คำตอบสั้น ๆ: เปิด MFA ให้ผู้ใช้ Microsoft 365 ทั้งองค์กรด้วย Security defaults หรือ Conditional Access และช่วยผู้ใช้ลงทะเบียนแอป Microsoft Authenticator อย่างถูกขั้นตอน
คู่มือนี้อธิบาย Microsoft 365 ทีละขั้นตอน พร้อมคำสั่งที่ใช้ได้จริงและปัญหาที่พบบ่อย
การยืนยันตัวตนแบบหลายขั้นตอน (Multi-Factor Authentication หรือ MFA) คือการให้ผู้ใช้ยืนยันตัวตนด้วยปัจจัยที่สองนอกจากรหัสผ่าน เช่น การกดอนุมัติในแอป Microsoft Authenticator หรือกรอกรหัสจากแอป แม้รหัสผ่านจะรั่วไหลจากการโดน Phishing ผู้ไม่หวังดีก็ยังเข้าบัญชีไม่ได้ Microsoft ระบุว่า MFA ช่วยป้องกันการโจมตีบัญชีได้เกือบทั้งหมด จึงเป็นการตั้งค่าที่ทุกองค์กรที่ใช้ Microsoft 365 ควรเปิด
ใน Microsoft 365 มีวิธีเปิด MFA หลัก ๆ สามแบบ ได้แก่ Security defaults ซึ่งเหมาะกับองค์กรขนาดเล็กส่วนใหญ่และใช้ได้ทุกแพ็กเกจ, Conditional Access ซึ่งกำหนดเงื่อนไขได้ละเอียดแต่ต้องมีสิทธิ์ใช้งาน Microsoft Entra ID P1 ขึ้นไป (รวมอยู่ใน Microsoft 365 Business Premium และแพ็กเกจ E3/E5) และ Per-user MFA ซึ่งเป็นวิธีแบบเดิม คู่มือนี้เน้นวิธี Security defaults และอธิบายวิธีอื่นโดยสรุป
สิ่งที่ต้องเตรียม
- บัญชีผู้ดูแลที่มีสิทธิ์อย่างน้อย Security Administrator หรือ Conditional Access Administrator (หรือ Global Administrator)
- สมาร์ตโฟนที่ติดตั้งแอป Microsoft Authenticator จาก App Store หรือ Google Play สำหรับผู้ดูแลเองและผู้ใช้ทุกคน
- รายการอุปกรณ์หรือโปรแกรมเก่าที่ยังเชื่อมต่ออีเมลด้วยรหัสผ่านอย่างเดียว เช่น เครื่องสแกนเอกสารที่ส่งอีเมล หรือระบบที่ส่งอีเมลผ่าน SMTP เพราะอาจได้รับผลกระทบ
- แจ้งผู้ใช้ล่วงหน้าว่าจะมีการลงทะเบียน MFA ในการเข้าสู่ระบบครั้งถัดไป
หมายเหตุ: ก่อนเปิดใช้งาน ให้ผู้ดูแลลงทะเบียน MFA ของตนเองให้เสร็จ และควรมีบัญชี Global Administrator สำรองอย่างน้อยหนึ่งบัญชีที่เก็บข้อมูลเข้าสู่ระบบไว้อย่างปลอดภัย เพื่อป้องกันการถูกล็อกออกจากระบบทั้งหมด
ขั้นตอนที่ 1: ตรวจสอบว่าเปิดวิธีใดอยู่แล้ว
Tenant ที่สร้างใหม่ตั้งแต่ปลายปี 2019 เป็นต้นมามักเปิด Security defaults ไว้ตั้งแต่ต้น ส่วน Tenant เก่าอาจยังไม่ได้เปิด ให้ตรวจสอบก่อนตามขั้นตอนที่ 2 และไม่ควรใช้หลายวิธีปนกัน Microsoft แนะนำให้เลือกวิธีเดียว ถ้าองค์กรมี Conditional Access Policy อยู่แล้ว ระบบจะไม่ให้เปิด Security defaults
ขั้นตอนที่ 2: เปิด Security defaults
- เข้าสู่ระบบ Microsoft Entra admin center ด้วยบัญชีผู้ดูแล
- ไปที่ Entra ID (ในบางเวอร์ชันของหน้าจอใช้ชื่อ Identity) แล้วเลือก Overview
- เลือกแท็บ Properties
- คลิก Manage security defaults ที่ด้านล่างของหน้า
- เปลี่ยน Security defaults เป็น Enabled แล้วคลิก Save
เมื่อเปิดแล้ว ระบบจะมีผลดังนี้
- ผู้ใช้ทุกคนต้องลงทะเบียน MFA ด้วย Microsoft Authenticator โดยมีระยะผ่อนผัน 14 วันนับจากการเข้าสู่ระบบแบบ Interactive ครั้งแรกหลังเปิดใช้
- บัญชีที่มีบทบาทผู้ดูแลต้องยืนยัน MFA ทุกครั้งที่เข้าสู่ระบบ
- ผู้ใช้ทั่วไปจะถูกขอ MFA เมื่อระบบประเมินว่าจำเป็น เช่น เข้าจากอุปกรณ์หรือตำแหน่งใหม่
- บล็อกโปรโตคอลแบบ Legacy authentication ที่ไม่รองรับ MFA
ขั้นตอนที่ 3: ผู้ใช้ลงทะเบียน MFA
ผู้ใช้แต่ละคนทำตามขั้นตอนนี้เมื่อเข้าสู่ระบบครั้งถัดไปแล้วเห็นข้อความ More information required หรือเข้าไปลงทะเบียนเองล่วงหน้าที่ https://mysignins.microsoft.com/security-info
- ติดตั้งแอป Microsoft Authenticator บนมือถือ
- ในหน้าคอมพิวเตอร์ คลิก Next ตามขั้นตอนจนเห็น QR Code
- ในแอป Authenticator แตะ + เลือก Work or school account แล้วเลือก Scan QR code
- สแกน QR Code บนหน้าจอคอมพิวเตอร์ แล้วคลิก Next
- ระบบจะส่งคำขอทดสอบไปที่แอป ให้กรอกตัวเลขที่แสดงบนหน้าจอคอมพิวเตอร์ลงในแอป (Number matching) แล้วกดอนุมัติ
แนะนำให้ผู้ใช้เพิ่มวิธีสำรองอีกหนึ่งวิธีที่หน้า Security info เช่น หมายเลขโทรศัพท์ เพื่อใช้เมื่อเปลี่ยนมือถือหรือมือถือหาย
ทางเลือก: Conditional Access
หากองค์กรมีสิทธิ์ Microsoft Entra ID P1 และต้องการควบคุมละเอียดกว่า เช่น ยกเว้น MFA เมื่อใช้งานจากเครือข่ายสำนักงาน หรือบังคับ MFA เฉพาะบางแอป ให้ใช้ Conditional Access แทน โดยต้องปิด Security defaults ก่อน ไปที่ Entra ID > Conditional Access > Policies แล้วเลือก Create new policy from templates ซึ่งมีเทมเพลตอย่าง Require multifactor authentication for all users ให้เลือกใช้ ควรเริ่มจากโหมด Report-only เพื่อดูผลกระทบก่อน และกำหนดให้บัญชีผู้ดูแลฉุกเฉิน (Break-glass account) อยู่ในรายการยกเว้นตามคำแนะนำของ Microsoft