Office 365 MFA 设置：终极指南
这是 Microsoft Office 365 MFA 的完整指南。
多重身份验证 (MFA) 是保护 Microsoft 365 租户的最推荐方法。在本指南中，我将讨论什么是 MFA、什么是旧版身份验证以及什么是现代身份验证。我还将引导您检查您的租户中是否正在使用旧版身份验证以及如何将其关闭。最后，我将逐步引导您了解如何在 Office 365 中设置 MFA。
本指南中的主题：
- 什么是MFA？
- 什么是旧版身份验证？
- 什么是 Microsoft 现代身份验证？
- 我如何知道我的组织是否正在使用旧版身份验证协议？
- 如何检查现代身份验证是否已打开？
- 如何在 Office 365 中设置多重身份验证
- 为 Microsoft 365 组启用 MFA
- 如何为用户重置 MFA？
什么是MFA？
多重身份验证（又名 MFA）允许您通过添加多种身份验证方法来保护用户登录。如今，即使使用复杂的密码，仅使用密码也不是最安全的。对于您使用的任何平台来说，拥有不止一种身份验证方法始终是一个好主意。
为了进一步了解 MFA，让我解释一下旧版身份验证和现代身份验证，以及成功实施 MFA 的重要性。
什么是旧版身份验证？
旧版身份验证通常称为基本身份验证。基本身份验证只是指仅传递用户名和密码进行身份验证的应用程序、客户端或协议。
多年来，基本身份验证一直是大多数应用程序和协议的唯一身份验证形式。在当今世界，这是一个问题，因为这些用户名和密码很容易被泄露。造成这种情况的原因是，许多用户名和密码在发送进行身份验证时并未加密。此外，大多数凭据都存储在使用它们的设备上。这使得窃取凭证变得非常容易。
话虽如此，关闭旧版身份验证协议的努力正在如火如荼地进行。微软敦促组织尽快这样做。为了加快这一进程，Microsoft 已开始在 365 中弃用旧版身份验证协议。我将在本文后面介绍如何检查您的组织是否正在使用这些旧版身份验证协议。
什么是 Microsoft 365 现代身份验证？
现代身份验证，也称为 OAuth 2.0，不仅仅是需要用户名和密码进行身份验证。现代身份验证包含一系列身份验证和授权协议，例如 MFA。虽然许多应用程序仍然需要使用现代身份验证的用户名和密码，但幕后的过程更加安全。
对于现代身份验证，有一个身份提供商和一个服务提供商。对于 Microsoft 365，服务提供商的一个示例是 Microsoft Outlook。 Azure Active Directory 是身份提供者。身份提供商提供身份验证服务。所有这些都称为 Microsoft 身份平台。应用程序不再执行身份验证，而是将其传递给 Microsoft 身份提供商，通过颁发令牌来对用户进行身份验证。然后，这些令牌用于提供用户信息和对应用程序的访问权限。
这是一种更安全的身份验证方法，因为帐户凭据不会传递到应用程序或网站，密码也不会存储在设备上，而是将 cookie、令牌或会话状态存储在设备上。
使用现代身份验证最重要的安全方面之一是使用 MFA 的能力。要使用 MFA，必须启用新式身份验证。为了强制执行 MFA，需要完全阻止旧版身份验证。
我如何知道我的组织是否正在使用旧版身份验证协议？
为了帮助了解您的组织是否正在使用它们，您可以通过几种不同的方式进行检查。
在消息中心查看您的消息。转到 https://admin.microsoft.com/#/MessageCenter 并查找有关基本身份验证摘要的任何消息。 Microsoft 一直在向使用基本身份验证的租户发送电子邮件。
基本身份验证提示
另一种方法是在连接到应用程序或服务器时留意 基本身份验证凭据提示，如下所示。
现代身份验证提示
现代身份验证将使用基于 Web 的凭据框，如下所示：
Azure Active Directory 登录日志
最后，仔细查看您的 Azure Active Directory 登录日志。
转到 https://aad.portal.azure.com/ 登录 Azure AD，然后选择 Azure Active Directory，然后单击“监视”部分下的“登录日志”。选择顶部的“日期”并更改为“最近 7 天”。
然后单击顶部的“添加过滤器”并选择客户端应用程序，然后单击“应用”。
然后单击“客户端应用程序：未选择”并选择“旧版身份验证客户端”下方的所有选项，然后单击“应用”。
如您所见，旧版身份验证协议列表包括自动发现、Exchange ActiveSync、Exchange Online PowerShell、Exchange Web 服务、IMAP、MAPI Over HTTP、脱机通讯簿、其他客户端、Outlook Anywhere、POP、报告 Web 服务、SMTP 和普遍展望。
如果您收到任何结果，则表明您的组织仍在使用旧版身份验证协议。
- 如果您正在使用其中任何一个，那么在所有设备（Windows、Apple 和 Android）上升级到最新版本的 Microsoft Outlook 应用程序可能会解决大多数问题。使用邮件应用添加帐户时，请确保选择 Microsoft 365 作为帐户类型。
- 对于 Exchange Online PowerShell，请确保您使用的是 EXO V2 或 EXO V3 模块。
- 对于 Exchange Web 服务和报告 Web 服务，将应用程序迁移到 Microsoft Graph API。
- 请务必更新所有代码并将使用基本身份验证的第三方应用程序升级为也使用新式身份验证。
Microsoft 正在弃用 Exchange Online 中的基本身份验证，其中包括大多数协议。这是一个缓慢的推出，但如果你的租户还没有发生这种情况，那么很快就会发生并做好准备。这些协议的弃用将于 2022 年 10 月 1 日开始实施。
这是微软的官方文章。
Exchange Online 中的基本身份验证弃用
此外，对于那些使用打印机、扫描仪或使用经过身份验证的 SMTP (SMTP Auth) 的应用程序的用户来说，这最终也将被弃用。考虑设置直接发送或连接器而不是 SMTP 身份验证。我始终建议在从设备发送电子邮件时尽可能使用 TLS。
以下是用于进行此设置的 Microsoft 文章的链接。您将需要使用选项 2 或 3。
如何设置多功能设备或应用程序以使用 Microsoft 365 或 Office 365 发送电子邮件。
如何检查现代身份验证是否已打开？
对于 2017 年 8 月 1 日之前创建的租户，新式身份验证默认处于关闭状态。但是，如果您的租户是在 2019 年 10 月 1 日之后创建的，则默认启用安全默认值。
如果启用安全默认值，则新式身份验证将打开，而旧式身份验证将被阻止。
从时间角度来看，最好检查一下。
要检查组织的设置，请转到 https://admin.microsoft.com 并选择“设置”，然后选择“组织设置”。单击现代身份验证。
如果启用了安全默认值，那么您将看到此屏幕。如果您看到下面的屏幕，则无需执行任何其他操作即可确保现代身份验证已打开。
如果出现以下屏幕，则表示安全默认值未启用。如果选中“允许访问基本身份验证协议”下面的所有框，则意味着为这些客户端/应用程序/协议启用了基本身份验证。
如何禁用旧版身份验证协议？
如果您已检查了 Azure Active Directory 中的登录日志，并且确信您的组织没有使用任何旧版身份验证，那么您应该准备好禁用旧版身份验证协议。
您可以通过几种不同的方法来执行此操作。您可以通过管理中心禁用它们、启用安全默认值或使用条件访问策略。
选项 1：在管理中心禁用旧版身份验证协议
转到 https://admin.microsoft.com 并选择“设置”，然后选择“组织设置”。单击现代身份验证。
确保选中“为 Outlook 2013 for Windows 及更高版本启用新式身份验证”左侧的框。如果没有，请在框中勾选复选标记，然后单击“保存”。
然后在“允许访问基本身份验证协议”下，取消选中所有协议的复选框，然后单击底部的“保存”。
选项 2：在 Azure Active Directory 中启用安全默认值
如果你的租户是在 2019 年 10 月 21 日之后创建的，则默认情况下会在 Azure 中启用安全默认值。
如果没有，则应计划启用安全默认值，并应提前通知您的用户。启用安全默认值后，用户和管理员需要在 14 天内使用 Microsoft Authenticator 应用注册 MFA，否则将面临被租户锁定的风险。它还阻止旧的身份验证协议。因此，您可以一次性关闭 MFA 并阻止旧版身份验证。
要查看租户中是否启用了安全默认值，请转至 https://aad.portal.azure.com 登录到 Azure Active Directory，然后单击“属性”，然后单击底部的“管理安全默认值”。
如果它设置为“是”，则会为您的租户启用它。
如果您计划实施或已经为您的租户制定了条件访问策略，我不会启用安全默认值。此外，如果您支付 Azure Active Directory P1 或 P2 许可证费用，则使用条件访问策略可以让您的安全策略更加灵活。
选项 3：条件访问策略
您可以使用 Azure Active Directory 中的条件访问策略来禁用旧协议。
转到 https://aad.portal.azure.com 并选择 Azure Active Directory。单击安全性，然后单击条件访问。
我们将创建一条规则来禁用旧版身份验证协议。
单击“新建策略”并为该规则指定一个唯一且易于识别的名称。
对于分配，选择用户和组，然后包括所有用户并排除您不想禁用旧版身份验证的任何用户。
重要说明：在设置条件访问策略时始终排除全局管理员，这样您就不会将自己锁定在租户之外。
在“条件”下，选择“客户端应用程序”，单击“是”进行配置，然后在“旧身份验证客户端”下选择“Exchange ActiveSync 客户端”和“其他客户端”。
在“访问控制”下，单击“授予”，然后选择“阻止访问”。
将您的规则保留为“仅报告”，直到您确认其正常工作，然后将其设置为“打开”。
如何在 Office 365 中设置多重身份验证
您可以通过启用安全默认值或使用条件访问策略来为 Azure Active Directory 中的租户启用 MFA。不建议针对每个用户启用 MFA。
选项 1：使用安全默认值在 Office 365 中启用 MFA
重要说明：此方法为所有用户启用 MFA。
如上所述，您可以启用安全默认值来为您的租户启用 MFA。使用此方法，您无法排除任何用户。所有用户，无论其在租户中的角色如何，都将启用 MFA。此外，如果您打开了每用户 MFA，则必须先将其关闭，然后才能启用安全默认值。
要在租户中启用安全默认值，请转至 https://aad.portal.azure.com 登录到 Azure Active Directory，然后单击“属性”，然后单击底部的“管理安全默认值”。将“启用安全默认值”切换为“是”，然后单击“保存”。
选项 2：使用条件访问策略在 Office 365 中启用 MFA
您可以使用 Azure Active Directory 中的条件访问策略来启用 MFA。这使您可以更加灵活地包含和排除用户、设备和应用程序。
条件访问策略需要 Azure AD Premium P2 许可证。
在使用条件访问策略之前，您必须关闭安全默认值和每用户 MFA。
第 1 步：转到 https://aad.portal.azure.com 并选择 Azure Active Directory。单击安全性，然后单击条件访问。
我们将创建一条规则来启用 MFA。
第 2 步：点击“新建策略”并为该规则指定一个唯一且易于识别的名称。在此示例中，我将规则命名为启用 MFA。
第 3 步：在“分配”下，选择“用户和组”，然后选择“包括”并选择“所有用户”以为租户中的每个人启用它。
为 Microsoft 365 组启用 MFA
您可以为特定组启用 MFA，而不是为所有用户启用 MFA。
例如，我想慢慢向用户推出 MFA，以确保帮助台能够处理呼叫量，因此我创建了一个名为“启用 MFA”的 Microsoft 365 组。我将想要启用它的用户添加到组中。然后，我没有选择“所有用户”，而是选择了在 Azure Active Directory 中创建的 Microsoft 365 组。
要使用组而不是所有用户，请单击选择用户和组。然后单击显示“已选择 0 个用户和组”的位置。
搜索您要添加的组。在本例中，我添加了组 MFA Enabled。单击底部的选择。
现在，我列出了 Microsoft 365 组，而不是所有用户。仅对该组中的用户启用 MFA。
接下来，单击“排除”并选择“用户和组”。然后单击显示“已选择 0 个用户和组”的位置。添加您想要从启用 MFA 中排除的用户。您也可以在此处使用 Microsoft 365 组。
重要说明：在设置条件访问策略时始终排除全局管理员，这样您就不会将自己锁定在租户之外。
接下来，在云应用程序或操作下，您可以包含所有云应用程序或选择应用程序。在“包括”下，选择“所有云应用程序”。
然后单击“排除”。通过单击“选择排除的云应用程序”下的“无”，添加您想要从需要 MFA 中排除的任何应用程序。
Office 365 MFA 条件访问选项
条件是可选的。但是，如果您愿意，您可以包含或排除应用程序、位置、设备和操作系统。
例如，如果您想要排除用户所在的办公室，以便他们在工作时不会收到 MFA 提示，您可以在“位置”下的“排除”下添加一个命名位置。
您还可以通过单击任一选项并配置设置来排除应用程序和平台。
如何为用户重置 MFA Office 365
有时，用户拿到新手机后需要重置 MFA。
转到 https://aad.portal.azure.com 并选择“用户”。在屏幕顶部，单击“每用户 MFA”。
这将显示多重身份验证页面。在列表中找到您的用户，然后单击该用户。在本例中，我将选择 123 User。
将出现“管理用户设置”框。单击“要求选定的用户再次提供联系方式”。单击“保存”。
然后让用户转到 https://aka.ms/mfasetup 再次设置 MFA。
我希望您觉得本指南很有用。如果您有疑问或意见，请在下面留言。