网站搜索

如何在 Microsoft Entra 中设置 MFA 注册活动

Microsoft Entra 中的注册活动是鼓励用户采用更强大的多因素身份验证方法的好方法，有助于改善组织的整体安全状况，并让您顺利实现无密码身份验证。

在本教程中，我将向您展示如何使用 Microsoft Graph PowerShell 在 Microsoft Entra 管理中心中为 Microsoft Authenticator 应用设置注册活动。

登记活动的目的

使用注册活动的目标是提示用户注册 Microsoft Authenticator 应用作为多重身份验证的主要身份验证方法。身份验证器应用程序被认为是最安全的 MFA 方法之一，同时对于最终用户来说可以说是最简单且影响最小的方法。

注册活动完成并且所有目标用户都注册了更安全的身份验证器应用程序方法后，就可以通过用户登录策略禁用语音和短信等安全性较低的方法。

注册活动如何运作

注册活动的工作方式是提示（或推动）用户按计划或每次登录时注册 Microsoft Authenticator 应用，具体取决于您配置的设置。

该活动的目标用户必须已经使用语音或短信等安全性较低的方法注册了多重身份验证。当该用户通过交互式登录提示（例如在 office.com）登录其帐户时，系统将首先要求他们完成现有的 MFA 挑战，然后系统会提示他们“改进您的登录” ins，使用 Microsoft Authenticator 应用更好地保护您的帐户。通过推送通知轻松证明您是谁。”。然后，用户可以选择立即完成此操作，或单击不再并改天注册。

如果用户决定立即注册 Microsoft Authenticator，他们将被重定向到 mysignins.microsoft.com 页面以完成 Authenticator 应用的设置。否则，他们可以在强制注册之前选择最多跳过注册 3 次。

常问问题

这会影响哪些登录？

注册活动仅在通过网络浏览器登录时提示用户注册多重身份验证。客户端应用程序登录期间的交互式浏览器窗口（例如 Outlook）不会受到影响。

用户可以跳过注册提示多少次？

注册提示最多可以跳过 3 次，之后用户将被迫注册 Microsoft Authenticator 应用。

如果我已经使用第三方身份验证器应用怎么办？

如果您尚未注册 Microsoft Authenticator 应用，则无论您是否已在使用第 3 方应用，系统都会提示您注册。

我仍然可以通过条件访问来定位用户安全信息注册吗？

是的，但请记住，如果用户在跳过提示 3 次后被迫注册身份验证器应用程序，并且他们不在允许注册安全信息的安全区域内，则他们将看不到提示。虽然这可能有帮助，但也可能被视为安全绕过。

如果用户关闭浏览器而不是点击“现在不”会怎样？

这被视为与跳过提示相同，并且将计入跳过限制。

如何在 Microsoft Entra 中设置注册活动

请按照以下步骤在 Microsoft Entra 管理中心设置注册活动：

1. 登录Microsoft Entra

2. 在保护下，选择身份验证方法 > 注册活动

3. 单击编辑并配置您所需的设置。我建议您启用注册活动，将允许暂停的天数设置设置为 0，然后定位所有用户，同时排除任何必要的用户。

4. 完成后，单击保存。

如何使用 Microsoft Graph PowerShell 设置注册活动

要使用 Microsoft Graph PowerShell 配置注册活动，您应使用 update-MgBetaPolicyAuthenticationMethodPolicy cmdlet。为此，您需要授予租户范围内对 Policy.ReadWrite.AuthenticationMethod 权限的访问权限，请使用以下命令执行此操作：

Connect-MgGraph -Scopes Policy.ReadWrite.AuthenticationMethod

一旦您的会话获得授权，请使用以下脚本启用注册活动：

$params = @{
	registrationEnforcement = @{
		authenticationMethodsRegistrationCampaign = @{
			snoozeDurationInDays = 1
			state = "enabled"
			excludeTargets = @(
			)
			includeTargets = @(
				@{
					id = "all_users"
					targetType = "group"
					targetedAuthenticationMethod = "microsoftAuthenticator"
				}
			)
		}
	}
	reportSuspiciousActivitySettings = @{
		state = "enabled"
		includeTarget = @{
			targetType = "group"
			id = "all_users"
		}
		voiceReportingCode = 0
	}
}

update-MgBetaPolicyAuthenticationMethodPolicy -BodyParameter $params

运行脚本且没有错误后，请使用 Get-MgBetaPolicyAuthenticationMethodPolicy cmdlet 验证新设置是否已启用：

(Get-MgBetaPolicyAuthenticationMethodPolicy).RegistrationEnforcement.AuthenticationMethodsRegistrationCampaign.state

最终用户体验

启用注册活动后，没有 Microsoft Authenticator 应用程序并进行号码匹配注册的用户将自动收到注册提示。

例如，用户将导航到 office.com（或类似的 Microsoft 365 服务）并继续登录。初始登录后，系统将要求他们完成现有的多重身份验证质询。

完成后，将出现另一个提示，其中包含以下文本：

然后，用户将被带到通常的安全注册页面以注册 Microsoft Authenticator 应用程序。

相关文章