Emergency Access Account: บัญชีกู้ระบบเมื่อผู้ดูแลเข้าไม่ได้

สร้าง Emergency Access Account สองบัญชีบน Microsoft 365 ใช้ passkey FIDO2 ผ่าน MFA ที่ถูกบังคับ ยกเว้นจาก Conditional Access เก็บกุญแจแยกที่ แจ้งเตือนเมื่อใช้

โดย ทีมงาน THAI DATA CLOUD13 พ.ย. 2569 10:24 น. อ่าน 12 นาที

แชร์Facebook X LINE LinkedIn

Emergency Access Account — Emergency Access Account: บัญชีกู้ระบบเมื่อผู้ดูแลเข้าไม่ได้ — Emergency Access Account: บัญชีกู้ระบบเมื่อผู้ดูแลเข้าไม่ได้

คำตอบสั้น ๆ: สร้าง Emergency Access Account สองบัญชีบน Microsoft 365 ใช้ passkey FIDO2 ผ่าน MFA ที่ถูกบังคับ ยกเว้นจาก Conditional Access เก็บกุญแจแยกที่ แจ้งเตือนเมื่อใช้

คู่มือนี้อธิบาย Emergency Access Account ทีละขั้นตอน พร้อมคำสั่งที่ใช้ได้จริงและปัญหาที่พบบ่อย

Emergency Access Account หรือบัญชี break-glass คือบัญชี Global Administrator แบบ cloud-only ที่สร้างไว้ใช้เฉพาะตอนผู้ดูแลทุกคนเข้าระบบไม่ได้ เช่น บริการ MFA ล่ม ตั้ง Conditional Access ผิดจนล็อกทุกคนออก หรือผู้ดูแลคนสุดท้ายลาออกแล้วบัญชีถูกปิด Microsoft แนะนำให้ทุก tenant มี Emergency Access Account อย่างน้อยสองบัญชี และไม่ผูกบัญชีเหล่านี้กับพนักงานคนใด

คู่มือนี้เหมาะกับผู้ดูแล Microsoft 365 ที่ยังไม่มีบัญชีกู้ระบบ หรือมีอยู่แต่ยังใช้รหัสผ่านอย่างเดียวและยกเว้นจาก MFA ไว้ ซึ่งใช้ไม่ได้แล้วหลัง Microsoft บังคับ MFA สำหรับศูนย์จัดการ เมื่อทำครบ คุณจะมี Emergency Access Account สองบัญชีที่ใช้ passkey (FIDO2) ถูกยกเว้นจาก Conditional Access อย่างถูกวิธี เก็บกุญแจไว้คนละที่ มีการแจ้งเตือนเมื่อถูกใช้ และมีรอบซ้อมทุก 90 วัน

สิ่งที่ต้องเตรียม

บัญชีที่เป็น Global Administrator และผู้ที่มีบทบาท Privileged Authentication Administrator สำหรับออก Temporary Access Pass ให้บัญชีผู้ดูแล
security key แบบ FIDO2 อย่างน้อยหนึ่งชิ้นต่อบัญชี แนะนำให้มีชิ้นสำรองที่ลงทะเบียนไว้ด้วย
ที่เก็บที่ปลอดภัยสองแห่งแยกกัน เช่น ตู้เซฟกันไฟที่สำนักงานและที่สาขาหรือธนาคาร
ไม่ต้องมีไลเซนส์ให้ Emergency Access Account แต่การยกเว้นจาก Conditional Access ต้องมี Microsoft Entra ID P1 ขึ้นไป ส่วนการแจ้งเตือนอัตโนมัติด้วย Azure Monitor ต้องมี Azure subscription และ Log Analytics workspace ซึ่งคิดค่าใช้จ่ายตามปริมาณข้อมูล

แผนภาพ Emergency Access Account สองบัญชี ใช้ security key คนละชุดจากเซฟคนละที่ ล็อกอิน Entra ID และแจ้งเตือนผ่าน Azure Monitor — สองบัญชี สองกุญแจ สองสถานที่ และทุกการล็อกอินต้องมีคนรู้

ขั้นตอนที่ 1: สร้าง Emergency Access Account สองบัญชี

ใน Microsoft Entra admin center ไปที่ Entra ID > Users > New user > Create new user
ตั้ง User principal name บนโดเมน onmicrosoft.com เช่น [email protected] และ [email protected] Microsoft แนะนำโดเมนนี้เพราะไม่พึ่ง DNS หรือระบบ federation ของบริษัท ชื่อไม่ควรบอกชัดว่าเป็นบัญชีสิทธิ์สูง
ใช้รหัสผ่านยาวที่สุ่มขึ้น เก็บแยกจาก security key
มอบบทบาท Global Administrator แบบถาวร ถ้าองค์กรใช้ Privileged Identity Management ต้องตั้งเป็น active permanent ไม่ใช่ eligible เพราะตอนฉุกเฉินอาจไม่มีใครอนุมัติการ activate
ตรวจว่ารหัสผ่านไม่หมดอายุ ที่ Microsoft 365 admin center Settings > Org settings > Security & privacy > Password expiration policy

Emergency Access Account ต้องเป็นบัญชีที่สร้างใน cloud ไม่ซิงก์จาก Active Directory ในบริษัท เพราะถ้าเซิร์ฟเวอร์ในบริษัทมีปัญหาหรือถูกโจมตี บัญชีกู้ระบบต้องยังใช้ได้

ขั้นตอนที่ 2: เปิด passkey (FIDO2) และลงทะเบียน security key

Microsoft บังคับ MFA สำหรับการเข้า Azure portal, Microsoft Entra admin center, Intune admin center และ Microsoft 365 admin center และระบุชัดว่า Emergency Access Account ก็ต้องผ่าน MFA ด้วย วิธีที่ Microsoft แนะนำคือ passkey (FIDO2) หรือ certificate-based authentication ถ้าองค์กรมี PKI อยู่แล้ว

ไปที่ Entra ID > Authentication methods > Policies เลือก Passkey (FIDO2) เปิด Enable และให้ครอบคลุมกลุ่มที่มี Emergency Access Account แล้ว Save
บัญชีใหม่ยังไม่มีวิธี MFA ใด ให้ผู้ที่เป็น Privileged Authentication Administrator ออก Temporary Access Pass ที่ Entra ID > Users > เลือกบัญชี > Authentication methods > Add authentication method
บนเครื่องที่ปลอดภัย เปิด https://mysignins.microsoft.com/security-info ล็อกอินด้วย TAP คลิก Add sign-in method เลือก passkey บน security key แล้วทำตามขั้นตอน ลงทะเบียนชิ้นสำรองต่อในรอบเดียวกัน
ลบวิธีอื่นที่ผูกกับคน เช่น เบอร์มือถือหรือ Microsoft Authenticator ในเครื่องส่วนตัว และอย่าลงทะเบียน SSPR กับข้อมูลส่วนตัวของใคร

วิธียืนยันของ Emergency Access Account ควรต่างจากของผู้ดูแลปกติ ถ้าผู้ดูแลใช้ Authenticator ให้บัญชีกู้ระบบใช้ security key เพื่อไม่ให้ล่มพร้อมกันด้วยสาเหตุเดียว

ขั้นตอนที่ 3: ยกเว้นจาก Conditional Access ที่บล็อกหรือจำกัดการล็อกอิน

สร้าง security group ชื่อ EmergencyAccess แบบ Assigned ไม่ใช่ dynamic ใส่ Emergency Access Account ทั้งสองบัญชี จากนั้นเปิด Entra ID > Conditional Access > Policies แล้วแก้ทุกนโยบายที่บล็อกหรือจำกัดการล็อกอิน ที่ Users > Exclude เลือก Users and groups แล้วเพิ่มกลุ่มนี้ นโยบายแบบ Report-only ไม่ต้องยกเว้น เพราะไม่ได้บล็อกจริง

การยกเว้นไม่ทำให้บัญชีอ่อนแอลง เพราะ passkey ยังป้องกันอยู่ และ MFA ที่ Microsoft บังคับสำหรับศูนย์จัดการยังมีผลเสมอ องค์กรที่ใช้ Security defaults แทน Conditional Access ยกเว้นผู้ใช้รายบัญชีไม่ได้ บัญชีจะถูกถาม MFA ตามปกติ ซึ่ง passkey ผ่านได้ รายละเอียดการเขียนนโยบายอยู่ใน Conditional Access

หน้าจอจำลองนโยบาย Conditional Access ใน Microsoft Entra admin center ที่ยกเว้นกลุ่ม EmergencyAccess ของ Emergency Access Account — ใช้กลุ่มเดียวยกเว้นทุกนโยบาย และตรวจซ้ำทุกครั้งที่สร้างนโยบายใหม่ (ภาพจำลอง)

ขั้นตอนที่ 4: เก็บ security key และรหัสผ่านให้ถูกที่

เก็บ security key ของ Emergency Access Account แต่ละบัญชีไว้คนละที่ ในตู้เซฟกันไฟที่ต้องใช้สองคนเปิด
เก็บรหัสผ่านและ PIN ของ security key แยกจากตัวกุญแจ เช่น ในซองปิดผนึกที่ผู้บริหารสองคนถือคนละครึ่ง หรือในระบบจัดการรหัสผ่านขององค์กรที่จำกัดคนเข้าถึง
มีสมุดบันทึกว่าใครเปิดตู้ เมื่อไร และเพราะอะไร
เมื่อคนที่รู้รหัสตู้หรือรหัสผ่านลาออก ให้เปลี่ยนรหัสทันที

ขั้นตอนที่ 5: ตั้งการแจ้งเตือนทุกครั้งที่มีการล็อกอิน

Emergency Access Account ไม่ควรถูกใช้เลยนอกจากตอนซ้อมและตอนฉุกเฉินจริง ดังนั้นทุกการล็อกอินต้องมีคนรู้ ถ้ามี Azure subscription ให้ส่ง sign-in logs ไปที่ Log Analytics ที่ Entra ID > Monitoring & health > Diagnostic settings แล้วสร้าง alert rule ใน Azure Monitor แบบ Custom log search ด้วย query นี้ (ใส่ Object ID ของทั้งสองบัญชี) ตั้ง threshold ให้แจ้งเมื่อผลมากกว่า 0 และ severity เป็น 0 - Critical

SigninLogs
| where UserId == "00aa00aa-bb11-cc22-dd33-44ee44ee44ee" or UserId == "11bb11bb-cc22-dd33-ee44-55ff55ff55ff"
| project TimeGenerated, UserPrincipalName, UserId, IPAddress, ResultType, ResultDescription

ถ้ายังไม่มี Azure ให้มีคนเปิด Entra ID > Monitoring & health > Sign-in logs กรองด้วยชื่อ Emergency Access Account ทุกสัปดาห์ เพราะ Microsoft Entra ID Free เก็บ sign-in logs เพียง 7 วัน ส่วน P1 และ P2 เก็บ 30 วัน วิธีอ่าน log อยู่ใน Sign-in Logs

ผลคำสั่ง Get-MgUserAuthenticationMethod ของ Emergency Access Account แสดงรหัสผ่านและ passkey FIDO2 สองชิ้น ไม่มีวิธีที่ผูกกับมือถือ — รันคำสั่งนี้ทุกครั้งที่ซ้อม ถ้าเห็นวิธีอื่นโผล่ขึ้นมาให้ลบและสอบถามที่มา

ขั้นตอนที่ 6: ซ้อมใช้ Emergency Access Account อย่างน้อยทุก 90 วัน

แจ้งทีมที่ดูการแจ้งเตือนก่อนว่าจะซ้อม
เบิก security key ตามขั้นตอนจริง ล็อกอินบนเครื่องที่ปลอดภัย และทำงานผู้ดูแลที่ไม่กระทบระบบหนึ่งอย่าง เช่น เปิดดูรายชื่อ Global Administrator
ยืนยันว่าการแจ้งเตือนส่งถึงคนที่ควรได้รับ
ทบทวนรายชื่อคนที่มีสิทธิ์ใช้ และตรวจว่าไม่มีใครเพิ่มวิธี MFA ที่ผูกกับมือถือส่วนตัว
คืนกุญแจเข้าเซฟ บันทึกผลการซ้อม

นอกจากรอบ 90 วัน ให้ซ้อมทุกครั้งที่ทีม IT มีคนเข้าออก หรือเมื่อ subscription ของ Microsoft เปลี่ยน ขั้นตอนทั้งหมดอ้างอิงจาก Manage emergency access admin accounts ของ Microsoft

รายการตรวจความพร้อมของ Emergency Access Account ทั้งจำนวนบัญชี บทบาท passkey การยกเว้น Conditional Access การแจ้งเตือน และรอบซ้อม — ข้อที่เป็นสีแดงหรือสีเหลืองต้องแก้ก่อนวันที่ต้องใช้บัญชีจริง

ปัญหาที่พบบ่อยเกี่ยวกับ Emergency Access Account

ควรยกเว้น Emergency Access Account จาก MFA หรือไม่?

ไม่ควรและทำไม่ได้แล้ว MFA ที่ Microsoft บังคับสำหรับศูนย์จัดการใช้กับทุกบัญชี รวมถึงบัญชี break-glass Microsoft จึงแนะนำ passkey หรือ certificate-based authentication ซึ่งผ่าน MFA ได้โดยไม่ต้องพึ่งมือถือหรือเครือข่ายโทรศัพท์

ใช้โดเมนของบริษัทแทน onmicrosoft.com ได้หรือไม่?

ทำได้ทางเทคนิค แต่ Microsoft แนะนำ onmicrosoft.com เพราะถ้าโดเมนของบริษัทมีปัญหา เช่น ตั้ง federation ไว้แล้วระบบ federation ล่ม บัญชีบนโดเมนนั้นอาจล็อกอินไม่ได้ ซึ่งเป็นเหตุการณ์ที่ Emergency Access Account ต้องใช้ได้

Emergency Access Account ต้องซื้อไลเซนส์หรือไม่?

ไม่ต้อง บทบาท Global Administrator ไม่ต้องใช้ไลเซนส์ และบัญชีนี้ไม่ควรมีกล่องจดหมายอยู่แล้ว เพราะการรับอีเมลเพิ่มช่องทางให้ถูกฟิชชิง

ได้รับแจ้งเตือนว่ามีการล็อกอินโดยไม่ได้นัดซ้อม ต้องทำอย่างไร?

ถือเป็นเหตุด้านความปลอดภัยทันที ตรวจ IP และกิจกรรมใน log เปลี่ยนรหัสผ่าน เพิกถอน session ตรวจว่า security key ยังอยู่ในเซฟ และดูว่ามีการเปลี่ยนบทบาทหรือนโยบายใดบ้าง ขั้นตอนรับมือบัญชีถูกเจาะอยู่ใน Compromised Account

ถ้าต้องการให้ช่วยตั้ง Emergency Access Account วาง Conditional Access หรือตั้งการแจ้งเตือนการล็อกอิน ติดต่อทีมงาน THAI DATA CLOUD ได้ องค์กรที่ต้องการให้ทีมงานเฝ้าระวังบัญชีผู้ดูแลและเหตุผิดปกติอย่างต่อเนื่อง ดูรายละเอียดได้ที่ Managed Security Services

อ่านเพิ่มเติมเกี่ยวกับ Emergency Access Account

แชร์Facebook X LINE LinkedIn

มีคำถามเรื่องบริการ? ติดต่อทีมงาน