允许本地密码更改以重置 Microsoft Entra 中的用户风险

处理用户风险可能是一项艰巨的任务，尤其是在用户遍布全球且基于身份的攻击不断增加的今天。组织需要了解他们面临的风险，并实时了解风险对他们的影响。

当然，所有这些都会给您的 IT 或安全团队带来负担，他们必须消除并修复这些风险，因此，通过将部分责任交还给最终用户，我们可以帮助减轻这种负担。

通过使用户能够通过重置其本地密码来补救与其帐户相关的风险，我们可以减轻管理负担并简化整个流程。一般来说，用户在本地重置密码（如果可能）比在云中重置密码过程更容易。

了解在 Microsoft Entra 中重置用户风险

当用户在登录时（称为登录风险）或用户登录后（称为用户风险）执行可疑操作时，Microsoft Entra 中会检测到风险。用户在登录期间或登录后的不同操作会导致不同级别的风险，通常基于用户帐户被盗用的可能性。

根据用户执行的操作或不同操作的组合，风险级别会在 Microsoft Entra 中自动更新。您可以从 Microsoft Entra 管理中心查看风险：

1. 登录 Microsoft Entra
2. 展开保护
3. 选择有风险的活动

从这里您可以看到有风险的用户列表以及相关的风险级别。

当 Microsoft Entra 根据用户执行的操作计算风险时，其中一些风险是实时计算的（当它们发生时），一些是离线计算的（事件发生后），这取决于类型事件的详情，已列于下表中。

登录风险检测

用户风险检测

您应该完成一些重要任务，以有效监控和控制环境中的用户风险。

第 1 点是在创建高风险警报时配置通知电子邮件。高风险用户值得关注，因为它们通常归因于用户受到威胁，应立即通知您的 IT 团队。

第二步是配置用户风险或登录风险策略，该策略可用于根据风险级别阻止访问，或通过自助密码重置机制强制更改密码，为用户提供自动修复的机会。这也是通过条件访问策略控制的。

第三点是确保所有用户都使用强大的方法配置多重身份验证，例如可用于自助密码重置的 Microsoft Authenticator 应用程序。仅从办公门户更改密码并不能消除用户风险。

用于本地密码更改的拓扑

虽然这可能是显而易见的，但值得一提的是，如果您希望用户能够通过在本地重置密码来补救与其帐户相关的风险级别，那么您需要运行身份同步，无论是使用 Microsoft Entra Connect或 Microsoft Entra 云同步。除此之外，您还需要确保使用任一版本的同步工具进行密码哈希同步。

如果您使用的是 Microsoft Entra Connect，则可以使用 PowerShell 通过以下命令检查是否启用了密码哈希同步。

Get-ADSyncAADCompanyFeature

否则，如果您使用 Microsoft Entra Cloud Sync，则可以按照以下步骤从 Microsoft Entra 管理中心检查相同的信息：

1.登录Microsoft Entra管理中心

2. 展开身份 > 混合管理并选择Microsoft Entra Connect。

3. 选择云同步 > 配置，然后选择您的云同步配置。

4. 在概述选项卡上选择属性，您将在此处看到密码哈希同步是启用还是禁用。

在 Microsoft Entra 中启用“允许本地密码更改以重置用户风险”

允许本地密码更改以重置用户风险设置位于 Microsoft Entra 管理中心的身份保护边栏选项卡中，您只需从那里将其打开或关闭即可。请按照以下步骤启用该设置：

1.登录微软Entra

2. 展开保护并选择身份保护。

3. 在设置标题下，选择设置。

4. 选中该框以启用该设置。

使用 Microsoft Graph PowerShell

您还可以使用 Microsoft Graph PowerShell 以编程方式启用此功能。如果您尚未安装 Microsoft Graph PowerShell 模块，请查看我的教程：如何安装 Microsoft Graph PowerShell 模块。

首先，使用必要的权限连接到 Microsoft Graph：policy.readwrite.identityprotection

Connect-MgGraph -scopes policy.readwrite.identityprotection

由于尚无用于此更改的专用 cmdlet，因此我们必须使用包罗万象的 cmdlet Invoke-MgGraphRequest。

$body = @'
{
        "isUserRiskClearedOnPasswordReset": true
}
'@

$uri = 'https://graph.microsoft.com/beta/identityProtection/policy'

Invoke-MgGraphRequest -Uri $uri -Body $body -Method PATCH -ContentType "application/json" 

重置本地密码以重置用户风险级别示例

一旦启用此功能并且您的身份同步拓扑支持密码哈希同步，结果将非常即时。

对于此测试，我有一个名为 Adsync User 2 的用户，我通过在 Microsoft Authenticator 应用中报告错误的 MFA 提示来模拟高风险登录。几分钟后，该用户出现在有风险的登录日志中。

在出现危险登录日志后不久，我返回到用户登录本地的工作站，并通过简单的 CTRL + ALT + 删除和重置密码来重置密码。本本地域控制器上的此日志表明密码已在本地更新。

密码更新并同步到 Microsoft Entra ID 后不久，Adsync User02 的危险登录日志已更改为已修复状态，并且用户在本地更改了密码出现在日志详细信息中。