Jak spustit registrační kampaň pro nastavení aplikace Microsoft Authenticator

Během přihlašování můžete uživatele posunout a nastavit Microsoft Authenticator. Uživatelé procházejí běžným přihlášením, provádějí vícefaktorové ověřování jako obvykle a pak se zobrazí výzva k nastavení aplikace Microsoft Authenticator. Můžete zahrnout nebo vyloučit uživatele nebo skupiny, abyste mohli určit, kdo se při nastavování aplikace posune. To umožňuje cílovým kampaním přesouvat uživatele z méně zabezpečených metod ověřování na Authenticator.

Můžete také definovat, kolik dní může uživatel odložit nebo "odložit". Pokud uživatel klepne na Přeskočit, aby odložil nastavení aplikace, po uplynutí doby trvání odloží další pokus vícefaktorového ověřování. Můžete se rozhodnout, jestli uživatel může po neomezenou dobu nebo až třikrát odložit (po které se vyžaduje registrace).

Požadavky

• Vaše organizace musí povolit vícefaktorové ověřování Microsoft Entra. Každá edice Microsoft Entra ID zahrnuje vícefaktorové ověřování Microsoft Entra. Pro kampaň registrace není nutná žádná jiná licence.
• Uživatelé si ještě nemůžou nastavit aplikaci Authenticator pro nabízená oznámení ve svém účtu.
• Správci musí uživatelům povolit aplikaci Authenticator pomocí jedné z těchto zásad:
  • Zásady registrace vícefaktorového ověřování: Uživatelé budou muset povolit oznámení prostřednictvím mobilní aplikace.
  • Zásady metod ověřování: Uživatelé budou muset povolit aplikaci Authenticator a režim ověřování nastavený na Jakýkoli nebo Nasdílení změn. Pokud je zásada nastavená na bez hesla, nebude mít uživatel nárok na posun. Další informace o tom, jak nastavit režim ověřování, naleznete v tématu Povolení přihlašování bez hesla pomocí aplikace Microsoft Authenticator.

Uživatelské prostředí

1. Nejprve je potřeba úspěšně ověřit pomocí vícefaktorového ověřování Microsoft Entra (MFA).

2. Pokud jste povolili nabízená oznámení Authenticatoru a ještě je nemáte nastavená, zobrazí se výzva k nastavení authenticatoru, abyste zlepšili své přihlašovací prostředí.

   Poznámka:

   Další funkce zabezpečení, jako je heslo bez hesla, samoobslužné resetování hesla nebo výchozí nastavení zabezpečení, můžou také zobrazit výzvu k nastavení.

   

3. Klepněte na Další a projděte si nastavení aplikace Authenticator.

4. Nejdřív si stáhněte aplikaci.

   

   1. Podívejte se, jak nastavit aplikaci Authenticator.

      

   2. Naskenujte kód QR.

      

   3. Ověřte svou identitu.

      

   4. Schválení testovacího oznámení na vašem zařízení

      

   5. Aplikace Authenticator je teď úspěšně nastavená.

      

5. Pokud nechcete aplikaci Authenticator nainstalovat, můžete klepnutím na Přeskočit tuto výzvu odložit až na 14 dní, kterou může nastavit správce. Uživatelé s bezplatným a zkušebním předplatným můžou výzvu třikrát odložit.

   

Povolení zásad registrační kampaně pomocí Centra pro správu Microsoft Entra

Pokud chcete povolit registrační kampaň v Centru pro správu Microsoft Entra, proveďte následující kroky:

1. Přihlaste se do Centra pro správu Microsoft Entra jako alespoň správce zásad ověřování.

2. Přejděte do kampaně Registrace metod>ověřování ochrany>a klikněte na Upravit.

3. Pro stav:

   • Výběrem možnosti Povoleno povolíte registrační kampaň pro všechny uživatele.
   • Pokud chcete povolit registrační kampaň jenom pro uživatele hlasových hovorů nebo textových zpráv, vyberte Microsoft. Nastavení spravované Microsoftem umožňuje Microsoftu nastavit výchozí hodnotu. Další informace naleznete v tématu Ochrana metod ověřování v Microsoft Entra ID.

   Pokud je stav registrační kampaně nastavený na povolenou nebo spravovanou službou Microsoft, můžete prostředí pro koncové uživatele nakonfigurovat pomocí omezeného počtu snoozů:

   • Pokud je povolený omezený počet snoozů , můžou uživatelé přeskočit výzvu přerušení 3krát, po které budou nuceni zaregistrovat Authenticator.
   • Pokud je omezený počet snoozů je zakázán, uživatelé mohou odložit neomezený početkrát a vyhnout se registraci authenticatoru.

   Dny povolené odložit nastaví období mezi dvěma po sobě jdoucími výzvami k přerušení. Pokud je například nastavená na 3 dny, uživatelé, kteří registraci přeskočili, se znovu nezobrazí výzva až po 3 dnech.

   

4. Vyberte všechny uživatele nebo skupiny, které chcete vyloučit z registrační kampaně, a klikněte na tlačítko Uložit.

Povolení zásad registrační kampaně pomocí Graph Exploreru

Kromě používání Centra pro správu Microsoft Entra můžete také povolit zásady registrační kampaně pomocí Graph Exploreru. Pokud chcete povolit zásady registrační kampaně, musíte použít zásady metod ověřování pomocí rozhraní Graph API. Ti, kteří mají přiřazenou alespoň roli Správce zásad ověřování, mohou zásadu aktualizovat.

Konfigurace zásad pomocí Graph Exploreru:

1. Přihlaste se k Graph Exploreru a ujistěte se, že souhlasíte s oprávněními Policy.Read.All a Policy.ReadWrite.AuthenticationMethod .

   Otevření panelu Oprávnění:

   

2. Načtěte zásady metod ověřování:

   GET https://graph.microsoft.com/v1.0/policies/authenticationmethodspolicy
   

3. Aktualizujte část zásad registrationEnforcement a authenticationMethodsRegistrationCampaign, aby se povolilo posunutí uživatele nebo skupiny.

   

   Pokud chcete zásadu aktualizovat, proveďte patch pro zásady metod ověřování pouze s aktualizovanou částí registrationEnforcement:

   PATCH https://graph.microsoft.com/v1.0/policies/authenticationmethodspolicy
   

Následující tabulka uvádí vlastnosti authenticationMethodsRegistrationCampaign .

Následující tabulka obsahuje vlastnostiTargets .

V následující tabulce jsou uvedeny vlastnosti excludeTargets .

Příklady

Tady je několik ukázkových sítí JSON, které můžete použít k zahájení práce.

• Zahrnout všechny uživatele

  Pokud chcete do svého tenanta zahrnout všechny uživatele, aktualizujte následující příklad JSON příslušnými identifikátory GUID uživatelů a skupin. Potom ho vložte do Graph Exploreru a spusťte PATCH ho na koncovém bodu.

  {
  "registrationEnforcement": {
          "authenticationMethodsRegistrationCampaign": {
              "snoozeDurationInDays": 1,
              "enforceRegistrationAfterAllowedSnoozes": true,
              "state": "enabled",
              "excludeTargets": [],
              "includeTargets": [
                  {
                      "id": "all_users",
                      "targetType": "group",
                      "targetedAuthenticationMethod": "microsoftAuthenticator"
                  }
              ]
          }
      }
  }
  

• Zahrnout konkrétní uživatele nebo skupiny uživatelů

  Pokud chcete do tenanta zahrnout určité uživatele nebo skupiny, aktualizujte následující příklad JSON příslušnými identifikátory GUID uživatelů a skupin. Pak vložte JSON v Graph Exploreru a spusťte PATCH ho na koncovém bodu.

  {
  "registrationEnforcement": {
        "authenticationMethodsRegistrationCampaign": {
            "snoozeDurationInDays": 1,
            "enforceRegistrationAfterAllowedSnoozes": true,
            "state": "enabled",
            "excludeTargets": [],
            "includeTargets": [
                {
                    "id": "*********PLEASE ENTER GUID***********",
                    "targetType": "group",
                    "targetedAuthenticationMethod": "microsoftAuthenticator"
                },
                {
                    "id": "*********PLEASE ENTER GUID***********",
                    "targetType": "user",
                    "targetedAuthenticationMethod": "microsoftAuthenticator"
                }
            ]
        }
    }
  }  
  

• Zahrnutí a vyloučení konkrétních uživatelů nebo skupin

  Pokud chcete zahrnout a vyloučit určité uživatele nebo skupiny ve vašem tenantovi, aktualizujte následující příklad JSON příslušnými identifikátory GUID uživatelů a skupin. Potom ho vložte do Graph Exploreru a spusťte PATCH ho na koncovém bodu.

  {
  "registrationEnforcement": {
          "authenticationMethodsRegistrationCampaign": {
              "snoozeDurationInDays": 1,
              "enforceRegistrationAfterAllowedSnoozes": true,
              "state": "enabled",
              "excludeTargets": [
                  {
                      "id": "*********PLEASE ENTER GUID***********",
                      "targetType": "group"
                  },
                {
                      "id": "*********PLEASE ENTER GUID***********",
                      "targetType": "user"
                  }
              ],
              "includeTargets": [
                  {
                      "id": "*********PLEASE ENTER GUID***********",
                      "targetType": "group",
                      "targetedAuthenticationMethod": "microsoftAuthenticator"
                  },
                  {
                      "id": "*********PLEASE ENTER GUID***********",
                      "targetType": "user",
                      "targetedAuthenticationMethod": "microsoftAuthenticator"
                  }
              ]
          }
      }
  }
  

Identifikace identifikátorů GUID uživatelů, které se mají vložit do sítí JSONs

1. Přihlaste se do Centra pro správu Microsoft Entra jako alespoň správce zásad ověřování.

2. V okně Spravovat klepněte na Uživatelé.

3. Na stránce Uživatelé určete konkrétního uživatele, kterého chcete cílit.

4. Když klepnete na konkrétního uživatele, zobrazí se JEHO ID objektu, což je identifikátor GUID uživatele.

   

Identifikace identifikátorů GUID skupin, které se mají vložit do sítí JSONs

1. Přihlaste se do Centra pro správu Microsoft Entra jako alespoň správce zásad ověřování.

2. V okně Spravovat klepněte na Skupiny.

3. Na stránce Skupiny určete konkrétní skupinu, na kterou chcete cílit.

4. Klepněte na skupinu a získejte ID objektu.

   

Omezení

Posun se nezobrazí na mobilních zařízeních, na kterých běží Android nebo iOS.

Nejčastější dotazy

Je registrační kampaň dostupná pro MFA Server?

Ne, registrační kampaň je k dispozici pouze pro uživatele používající vícefaktorové ověřování Microsoft Entra.

Můžou být uživatelé posunuti v rámci aplikace?

Ano, v určitých aplikacích podporujeme vložená zobrazení prohlížeče. Neposouvejte uživatele v prostředích mimo okno ani v zobrazeních prohlížeče vložených v nastaveních Windows.

Můžou být uživatelé na mobilním zařízení posunuti?

Registrační kampaň není dostupná na mobilních zařízeních.

Jak dlouho kampaň běží?

Kampaň můžete povolit tak dlouho, jak chcete. Kdykoli chcete kampaň spustit, zakažte kampaň pomocí Centra pro správu nebo rozhraní API.

Může mít každá skupina uživatelů jinou dobu odsunutí?

Ne. Doba trvání výzvy je nastavení pro celou tenanta a vztahuje se na všechny skupiny v oboru.

Můžou být uživatelé nahánění, aby si mohli nastavit přihlášení k telefonu bez hesla?

Cílem této funkce je umožnit správcům, aby si uživatelé nastavili vícefaktorové ověřování pomocí aplikace Authenticator, a ne přihlašování přes telefon bez hesla.

Uvidí uživatel, který se přihlásí pomocí ověřovací aplikace třetí strany, posun?

Ano. Pokud má uživatel povolenou registrační kampaň a nemá nastavenou aplikaci Microsoft Authenticator pro nabízená oznámení, uživatel se posune, aby nastavil Authenticator.

Uvidí uživatel, který má aplikaci Authenticator nastavenou jenom pro kódy TOTP, posun?

Ano. Pokud je pro kampaň registrace povolený uživatel a aplikace Authenticator není nastavená pro nabízená oznámení, uživatel se posune a nastaví nabízené oznámení pomocí Authenticatoru.

Pokud uživatel právě prošel registrací vícefaktorového ověřování, posune se do stejné přihlašovací relace?

Ne. Aby bylo možné zajistit dobré uživatelské prostředí, nebudou uživatelé naháněni, aby nastavili Authenticator ve stejné relaci, ve které zaregistrovali jiné metody ověřování.

Můžu uživatele posunout, aby si zaregistrovali jinou metodu ověřování?

Ne. Cílem této funkce je prozatím posunout uživatele tak, aby nastavili jenom aplikaci Authenticator.

Existuje způsob, jak skrýt možnost snooze a vynutit, aby moji uživatelé nastavili aplikaci Authenticator?

Nastavte omezený počet snoozů na Povoleno tak, aby uživatelé mohli odložit nastavení aplikace až třikrát, po kterém se vyžaduje nastavení.

Budu moct uživatele posunout, pokud nepoužívám vícefaktorové ověřování Microsoft Entra?

Ne. Posun funguje jenom pro uživatele, kteří vícefaktorové ověřování používají vícefaktorovou službu Microsoft Entra.

Budou uživatelé typu host/B2B v mém tenantovi nahánění?

Ano. Pokud byly vymezeny na posun pomocí zásad.

Co když uživatel zavře prohlížeč?

Je to stejné jako snoozování. Pokud se nastavení vyžaduje pro uživatele, jakmile se třikrát zoozí, zobrazí se uživateli výzva při příštím přihlášení.

Proč se některým uživatelům nezobrazuje posun, když existují zásady podmíněného přístupu pro registraci informací o zabezpečení?

Posun se nezobrazí, pokud je uživatel v oboru zásad podmíněného přístupu, která blokuje přístup na stránku Registrovat informace o zabezpečení.

Zobrazují se uživatelům při přihlašování obrazovka s podmínkami použití (ToU)?

Posun se nezobrazí, pokud se uživateli během přihlašování zobrazí obrazovka s podmínkami použití (ToU ).

Zobrazují se uživatelům posun, když jsou pro přihlášení použitelné vlastní ovládací prvky podmíněného přístupu?

Posun se nezobrazí, pokud se uživatel během přihlašování přesměruje kvůli nastavení vlastních ovládacích prvků podmíněného přístupu.

Existují nějaké plány, jak ukončit sms a hlas jako metody použitelné pro vícefaktorové ověřování?

Ne, takové plány neexistují.

Další kroky

Povolení bezheslového přihlašování pomocí aplikace Microsoft Authenticator