Включение современной или базовой проверки подлинности для Microsoft 365

Современная проверка подлинности включена по умолчанию для всех новых клиентов Microsoft 365/Azure. Этот протокол аутентификации более безопасен, чем устаревшая Базовая аутентификация. Microsoft планирует полностью заблокировать использование базовой аутентификации для всех клиентов Microsoft 365, начиная с 1 октября 2021 года. В этой статье мы рассмотрим, как включить или отключить современную и базовую аутентификацию в Microsoft 365.

Современная аутентификация против базовой аутентификации

В настоящее время Microsoft поддерживает следующие типы аутентификации для Office 365 (Microsoft 365):

• Базовая аутентификация - этот тип аутентификации знаком всем пользователям Windows. Базовая аутентификация выполняется через простое окно безопасности Windows, в котором запрашиваются учетные данные (имя пользователя и пароль) и предлагается сохранить пароль в диспетчере учетных данных Windows. Этот тип аутентификации не поддерживает MFA (многофакторную аутентификацию) и не защищен от атак методом перебора. Приложения хранят и явно используют имя пользователя и пароль для аутентификации.

  

• Современная аутентификация основана на протоколах ADAL (библиотека аутентификации Active Directory) и OAuth 2.0. Приложения не хранят и не используют учетные данные пользователя, а аутентификация основана на ограниченных по времени токенах. Modern Auth поддерживает дополнительные факторы аутентификации, включая MFA. Окно ввода логина и пароля при выполнении современной аутентификации выглядит следующим образом. Он появится при подключении к службам Microsoft 365 или подключению к Azure (включая подключения PowerShell).

  

Вход в систему с базовой аутентификацией в Azure AD

Прежде чем включать современную проверку подлинности и отключать базовую проверку подлинности, проверьте, какие протоколы проверки подлинности используют ваши пользователи и приложения Microsoft 365.

1. Откройте портал Azure;

2. Перейдите в Azure Active Directory -> Журналы входа;

3. Выберите диапазон дат Последний 1 месяц;

4. Добавьте фильтр по полю Клиентское приложение;

5. Выберите все Устаревшие клиенты аутентификации для этого фильтра.

Это позволит вам найти пользователей и приложения, которые все еще используют базовую аутентификацию. Вам необходимо перенести найденные приложения на протокол Modern Auth. В моем случае большая часть событий была связана с родными почтовыми клиентами на смартфонах, их нужно перенести в приложение MS Outlook.

Microsoft автоматически отключает базовую проверку подлинности для клиентов, где она не используется.

Как включить современную проверку подлинности для клиента Microsoft 365?

Вы можете включить современную проверку подлинности через Центр администрирования Microsoft 365.

1. Откройте портал администрирования M365 https://admin.microsoft.com;

2. Откройте «Настройки» -> «Настройки организации» -> Современная аутентификация.

3. Включите параметр Включить современную аутентификацию для Outlook 2013 для Windows и более поздних версий;

4. Сохраните изменения.

Your organization has security defaults enabled, which means modern authentication to ‎Exchange Online‎ is required, and basic authentication connections are blocked. You must turn off security defaults in the ‎Azure‎ portal before you can change any settings here.

Обратите внимание на ряд параметров в разделе Разрешить доступ к базовым протоколам аутентификации. Вот различные приложения, в которых вы можете включить базовую аутентификацию.

• клиент Outlook

• Exchange ActiveSync (EAS)

• Автообнаружение

• IMAP4

• POP3

• SMTP с аутентификацией (пример аутентификации SMTP из telnet)

• Exchange Online PowerShell — (базовая проверка подлинности не поддерживается для современного модуля PowerShell EXOv2)

Отключите базовую аутентификацию для всех приложений и протоколов, которым она точно не нужна.

Если в вашем клиенте Office 365 настроены политики проверки подлинности, вы можете отобразить текущие параметры и протоколы, которым разрешено использовать базовую проверку подлинности. Используйте следующую команду PowerShell:

Get-AuthenticationPolicy

В нашем случае у нас только одна политика, а BasicAuth отключен для всех приложений.

AllowBasicAuthActiveSync : False
AllowBasicAuthAutodiscover : False
AllowBasicAuthImap : False
AllowBasicAuthMapi : False
AllowBasicAuthOfflineAddressBook : False
AllowBasicAuthOutlookService : False
AllowBasicAuthPop : False
AllowBasicAuthReportingWebServices : False
AllowBasicAuthRest : False
AllowBasicAuthRpc : False
AllowBasicAuthSmtp : False
AllowBasicAuthWebServices : False
AllowBasicAuthPowershell : False

В целях безопасности вы можете создать отдельную политику с различными разрешениями базовой аутентификации для определенных протоколов и назначить ее пользователям, использующим устаревшее приложение. В этом примере мы разрешим пользователю подключаться к Exchange Online через удаленный сеанс PowerShell с базовой аутентификацией:

Set-AuthenticationPolicy -Identity "BasicAuth_Allow_PoSh" -AllowBasicAuthPowershell:$true
Set-User -Identity k.muller -AuthenticationPolicy "BasicAuth_Allow_PoSh"

И политика по умолчанию будет блокировать устаревший протокол аутентификации:

New-AuthenticationPolicy -Name "BasicAuth_Block"
Set-OrganizationConfig -DefaultAuthenticationPolicy BasicAuth_Block

Также обратите внимание, что в настройках организации есть еще один параметр OAuth2ClientProfileEnabled, который определяет, включена ли современная аутентификация для клиента:

Get-OrganizationConfig | ft OAuth*

Если

OAuth2ClientProfileEnabled = False

, это означает, что современная аутентификация отключена.

Современная аутентификация в Outlook 365/2019/2016/2013/2010

Обратите внимание на особенности поддержки современной аутентификации в разных версиях Outlook:

• Outlook 2010 и более ранних версий - не поддерживает современную аутентификацию. Если базовая проверка подлинности отключена в настройках клиента, эти версии Outlook не смогут подключаться к почтовым ящикам Exchange Online в Microsoft 365;

• Outlook 2013 - для поддержки OAuth необходимо установить два параметра реестра в ключе HKEY_CURRENT_USER\SOFTWARE\Microsoft\Office\15.0\Common\Identity (

  EnableADAL = 1

  и

  Version = 1

  ;

• Outlook 365, 2019, 2016 - современная проверка подлинности поддерживается по умолчанию. Чтобы всегда сначала использовать Modern Auth, установите

  AlwaysUseMSOAuthForAutoDiscover = 1

  под ключом регистрации HKEY_CURRENT_USER\Software\Microsoft\Exchange (если эта опция не включена, Outlook может постоянно запрашивать пароль для подключения);

Вы можете убедиться, что клиент Outlook использует современную проверку подлинности для подключения к почтовому ящику Office 365. Держать

Ctrl

и щелкните значок Outlook в трее. Убедитесь, что Bearer* указан в

Authn

поле в статусе подключения Outlook. Это означает, что Outlook использует современную аутентификацию.