THAI DATA CLOUD
Manual Microsoft 365

Restricted entities: ปลดบัญชีที่ถูกบล็อกไม่ให้ส่งอีเมลออก

บัญชีส่งอีเมลไม่ได้และเจอ 550 5.1.8 ตรวจหน้า Restricted entities ใน Microsoft Defender หาสาเหตุ ทำบัญชีให้ปลอดภัย ปลดบล็อก และตั้งเพดานกับการแจ้งเตือน

โดย ทีมงาน THAI DATA CLOUD อ่าน 13 นาที

แชร์FacebookXLINELinkedIn
Restricted entities — Restricted entities: ปลดบัญชีที่ถูกบล็อกไม่ให้ส่งอีเมลออก
Restricted entities: ปลดบัญชีที่ถูกบล็อกไม่ให้ส่งอีเมลออก

คำตอบสั้น ๆ: บัญชีส่งอีเมลไม่ได้และเจอ 550 5.1.8 ตรวจหน้า Restricted entities ใน Microsoft Defender หาสาเหตุ ทำบัญชีให้ปลอดภัย ปลดบล็อก และตั้งเพดานกับการแจ้งเตือน

คู่มือนี้อธิบาย Restricted entities ทีละขั้นตอน พร้อมคำสั่งที่ใช้ได้จริงและปัญหาที่พบบ่อย

Restricted entities คือหน้าใน Microsoft Defender portal ที่รวมบัญชีผู้ใช้และ connector ที่ถูก Microsoft 365 ระงับไม่ให้ส่งอีเมลออก เพราะส่งเกินขีดจำกัดของ Exchange Online หรือเกินเพดานที่ตั้งไว้ใน Outbound spam policy ผู้ใช้ที่ถูกจับเข้า Restricted entities ยังรับอีเมลได้ตามปกติ แต่ทุกครั้งที่กดส่งจะได้อีเมลตีกลับข้อความ 550 5.1.8 Access denied, bad outbound sender หน้านี้มีในทุกองค์กรที่ใช้กล่องจดหมาย Exchange Online ไม่ต้องมีไลเซนส์เพิ่ม

คู่มือนี้เขียนให้ผู้ดูแลระบบที่ได้รับแจ้งว่า "ส่งอีเมลไม่ออกทั้งวัน" หรือได้อีเมลแจ้งเตือน User restricted from sending email เมื่อทำครบ คุณจะรู้ว่าบัญชีถูกบล็อกเพราะอะไร ทำให้บัญชีปลอดภัยก่อนปลด ปลดบัญชีออกจาก Restricted entities ทั้งจากพอร์ทัลและ PowerShell และตั้งเพดานกับการแจ้งเตือนให้จับเหตุผิดปกติได้เร็วขึ้นครั้งหน้า

สิ่งที่ต้องเตรียม

  • สิทธิ์: บทบาท Security Administrator หรือสมาชิก role group Organization Management ใน Exchange Online จึงจะปลดบัญชีได้ บทบาท Security Reader และ Global Reader ดูหน้า Restricted entities ได้อย่างเดียว
  • ข้อมูลจากผู้ใช้: อีเมลตีกลับฉบับเต็ม เวลาที่เริ่มส่งไม่ได้ และสิ่งที่ผู้ใช้ทำก่อนหน้า เช่น ส่งอีเมลแจ้งลูกค้าหลายพันราย หรือเพิ่งกดลิงก์แปลก ๆ
  • เข้าใจเพดานการส่ง: กล่องจดหมายหนึ่งส่งได้ไม่เกิน 10,000 ผู้รับต่อ 24 ชั่วโมง ไม่เกิน 30 ฉบับต่อนาที และผู้รับต่อฉบับตั้งได้สูงสุด 1,000 นอกจากนี้ยังมีเพดานระดับองค์กรสำหรับผู้รับภายนอกต่อวันซึ่งขึ้นกับจำนวนไลเซนส์
  • เวลา: หลังปลดแล้ว ข้อจำกัดมักหายภายในหนึ่งชั่วโมง แต่อาจนานได้ถึง 24 ชั่วโมง ควรแจ้งผู้ใช้ตามจริง

ทำไมบัญชีถึงถูกจับเข้า Restricted entities

การส่งอีเมลมากผิดปกติเป็นตัวชี้ที่ชัดที่สุดว่าบัญชีถูกแฮก Microsoft จึงหยุดบัญชีไว้ก่อนเพื่อปกป้องชื่อเสียงของเซิร์ฟเวอร์ส่งอีเมลที่ลูกค้าทุกรายใช้ร่วมกัน เหตุที่พบบ่อยในองค์กรไทยมีสามแบบ

  • บัญชีถูกแฮก แล้วถูกใช้ส่งอีเมลหลอกลวงหรือสแปมจำนวนมาก เป็นสาเหตุหลัก
  • ใช้อีเมลพนักงานส่งจดหมายข่าว ไปหาลูกค้าทีละหลายพันรายจาก Outlook ซึ่งเกินเพดานของกล่องจดหมาย
  • แอปหรือเครื่องพิมพ์ ส่งอีเมลผ่านบัญชีของพนักงานด้วย SMTP AUTH แล้วเกิดวนส่งซ้ำ

นโยบาย Outbound spam แบบ Default ตั้งการกระทำไว้ที่ Restrict the user from sending mail until the following day คือห้ามส่งจนถึงวันถัดไปตามเวลา UTC ส่วนค่า Restrict the user from sending mail ซึ่งเป็นค่าที่ Microsoft แนะนำในระดับ Standard และ Strict จะเพิ่มบัญชีเข้า Restricted entities และห้ามส่งจนกว่าผู้ดูแลจะปลด

ลำดับเหตุการณ์ที่ทำให้บัญชีถูกเพิ่มเข้า Restricted entities ตั้งแต่ส่งอีเมลเกินเพดาน ระบบแจ้งเตือน ผู้ใช้ได้ 550 5.1.8 จนผู้ดูแลปลดบล็อก
ปลดได้เมื่อบัญชีปลอดภัยแล้วเท่านั้น ไม่เช่นนั้นจะถูกบล็อกซ้ำและเสี่ยงโดนจำกัดทั้งองค์กร

ขั้นตอนที่ 1: ยืนยันว่าบัญชีอยู่ใน Restricted entities

ลงชื่อเข้าใช้ https://security.microsoft.com ไปที่ Email & collaboration > Review > Restricted entities หรือเข้าตรงที่ https://security.microsoft.com/restrictedentities หาบัญชีด้วยช่อง Search รายการที่เป็นผู้ใช้จะมีค่า Entity เป็น Mailbox ส่วนค่า Connector คือ connector ขาเข้าขององค์กรที่ถูกระงับ ซึ่งมีขั้นตอนปลดแยกต่างหาก

ถ้าไม่เจอบัญชีในหน้านี้ แต่ผู้ใช้ยังได้ 550 5.1.8 ให้ตรวจว่าเป็นการจำกัดแบบถึงวันถัดไปหรือไม่ ซึ่งจะหายเองเมื่อขึ้นวันใหม่ตามเวลา UTC (07:00 น. ตามเวลาไทย) และถ้าข้อความตีกลับเป็น 550 5.7.705 แปลว่าทั้งองค์กรถูกจำกัด ไม่ใช่บัญชีเดียว ต้องเปิดเคสกับ Microsoft support ความหมายของรหัสตีกลับอื่น ๆ ดูได้ที่ ทำความเข้าใจอีเมลตีกลับและ SMTP Error Code

ขั้นตอนที่ 2: ตรวจว่าบัญชีใน Restricted entities ส่งอะไรออกไป

  1. เปิด Message Trace ค้นอีเมลที่บัญชีนี้ส่งใน 24 ชั่วโมงก่อนถูกบล็อก ดูหัวเรื่อง ผู้รับ และจำนวน ถ้าเป็นอีเมลที่ผู้ใช้ไม่ได้ส่งเอง ให้ถือว่าเป็นบัญชีถูกแฮก
  2. รันการวินิจฉัย Blocked Sender History จาก https://aka.ms/senderhistory ใน Microsoft 365 admin center เพื่อดูประวัติการถูกบล็อกและปลด รวมถึงสถานะ MFA ของผู้ส่ง
  3. ดูในกล่อง Sent Items และ Deleted Items ของผู้ใช้ว่ามีอีเมลแปลก หรือเปล่า คนร้ายมักลบอีเมลที่ส่งออกเพื่อซ่อนร่องรอย

ขั้นตอนที่ 3: ทำให้บัญชีปลอดภัยก่อนปลดจาก Restricted entities

อย่าปลดบัญชีออกจาก Restricted entities ก่อนแก้ต้นเหตุ ถ้าคนร้ายยังเข้าได้ บัญชีจะส่งสแปมต่อและถูกบล็อกซ้ำภายในไม่กี่นาที และองค์กรเสี่ยงถูกจำกัดทั้ง tenant ขั้นต่ำที่ต้องทำคือรีเซ็ตรหัสผ่าน ยกเลิก session ทั้งหมด ลบวิธี MFA ที่ไม่รู้จัก และลบ Inbox rule กับการส่งต่ออีเมลที่คนร้ายตั้งไว้ ขั้นตอนเต็มอยู่ใน Compromised Account: รับมือบัญชีอีเมลถูกแฮกทีละขั้น

ถ้าตรวจแล้วเป็นการส่งโดยตั้งใจ เช่น จดหมายข่าว ให้คุยกับเจ้าของงานเรื่องย้ายไปใช้บริการส่งอีเมลจำนวนมากโดยเฉพาะ ส่วนแอปที่ส่งอีเมลผ่านบัญชีพนักงาน ให้แยกไปใช้บัญชีหรือวิธีส่งเฉพาะตามคู่มือ SMTP AUTH: ให้แอปและเครื่องพิมพ์ส่งอีเมลผ่าน Microsoft 365

ขั้นตอนที่ 4: ปลดบัญชีออกจาก Restricted entities ในพอร์ทัล

  1. ในหน้า Restricted entities ติ๊กช่องหน้าบัญชีที่ต้องการ แล้วคลิก Unblock
  2. flyout Unblock user จะเปิดหน้า Overview อ่านรายละเอียดและส่วน Recommendations แล้วคลิก Next
  3. หน้า Unblock user มีลิงก์ Enable MFA และ Reset the user's password ถ้ายังไม่ได้ทำในขั้นตอนที่ 3 ให้ทำตอนนี้ แล้วคลิก Submit
  4. กล่องยืนยันจะเตือนว่ากำลังยกเลิกข้อจำกัดการส่ง คลิก Yes เมื่อแน่ใจว่าบัญชีปลอดภัยแล้ว

หลังปลดจาก Restricted entities ให้ผู้ใช้ลองส่งอีเมลเมื่อผ่านไปประมาณหนึ่งชั่วโมง ถ้าครบ 24 ชั่วโมงแล้วยังส่งไม่ได้ ให้ตรวจซ้ำว่าบัญชีไม่ได้ถูกบล็อกรอบใหม่ แล้วจึงติดต่อ Microsoft support

หน้าจอจำลอง Restricted entities ใน Microsoft Defender แสดงกล่องจดหมายที่ถูกจำกัดการส่งอีเมลพร้อมปุ่ม Unblock
ติ๊กเลือกบัญชีแล้วคลิก Unblock ระบบจะพาผ่านหน้า Overview และคำแนะนำก่อนยืนยัน (ภาพจำลอง)

ขั้นตอนที่ 5: ปลดและตรวจ Restricted entities ด้วย Exchange Online PowerShell

เหมาะกับกรณีที่ต้องดูรายการ Restricted entities ทั้งหมด หรือปลดหลายบัญชีต่อกัน

Connect-ExchangeOnline -UserPrincipalName [email protected]
Get-BlockedSenderAddress
Get-BlockedSenderAddress -SenderAddress [email protected] | Format-List
Remove-BlockedSenderAddress -SenderAddress [email protected]

สำหรับกล่องจดหมายบน Exchange Online ค่าที่ใช้คือ User principal name ของบัญชี ซึ่งอาจไม่ตรงกับที่อยู่อีเมลหลัก ถ้ารันแล้วหาไม่เจอ ให้ตรวจ UPN ใน Microsoft 365 admin center ก่อน

ผลคำสั่ง Exchange Online PowerShell ตั้งเพดานผู้รับใน Outbound spam policy ตามค่า Standard และปลดบัญชีออกจาก Restricted entities
ค่า 0 ในเพดานแต่ละช่องหมายถึงใช้เพดานของระบบ การกำหนดเองช่วยหยุดบัญชีที่ถูกแฮกได้เร็วขึ้น

ขั้นตอนที่ 6: ตั้งเพดานและการแจ้งเตือนให้จับเหตุได้เร็วขึ้น

ไปที่ Email & collaboration > Policies & rules > Alert policy เปิดนโยบาย User restricted from sending email ตรวจว่าสถานะเปิดอยู่ และเพิ่มผู้รับในส่วน Email recipients เช่น อีเมลกลางของทีมไอที เพราะค่าเริ่มต้นแจ้งเฉพาะ Global Administrator นโยบาย Email sending limit exceeded และ Suspicious email sending patterns detected ก็ควรส่งถึงทีมเดียวกัน การแจ้งเตือนนี้ต้องเปิด Audit log ไว้ ซึ่งเปิดเป็นค่าเริ่มต้น

จากนั้นไปที่ Threat policies > Anti-spam เปิด Anti-spam outbound policy (Default) แล้วคลิก Edit ในส่วน Protection settings ค่าเริ่มต้นของเพดานทั้งสามช่องคือ 0 ซึ่งหมายถึงใช้เพดานของระบบ ถ้าต้องการให้ระบบส่งบัญชีที่ผิดปกติเข้า Restricted entities เร็วขึ้น ให้ใส่ค่าที่ต่ำกว่า และเลือกการกระทำเป็น Restrict the user from sending mail เพื่อให้ผู้ดูแลต้องตรวจก่อนปลดทุกครั้ง ถ้ามีฝ่ายที่ต้องส่งมากจริง ให้สร้างนโยบายแยกสำหรับกลุ่มนั้น

Set-HostedOutboundSpamFilterPolicy -Identity Default `
  -RecipientLimitExternalPerHour 500 -RecipientLimitInternalPerHour 1000 `
  -RecipientLimitPerDay 1000 -ActionWhenThresholdReached BlockUser

ตัวเลขในตัวอย่างคือค่าระดับ Standard ที่ Microsoft แนะนำ ก่อนใช้ให้ดูรายงานการส่งย้อนหลังว่าผู้ใช้ปกติส่งเท่าไร เพื่อไม่ให้ฝ่ายขายถูกบล็อกโดยไม่จำเป็น ขั้นตอนอ้างอิงอยู่ในเอกสาร Remove blocked users from the Restricted entities page

ตารางเปรียบเทียบค่าเริ่มต้นกับค่าระดับ Standard และ Strict ของ Outbound spam policy ที่กำหนดว่าเมื่อใดบัญชีถูกเพิ่มเข้า Restricted entities
ระดับ Standard และ Strict ให้ผู้ดูแลตรวจก่อนปลดทุกครั้ง แทนการปลดเองเมื่อขึ้นวันใหม่

ปัญหาที่พบบ่อยเกี่ยวกับ Restricted entities

ปลดบัญชีออกจาก Restricted entities แล้ว แต่ถูกบล็อกซ้ำภายในวันเดียว ทำไม?

ส่วนใหญ่เพราะบัญชียังถูกควบคุมโดยคนร้าย เช่น ยังไม่ได้ Revoke sessions หรือยังมีแอปที่ได้สิทธิ์ส่งอีเมลแทน หรือเป็นการส่งโดยตั้งใจที่ยังเกินเพดานอยู่ ให้ดู Message Trace ว่าอีเมลที่ส่งหลังปลดเป็นของใคร ก่อนปลดรอบต่อไป

ผู้ใช้ส่งอีเมลไม่ได้ แต่ไม่มีชื่ออยู่ในหน้า Restricted entities เกิดจากอะไร?

อาจเป็นการจำกัดแบบถึงวันถัดไปตามค่าเริ่มต้น ซึ่งจะหายเองหลัง 07:00 น. ตามเวลาไทย หรือเป็นการจำกัดระดับองค์กรที่ได้รหัส 550 5.7.705 หรือถ้าส่งจากโดเมน onmicrosoft.com จะถูกจำกัดที่ 100 ผู้รับภายนอกต่อวันทั้งองค์กรและได้รหัส 550 5.7.236 ให้อ่านรหัสในอีเมลตีกลับก่อนเสมอ

ปลดบัญชีแล้วต้องรอนานแค่ไหนถึงจะส่งได้?

Microsoft ระบุว่าหลังปลดจาก Restricted entities ข้อจำกัดส่วนใหญ่จะหายภายในหนึ่งชั่วโมง และไม่ควรนานเกิน 24 ชั่วโมง การกด Unblock ซ้ำหลายครั้งไม่ช่วยให้เร็วขึ้น

ต้องการส่งอีเมลถึงลูกค้าหลายพันรายต่อวัน ควรทำอย่างไรไม่ให้ติด Restricted entities?

Exchange Online ไม่ได้ออกแบบมาสำหรับอีเมลการตลาดจำนวนมาก ให้ใช้บริการส่งอีเมลจำนวนมากที่มีระบบจัดการการยกเลิกรับข่าวสาร หรือบริการอย่าง Azure Communication Services Email แล้วตั้ง SPF และ DKIM ให้บริการนั้นส่งในนามโดเมนของคุณ

ถ้าบัญชีในองค์กรถูกบล็อกบ่อยหรือไม่แน่ใจว่าถูกแฮกหรือไม่ ติดต่อทีมงาน THAI DATA CLOUD ให้ช่วยตรวจและวางนโยบายการส่งอีเมลได้ และดูบริการดูแลระบบอีเมลแบบครบวงจรได้ที่ Managed Email Services

อ่านเพิ่มเติมเกี่ยวกับ Restricted entities

แชร์FacebookXLINELinkedIn

มีคำถามเรื่องบริการ? ติดต่อทีมงาน