THAI DATA CLOUD
Manual Microsoft 365

SSPR: ให้พนักงานรีเซ็ตรหัสผ่านอีเมลได้เองบน Microsoft 365

เปิด SSPR ใน Microsoft Entra ให้พนักงานรีเซ็ตรหัสผ่านอีเมล Microsoft 365 ที่ลืมได้เองผ่าน aka.ms/sspr เลือกวิธียืนยันตัวตน บังคับลงทะเบียน และตรวจไลเซนส์

โดย ทีมงาน THAI DATA CLOUD อ่าน 10 นาที

แชร์FacebookXLINELinkedIn
SSPR — SSPR: ให้พนักงานรีเซ็ตรหัสผ่านอีเมลได้เองบน Microsoft 365
SSPR: ให้พนักงานรีเซ็ตรหัสผ่านอีเมลได้เองบน Microsoft 365

คำตอบสั้น ๆ: เปิด SSPR ใน Microsoft Entra ให้พนักงานรีเซ็ตรหัสผ่านอีเมล Microsoft 365 ที่ลืมได้เองผ่าน aka.ms/sspr เลือกวิธียืนยันตัวตน บังคับลงทะเบียน และตรวจไลเซนส์

คู่มือนี้อธิบาย SSPR ทีละขั้นตอน พร้อมคำสั่งที่ใช้ได้จริงและปัญหาที่พบบ่อย

SSPR (self-service password reset) คือฟีเจอร์ของ Microsoft Entra ID ที่ให้พนักงานรีเซ็ตรหัสผ่านอีเมล Microsoft 365 ที่ลืมได้เอง โดยยืนยันตัวตนด้วยวิธีที่ลงทะเบียนไว้ เช่น แอป Microsoft Authenticator หรือรหัสทาง SMS ไม่ต้องรอฝ่าย IT เมื่อเปิด SSPR แล้ว ลิงก์ Forgot my password ในหน้าล็อกอินจะใช้งานได้จริง และงานรีเซ็ตรหัสผ่านซึ่งเป็นงานซ้ำที่สุดของ helpdesk จะลดลงมาก

คู่มือนี้เหมาะกับผู้ดูแล Microsoft 365 ที่ต้องรีเซ็ตรหัสผ่านให้พนักงานทุกสัปดาห์ เมื่อทำครบ คุณจะตรวจไลเซนส์ เปิด SSPR ให้กลุ่มนำร่อง เลือกวิธียืนยันตัวตนและจำนวนที่ต้องใช้ บังคับให้พนักงานลงทะเบียน ตั้งการแจ้งเตือนและลิงก์ helpdesk ทดสอบเหมือนผู้ใช้จริง แล้วขยายให้ทั้งบริษัท

สิ่งที่ต้องเตรียม

  • ไลเซนส์: การรีเซ็ตรหัสผ่านที่ลืม (reset) สำหรับผู้ใช้ cloud ต้องมี Microsoft 365 Business Standard, Business Premium หรือ Microsoft Entra ID P1/P2 ส่วน Microsoft Entra ID Free ทำได้แค่เปลี่ยนรหัสผ่านเมื่อจำรหัสเดิมได้ Business Basic ไม่อยู่ในรายการของ Microsoft ให้ตรวจกับผู้ขายก่อน และผู้ใช้ทุกคนที่จะใช้ SSPR ต้องมีไลเซนส์ที่รองรับ
  • การเขียนรหัสผ่านกลับไป Active Directory ในบริษัท (password writeback) ต้องมี Microsoft 365 Business Premium หรือ Microsoft Entra ID P1/P2 ขึ้นไป
  • บัญชีที่มีบทบาท Authentication Policy Administrator
  • security group สำหรับนำร่อง เช่น SSPR-Pilot และบัญชีทดสอบที่ไม่ใช่ผู้ดูแล
ลำดับการรีเซ็ตรหัสผ่านด้วย SSPR ตั้งแต่คลิก Forgot my password ยืนยันตัวตน ตั้งรหัสใหม่ ได้อีเมลแจ้ง จนล็อกอินใหม่ทุกอุปกรณ์
พนักงานรีเซ็ตเองได้ในไม่กี่นาที ถ้าลงทะเบียนวิธียืนยันตัวตนไว้ก่อน

ขั้นตอนที่ 1: ตรวจวิธียืนยันตัวตนใน Authentication methods policy

Microsoft เลิกให้จัดการวิธียืนยันตัวตนในนโยบาย MFA และ SSPR แบบเดิมตั้งแต่ 30 กันยายน 2025 วิธีที่ผู้ใช้ลงทะเบียนและใช้ได้จึงควบคุมที่ Authentication methods policy เปิด Microsoft Entra admin center ไปที่ Entra ID > Authentication methods > Policies ตรวจว่าวิธีที่ต้องการให้พนักงานใช้กับ SSPR เช่น Microsoft Authenticator และ SMS เปิดอยู่และครอบคลุมกลุ่มนำร่อง

เลือกวิธีให้เหมาะกับพนักงาน แอป Authenticator ปลอดภัยกว่า SMS เพราะไม่โดนการโอนเบอร์ไปซิมใหม่ แต่พนักงานบางกลุ่มอาจไม่มีสมาร์ตโฟน ส่วนคำถามความปลอดภัย (security questions) เดาหรือหาคำตอบจากโซเชียลมีเดียได้ง่าย ไม่แนะนำ และใช้กับบัญชีผู้ดูแลไม่ได้

ขั้นตอนที่ 2: เปิด SSPR ให้กลุ่มนำร่อง

  1. ไปที่ Entra ID > Password reset
  2. ในหน้า Properties ที่ Self service password reset enabled เลือก Selected
  3. คลิก No groups selected เลือกกลุ่ม SSPR-Pilot แล้วคลิก Select
  4. คลิก Save

เลือกได้ทีละหนึ่งกลุ่มในหน้านี้ แต่รองรับกลุ่มซ้อนกลุ่ม ถ้าภายหลังต้องการให้หลายแผนกใช้ ให้สร้างกลุ่มรวมแล้วใส่กลุ่มแผนกเป็นสมาชิก หรือเปลี่ยนเป็น All เมื่อพร้อมใช้ทั้งบริษัท

หน้าจอจำลอง Password reset Properties ใน Microsoft Entra admin center เปิด SSPR แบบ Selected ให้กลุ่ม SSPR-Pilot
เริ่มจาก Selected กับกลุ่มนำร่อง แล้วเปลี่ยนเป็น All เมื่อพร้อม (ภาพจำลอง)

ขั้นตอนที่ 3: กำหนดจำนวนวิธีที่ต้องใช้ในการรีเซ็ต

เลือกเมนู Authentication methods ทางซ้ายของหน้า Password reset แล้วตั้ง Number of methods required to reset เป็น 1 หรือ 2 คลิก Save

  • 2 วิธี (Microsoft ใช้ในตัวอย่าง): ปลอดภัยกว่า ผู้โจมตีที่ได้ซิมหรือมือถือไปเพียงอย่างเดียวรีเซ็ตไม่ได้ แต่พนักงานต้องลงทะเบียนอย่างน้อยสองวิธี
  • 1 วิธี: ใช้ง่ายกว่า เหมาะเมื่อวิธีนั้นแข็งแรงพอ เช่น แอป Authenticator

ไม่ว่าตั้งค่าใด บัญชีผู้ดูแลจะถูกบังคับใช้นโยบายแบบสองขั้นเสมอ ต้องยืนยันสองวิธีและใช้คำถามความปลอดภัยไม่ได้ Microsoft เปิด SSPR ให้ผู้ดูแลเป็นค่าเริ่มต้น

ขั้นตอนที่ 4: บังคับให้พนักงานลงทะเบียน

SSPR ใช้ได้เฉพาะคนที่ลงทะเบียนวิธียืนยันตัวตนไว้ก่อนลืมรหัสผ่าน เลือกเมนู Registration แล้วตั้งค่า

  • Require users to register when signing in: Yes พนักงานในกลุ่มจะถูกขอให้ลงทะเบียนตอนล็อกอินครั้งถัดไป
  • Number of days before users are asked to reconfirm their authentication information: 180 ระบบจะขอให้ยืนยันข้อมูลซ้ำทุกหกเดือน กันเบอร์โทรเก่าค้างในระบบ

คลิก Save พนักงานลงทะเบียนเองล่วงหน้าได้ที่ https://aka.ms/mysecurityinfo ถ้าบริษัทใช้ Temporary Access Pass ตอนรับพนักงานใหม่ ให้ลงทะเบียนวิธีสำหรับ SSPR ไปพร้อมกัน ดู Onboarding

ขั้นตอนที่ 5: ตั้งการแจ้งเตือนและลิงก์ helpdesk

  1. เมนู Notifications: ตั้ง Notify users on password resets? เป็น Yes พนักงานจะรู้ทันทีถ้ามีคนอื่นรีเซ็ตรหัสผ่านของตน และตั้ง Notify all admins when other admins reset their password? เป็น Yes
  2. เมนู Customization: ตั้ง Customize helpdesk link เป็น Yes แล้วใส่อีเมลหรือหน้าเว็บของ helpdesk ใน Custom helpdesk email or URL เช่น https://helpdesk.example.com ลิงก์นี้จะแทนข้อความ Contact your administrator ในหน้ารีเซ็ต
  3. คลิก Save ในแต่ละหน้า

ขั้นตอนที่ 6: ทดสอบเหมือนผู้ใช้จริงแล้วขยายทั้งบริษัท

  1. เปิดเบราว์เซอร์แบบ InPrivate หรือ Incognito ไปที่ https://aka.ms/ssprsetup ล็อกอินด้วยบัญชีทดสอบที่ไม่ใช่ผู้ดูแล ลงทะเบียนวิธียืนยันตัวตน
  2. เปิดหน้าต่าง InPrivate ใหม่ ไปที่ https://aka.ms/sspr กรอกอีเมลและตัวอักษรใน CAPTCHA คลิก Next ยืนยันตัวตนตามจำนวนวิธีที่ตั้งไว้ แล้วตั้งรหัสผ่านใหม่
  3. ตรวจว่าบัญชีทดสอบได้อีเมลแจ้งการรีเซ็ต และล็อกอิน Outlook ด้วยรหัสใหม่ได้
  4. ให้กลุ่มนำร่องใช้จริงหนึ่งถึงสองสัปดาห์ เก็บคำถามที่เจอ แล้วเปลี่ยน Self service password reset enabled เป็น All

ดูประวัติการใช้ SSPR ได้ที่ Entra ID > Monitoring & health > Audit logs ขั้นตอนทั้งหมดตรงกับ Enable Microsoft Entra self-service password reset ของ Microsoft

ตารางเปรียบเทียบวิธียืนยันตัวตนสำหรับ SSPR ได้แก่ Microsoft Authenticator, SMS, อีเมลสำรอง และคำถามความปลอดภัย
ให้ Authenticator เป็นวิธีหลัก และมีวิธีสำรองอีกหนึ่งวิธีเผื่อเปลี่ยนมือถือ

บอกพนักงานให้ใช้ SSPR ได้จริง

เปิดฟีเจอร์แล้วแต่พนักงานไม่รู้ ภาระของ helpdesk จะไม่ลดลง ส่งประกาศสั้น ๆ ที่บอกสามเรื่อง คือ ลงทะเบียนที่ aka.ms/mysecurityinfo ภายในวันที่กำหนด เมื่อลืมรหัสผ่านให้คลิก Forgot my password ในหน้าล็อกอินหรือเปิด aka.ms/sspr และหลังรีเซ็ตต้องล็อกอินใหม่ในมือถือและ Outlook ทุกเครื่อง เปรียบเทียบจำนวนคำขอรีเซ็ตรหัสผ่านก่อนและหลังเปิด SSPR หนึ่งเดือน เพื่อรู้ว่าต้องประกาศซ้ำหรือไม่ ถ้ายังไม่ได้เปิด MFA ให้ทั้งบริษัท ทำควบคู่กันได้ตาม เปิดใช้งาน MFA บน Microsoft 365

รายการตรวจก่อนเปิด SSPR ทั้งบริษัท ทั้งไลเซนส์ วิธียืนยันตัวตน ผลทดสอบกลุ่มนำร่อง ลิงก์ helpdesk และการประกาศพนักงาน
ผ่านครบทุกข้อสีเขียวแล้วจึงเปลี่ยนจาก Selected เป็น All

ปัญหาที่พบบ่อยเกี่ยวกับ SSPR

พนักงานกด Forgot my password แล้วขึ้นให้ติดต่อผู้ดูแล ทำไม?

สาเหตุที่พบบ่อยคือพนักงานไม่อยู่ในกลุ่มที่เปิด SSPR ยังไม่ได้ลงทะเบียนวิธียืนยันตัวตน หรือลงทะเบียนไม่ครบตามจำนวนที่ตั้งไว้ ตรวจกลุ่มในหน้า Properties และให้พนักงานลงทะเบียนเพิ่มที่ aka.ms/mysecurityinfo หลังผู้ดูแลรีเซ็ตรหัสให้ก่อน

ผู้ดูแลระบบใช้ SSPR ได้หรือไม่?

ได้ และเปิดอยู่แล้วเป็นค่าเริ่มต้น แต่ต้องยืนยันสองวิธีเสมอและใช้คำถามความปลอดภัยไม่ได้ บัญชีกู้ระบบไม่ควรลงทะเบียน SSPR กับเบอร์หรืออีเมลส่วนตัวของใคร

รีเซ็ตรหัสผ่านแล้ว Outlook ยังถามรหัสผ่านซ้ำ แก้อย่างไร?

อุปกรณ์ที่จำรหัสเดิมไว้ต้องล็อกอินใหม่ ปิดแล้วเปิด Outlook ใหม่ ใส่รหัสใหม่ในแอปบนมือถือ ถ้ายังถามซ้ำวนไม่จบ ดูวิธีแก้ใน Outlook Password Prompt

ใช้ Microsoft 365 Business Basic เปิด SSPR ได้หรือไม่?

ตารางไลเซนส์ของ Microsoft ระบุการรีเซ็ตรหัสผ่านที่ลืมสำหรับ Business Standard, Business Premium และ Microsoft Entra ID P1/P2 ไม่ได้ระบุ Business Basic แม้ในทางเทคนิคบางครั้งจะตั้งค่าได้ แต่ Microsoft ระบุว่าผู้ใช้ทุกคนที่ได้ประโยชน์ต้องมีไลเซนส์ที่รองรับ จึงควรยืนยันกับผู้ขายไลเซนส์หรือเพิ่ม Entra ID P1 ก่อนเปิดใช้

ถ้าต้องการให้ช่วยวางแผนเปิด SSPR ตรวจไลเซนส์ที่รองรับ หรือตั้ง password writeback กับ Active Directory ในบริษัท ติดต่อทีมงาน THAI DATA CLOUD ได้ องค์กรที่ต้องการจัดหาไลเซนส์หรือให้ทีมงานช่วยดูแล Microsoft 365 ดูรายละเอียดได้ที่หน้าบริการของเรา

อ่านเพิ่มเติมเกี่ยวกับ SSPR

แชร์FacebookXLINELinkedIn

มีคำถามเรื่องบริการ? ติดต่อทีมงาน