Website-Suche

Aktivieren oder deaktivieren Sie MFA für Benutzer in Azure/Microsoft 365

Sie können den Status der Multi-Faktor-Authentifizierung (MFA) für Benutzer in Ihrem Azure-/Microsoft 365-Mandanten über Azure Portal, Microsoft 365 Admin Center oder PowerShell aktivieren, deaktivieren oder abrufen. In diesem Artikel zeigen wir, wie Sie MFA für Benutzerkonten in AzureAD verwalten und Berichte über den von Ihren Benutzern verwendeten zweiten Faktor erhalten.

Wir gehen davon aus, dass Sie MFA pro Benutzer verwalten und nicht mit den Azure Conditional Access-Richtlinien.

Sie können auf zwei Arten auf eine Webseite mit dem MFA-Status für alle Benutzer zugreifen:

  • Microsoft 365 Admin Center -> Aktive Benutzer -> Multi-Faktor-Authentifizierung.

  • Portal Azure -> Azure AD -> Benutzer -> MFA pro Benutzer

Sie sehen eine Liste aller Benutzer in Ihrem Mandanten und den MFA-Status für jeden von ihnen. Verfügbare MFA-Status sind:

  • Deaktiviert - die Multi-Faktor-Authentifizierung ist deaktiviert (standardmäßig für alle neuen Benutzer);

  • Aktiviert - MFA ist aktiviert, aber ein Benutzer verwendet weiterhin die Standardauthentifizierung, bis er selbst die MFA-Methode auswählt;

  • Erzwungen - ein Benutzer wird gezwungen, bei der nächsten Anmeldung einen zweiten MFA-Faktor zu registrieren.

Sie können MFA für jeden Benutzer mithilfe der Schaltflächen im Bereich Schnellschritte auf der rechten Seite aktivieren, deaktivieren, zurücksetzen oder konfigurieren.

Der Bericht zeigt nicht, ob ein Benutzer die MFA-Einrichtung abgeschlossen hat und welchen zweiten Faktor er ausgewählt hat. Außerdem können Sie den Inhalt der Seite nicht in eine TXT-/CSV-Datei exportieren. Es ist einfacher, PowerShell zum Verwalten der MFA der Benutzer in Microsoft 365 und zum Erstellen von Berichten zu verwenden.

Jetzt können Sie MFA für Azure-Benutzer (Microsoft 365) in PowerShell mithilfe des MSOnline-Moduls oder der Microsoft Graph-API aktivieren/deaktivieren.

Sie können MFA derzeit nicht mit der neuesten Version des AzureAD-Moduls verwalten.

Installieren Sie das MSOnline-Modul (falls erforderlich) und stellen Sie eine Verbindung zu Ihrem Mandanten her:

Install-Module MSOnline
Connect-MsolService

Informationen zum MFA-Status des Benutzers finden Sie unter

StrongAuthenticationMethods

Attribut:

Get-MsolUser -UserPrincipalName t.muller@a-d.onmicrosoft.com | Select-Object UserPrincipalName,StrongAuthenticationMethods

Wenn das StrongAuthenticationMethods-Attribut nicht leer ist, ist MFA für den Benutzer aktiviert. Sie können herausfinden, welche Art von MFA für den Benutzer konfiguriert ist:

(Get-MsolUser -UserPrincipalName t.muller@a-d.onmicrosoft.com). StrongAuthenticationMethods

Der Screenshot unten zeigt, dass der Benutzer die Microsoft Authenticator App als zweiten MFA-Faktor aktiviert hat (PhoneAppNotification -

IsDefault=True

).

Die moderne Microsoft-Authentifizierung ermöglicht vier Arten der Authentifizierung als zweiten Faktor für Benutzer:

  • OneWaySMS - Standard-SMS-Nachricht;

  • TwoWayVoiceMobile - ein Benutzer erhält in einem Telefonanruf ein Einmalpasswort;

  • PhoneAppOTP - ein Benutzer erhält ein Einmalpasswort (6 digitale Zeichen) mithilfe eines Hardware-Tokens oder einer Microsoft Authenticator-App;

  • PhoneAppNotification - Authentifizierung mit der Microsoft Authenticator-App.

So aktivieren Sie MFA für einen Azure-Benutzer:

$st = New-Object -TypeName Microsoft.Online.Administration.StrongAuthenticationRequirement
$st.RelyingParty = "*"
$st.State = "Enabled"
$sta = @($st)
Set-MsolUser -UserPrincipalName t.muller@a-d.onmicrosoft.com -StrongAuthenticationRequirements $sta

So zwingen Sie einen Benutzer, seine aktuelle MFA-Methode zu ändern:

Set-MsolUser -UserPrincipalName t.muller@a-d.onmicrosoft.com -StrongAuthenticationMethods @()

So deaktivieren Sie MFA für einen Benutzer:

Get-MsolUser -UserPrincipalName t.muller@a-d.onmicrosoft.com | Set-MsolUser -StrongAuthenticationRequirements @()

Sie können das folgende PowerShell-Skript verwenden, um den MFA-Status für alle Benutzer in einem Azure-Mandanten abzurufen:

$Report = @()
$AzUsers = Get-MsolUser -All
ForEach ($AzUser in $AzUsers) {
$DefaultMFAMethod = ($AzUser.StrongAuthenticationMethods | ? { $_.IsDefault -eq "True" }).MethodType
$MFAState = $AzUser.StrongAuthenticationRequirements.State
if ($MFAState -eq $null) {$MFAState = "Disabled"}
$objReport = [PSCustomObject]@{
User = $AzUser.UserPrincipalName
MFAState = $MFAState
MFAPhone = $AzUser.StrongAuthenticationUserDetails.PhoneNumber
MFAMethod = $DefaultMFAMethod
}
$Report += $objReport
}
$Report

Sie können den MFA-Bericht in eine CSV-Datei exportieren:

$Report| Export-CSV -NoTypeInformation -Encoding UTF8 c:\Reports\AzureUsersMFAstatus.csv

Oder in eine Out-GridView-Tabelle:

$Report | Out-GridView

Das Skript ist in meinem GitHub-Repository verfügbar: https://github.com/maxbakhub/winposh/blob/main/Azure/GetAzureMFAUsersReport.ps1

Verwandte Artikel