есть какие-либо вопросы, просто оставьте комментарий ниже.