Exportálja a Microsoft 365 SSPR állapotjelentéseket a PowerShell segítségével

A Microsoft önkiszolgáló jelszó-visszaállítási (SSPR) funkciója lehetővé teszi a felhasználók számára, hogy önállóan állítsák vissza a jelszavakat, csökkentve ezzel a szervezeten belüli ügyfélszolgálati szolgáltatásokat. Mielőtt azonban a felhasználók használhatnák az SSPR-t, a rendszergazdáknak engedélyezniük kell az önkiszolgáló jelszó-visszaállítást, és a felhasználóknak regisztrálniuk kell hitelesítési módszereiket. A telepítést követően a szervezetek gyakran betekintést nyernek az önkiszolgáló jelszó-visszaállítás használatába. Érdeklődnek a regisztrált felhasználók számáról, személyazonosságukról, az alapértelmezett jelszó-visszaállítási módokról stb. Ezért az önkiszolgáló jelszó-visszaállítási állapot következetes nyomon követése létfontosságú a rendszergazdák számára.

Segítségül ez a blog egy dedikált PowerShell-szkriptet mutat be, amelyet kifejezetten az önkiszolgáló jelszó-visszaállítási állapotjelentések exportálására terveztek.

Hogyan exportálható az önkiszolgáló jelszó-visszaállítási állapotjelentés?

Két módszer áll rendelkezésre az önkiszolgáló jelszó-visszaállítási (SSPR) állapotjelentések exportálására:

Microsoft Entra felügyeleti központ: A Jelszó-visszaállítás oldal Használat és betekintések szakaszában a Microsoft 365 rendszergazdák hozzáférhetnek az SSPR-jelentésekhez a Microsoft Entra felügyeleti központ. Ez a jelentés azonban alapvető információkat tartalmaz az SSPR regisztrált felhasználókról. Nem ad részleteket a nem jogosult SSPR-felhasználókról, a jogosultakról, még nem regisztráltakról és egyebekről. Ezenkívül nem teszi lehetővé az adminisztrátorok számára, hogy testreszabják a nem regisztrált SSPR-felhasználók jelentéseit, ellenőrizzék licencállapotukat és még sok mást.

PowerShell: A "Get-MgReportAuthenticationMethodUserRegistrationDetail" parancsmag az SSPR állapotáról nyújt részleteket. A szükséges eredmények eléréséhez azonban előfordulhat, hogy a parancsmagot különféle szűrőkkel és ciklusokkal kell használni, ami sok időt vehet igénybe.

Ezen aggodalmak megoldása és egyszerű megoldás kínálása érdekében létrehoztunk egy PowerShell-szkriptet a Microsoft 365-felhasználók SSPR-állapotjelentéseinek exportálására.

Szkript letöltése: GetSSPRstatusReport.ps1

Szkript kiemelései

1. A szkript 10 SSPR állapotjelentést exportál.
2. Exportálja az SSPR állapotot a Microsoft 365 felhasználók számára.
3. Jelentést készít az SSPR-kompatibilis felhasználókról
4. SSPR letiltott felhasználókat talál.
5. Azonosítja azokat a felhasználókat, akik jogosultak az SSPR-re, de nem regisztráltak.
6. Megkeresi a Microsoft 365-rendszergazdák SSPR-állapotát.
7. Meghatározza az SSPR állapotát kifejezetten a engedéllyel rendelkező felhasználók számára.
8. A szkript végrehajtható MFA-képes fiókokkal.
9. Az eredményeket CSV-fájlba exportálja a kényelmes adatkezelés érdekében.
10. A szkript telepíti a szükséges Microsoft Graph Beta modult a felhasználó megerősítése után, ha még nincs telepítve.
11. Támogatja a tanúsítvány alapú hitelesítést (ütemezőbarát) módszert.

Önkiszolgáló jelszó-visszaállítási állapotjelentés - Mintakimenet

Az exportált önkiszolgáló jelszó-visszaállítási állapotjelentés a következő attribútumokat tartalmazza:

1. Felhasználónév
2. Az SSPR-t a felhasználó regisztrálta
3. Az SSPR-t a rendszergazdák engedélyezték
4. Osztály
5. Regisztrált hitelesítési módszerek
6. Alapértelmezett hitelesítési mód
7. Munka megnevezése
8. Licenc állapota
9. Bejelentkezés engedélyezve állapot
10. Az Admin

Az exportált SSPR állapotjelentés úgy néz ki, mint az alábbi képernyőkép.

Az attribútumok vizsgálata után nem biztos abban, hogy mi a különbség az SSPR engedélyezett és az SSPR regisztrálása között? Tisztázzuk!

Adminisztrátorok által engedélyezett SSPR: A rendszergazdák engedélyezhetik az SSPR-t a felhasználók számára, hogy visszaállítsák saját jelszavaikat. Az SSPR engedélyezhető minden vagy kiválasztott felhasználó számára a Microsoft Entra felügyeleti központjában. Ha az adminisztrátor nem engedélyezte az SSPR-t, a felhasználók nem regisztrálhatnak az SSPR-re. Ha az adminisztrátor engedélyezte az SSPR-t egy felhasználó számára, az érték „True”-ként jelenik meg; ellenkező esetben „Hamis”-ként jelenik meg.

Felhasználók által regisztrált SSPR: Az SSPR funkció használatához a felhasználóknak regisztrálniuk kell hitelesítési módszereiket a szervezet SSPR-szabályzatának megfelelően. Ez az attribútum jelzi, hogy a felhasználó befejezte-e az önkiszolgáló jelszó-visszaállítás regisztrációs folyamatát vagy sem.

Szkript-végrehajtási módszerek

Töltse le a PowerShell-szkriptet, és nyissa meg a Windows PowerShellt a végrehajtásához. A letöltött SSPR állapotjelentés szkriptet kétféleképpen futtathatja:

1. módszer: Futtassa a szkriptet MFA- és nem MFA-fiókokkal is.

./GetSSPRstatusReport.ps1

A jelentés exportálja az összes bejelentkezésre jogosult felhasználó önkiszolgáló jelszó-visszaállítási állapotát.

2. módszer: Futtassa le a szkriptet tanúsítvány alapú hitelesítéssel (ütemezőbarát) felügyelet nélküli megközelítéshez.

Használhat hitelesítő hatóságot vagy önaláírt tanúsítványt saját preferenciái szerint. Sok adminisztrátor előnyben részesíti az önaláírt tanúsítványokat belső használatra. A végrehajtáshoz adja meg a bérlőazonosítót, az alkalmazásazonosítót és a tanúsítvány ujjlenyomatát.

./GetSSPRstatusReport.ps1 -Tenant Id <tenant Id> -AppId <Client Id> -CertificateThumbprint <Certthumbprint>

MEGJEGYZÉS: A PowerShell-szkript tanúsítványalapú hitelesítő adatokkal való végrehajtásához regisztrálnia kell egy alkalmazást az Azure AD-ben.

Exportálja a Microsoft 365-felhasználók önkiszolgáló jelszó-visszaállítási állapotjelentéseit a PowerShell segítségével

1. Ellenőrizze az SSPR állapotát a Microsoft 365 felhasználók számára
2. Azonosítsa az SSPR-kompatibilis Microsoft 365-felhasználókat
3. Az önkiszolgáló jelszavak visszaállítása letiltott felhasználók észlelése
4. Keresse meg az SSPR bekapcsolt, de nem regisztrált felhasználókat
5. A Microsoft 365-rendszergazdák önkiszolgáló jelszó-visszaállítási állapota
6. SSPR állapotjelentés exportálása a licencelt felhasználók számára

1. Ellenőrizze az SSPR állapotát a Microsoft 365 felhasználók számára

A rendszergazdák az SSPR állapotának gyakori ellenőrzésével erősíthetik a biztonságot a hitelesítési sebezhetőségek észlelése és megszüntetése érdekében. Az SSPR-ellenőrzések abban is segítenek a rendszergazdáknak, hogy a felhasználók betartsák a szervezeti jelszószabályokat és a biztonsági irányelveket. A felhasználók SSPR állapotának meghatározásához a rendszergazdák a következő szkriptet futtathatják:

./GetSSPRstatusReport.ps1

A fenti formátum exportálja az SSPR-állapotot az összes bejelentkezésre jogosult felhasználó számára.

2. Azonosítsa az önkiszolgáló jelszó-visszaállítást engedélyező felhasználókat

Vegyünk egy olyan esetet, amikor a kezdeti SSPR-szabályzat telefonszámot és biztonsági kérdéseket írt elő a hitelesítéshez. Az adminisztrátor azt tervezi, hogy a biztonsági kérdéseket e-mailre cseréli. Mielőtt azonban e-mail hitelesítésre váltana, a rendszergazdáknak meg kell találniuk az összes SSPR-képes felhasználót, és ellenőrizniük kell az aktuális hitelesítési módszereiket. Az SSPR-képes felhasználók felsorolásához az adminisztrátorok használhatják az „SsprEnabledUsers” paramétert az alábbiak szerint:

./GetSSPRstatusReport.ps1 -SsprEnabledUsers

Kizárólag az önkiszolgáló jelszó-visszaállítást engedélyező felhasználókról nyújt információkat, felsorolva regisztrált hitelesítési módszereiket, alapértelmezett hitelesítési módszereiket és további részleteket.

3. Az önkiszolgáló jelszó-visszaállítás letiltott felhasználók észlelése

Az SSPR letiltása bizonyos felhasználóknál proaktív intézkedés lehet a lehetséges kockázatok csökkentésére. Például, ha egy alkalmazott elhagyja a vállalatot, vagy szerepkört vált, az SSPR ideiglenes letiltása megakadályozhatja az illetéktelen hozzáférést az átmeneti időszakban. Ilyen esetekben az SSPR-korlátozott felhasználók figyelése segít biztosítani ezen intézkedések hatékony végrehajtását és kezelését. A rendszergazdák az „SsprDisabledUsers” paraméterrel megkereshetik az összes SSPR-t tiltó felhasználót.

./GetSSPRstatusReport.ps1 -SsprDisabledUsers

A fenti szkript exportálja az összes felhasználót, aki nincs regisztrálva az SSPR-re.

4. Keresse meg az önkiszolgáló jelszó-visszaállítás bekapcsolva, de nem regisztrált felhasználókját

Annak ellenére, hogy a rendszergazdák engedélyezték az önkiszolgáló jelszó-visszaállítást, előfordulhat, hogy egyes felhasználók nem fejezték be a regisztrációs folyamatot. Ha a felhasználók nem regisztráltak, jelszóval kapcsolatos problémákkal fordulhatnak az IT-támogatáshoz, ami növeli az adminisztrátorok munkaterhelését.

Az alábbi szkript segít azonosítani azokat a felhasználókat, akiknél az SSPR be van kapcsolva, de még nem regisztráltak az “Ssp -re. rTurnedOnButUserNotRegistered” paramétert.

./GetSSPRstatusReport1.ps1 -SsprTurnedOnButUserNotRegistered

A fenti formátum exportálja az az SSPR-re jogosult, de nem regisztrált M365-felhasználókat.

5. A Microsoft 365 rendszergazdák önkiszolgáló jelszó-visszaállítási állapota

A Microsoft 365 rendszergazdái általában alapértelmezés szerint engedélyezve vannak az önkiszolgáló jelszó-visszaállításhoz (SSPR) kétkapu házirenddel. A gyenge hitelesítési módszerek, például a telefonszám- vagy e-mail-ellenőrzés azonban társadalmi manipulációs támadások kockázatát rejti magában. A rendszergazdai fiókokat kifinomult támadók célba vehetik, hogy megkerüljék ezeket az intézkedéseket. Kulcsfontosságú annak biztosítása, hogy az adminisztrátorok regisztráljanak az SSPR-re, és erős hitelesítési módszereket alkalmazzanak ennek a kockázatnak a csökkentése érdekében. A Microsoft 365-rendszergazdák SSPR-állapotának ellenőrzéséhez futtassa a szkriptet az „AdminsOnly” paraméterrel.

./GetSSPRstatusReport.ps1 -AdminsOnly

Az exportált jelentés megjeleníti a szervezeten belüli önkiszolgáló jelszó-visszaállítási állapotát az összes rendszergazdának. Részletesebb jelentést kaphat az adminisztrátori SSPR állapotáról az alábbi paraméterek kombinálásával:

Az SSPR-képes rendszergazdák lekérése:

./GetSSPRstatusReport.ps1 -SsprEnabledUsers -AdminsOnly

Az exportált jelentés tartalmazza a szervezet SSPR-képes rendszergazdáinak listáját.

Az SSPR-t tiltó rendszergazdák számára a Microsoft 365 rendszerben:

./GetSSPRstatusReport.ps1 -SsprDisabledUsers -AdminsOnly

A szkript kifejezetten lekéri az SSPR-t tiltó rendszergazdákat a Microsoft 365-ben.

6. Önkiszolgáló jelszó-visszaállítási állapotjelentés exportálása az engedéllyel rendelkező felhasználók számára

Sok szervezetben az adminisztrátoroknak biztosítaniuk kell, hogy minden licencelt felhasználó számára engedélyezve legyen az SSPR az erőforrások teljes kihasználásához. A licencelt felhasználók SSPR-állapotának szűrésével a rendszergazdák hatékonyan optimalizálhatják az erőforrás-elosztást. Használja az alábbi szkriptet az önkiszolgáló jelszó állapotának lekéréséhez, kizárólag a „LicensedUsersOnly” paraméterrel rendelkező, licenccel rendelkező felhasználók számára.

./GetSSPRstatusReport.ps1 -LicensedUsersOnly

Vegye figyelembe, hogy az önkiszolgáló jelszó-visszaállítás prémium szolgáltatás. A szkript végrehajtásával megerősítheti a engedéllyel rendelkező felhasználók SSPR-állapotát a szervezetében. Ezenkívül a paraméterek kombinálásával részletes jelentéseket kaphat a licencelt felhasználók SSPR állapotáról.

SSPR-képes engedéllyel rendelkező felhasználók:

./GetSSPRstatusReport.ps1 -SsprEnabledUsers -LicensedUsersOnly

A fenti szkript végrehajtásával az adminisztrátorok gyorsan azonosíthatják az SSPR-hez engedélyezett licencelt felhasználók számát.

SSPR-t nem tiltó, engedéllyel rendelkező felhasználók:

./GetSSPRstatusReport.ps1 -SsprDisabledUsers -LicensedUsersOnly

Az alábbi formátum lekéri az SSPR-t tiltott felhasználókat, akik rendelkeznek engedéllyel a szervezetben.

Engedélyezett felhasználók, akiknél az SSPR be van kapcsolva, de nem regisztráltak:

./GetSSPRstatusReport.ps1 -SsprTurnedOnButUserNotRegistered -LicensedUsersOnly

Az exportált jelentés felsorolja azokat a licencelt felhasználókat, akiknél az SSPR be van kapcsolva, de nem regisztráltak.

Ha Ön azok közé tartozik, akik nehézkesnek vagy időigényesnek találják az SSPR-jelentések PowerShell használatával történő exportálását, itt van egy egyszerű megoldás. Bemutatkozik az AdminDroid Microsoft 365 Reporter a zökkenőmentes jelszavak kezeléséhez, kiterjedt PowerShell-szkriptelés nélkül.

Racionalizálja a jelszókezelést az AdminDroid ingyenes SSPR jelentéseivel

Az AdminDroid egy sor jelszójelentést kínál ingyenes, beleértve a kulcsfontosságú SSPR jelentéseket, amelyek megkönnyítik az adminisztrátorok számára a felhasználói fiókok visszaállításának és tevékenységének nyomon követését. Az AdminDroid segítségével könnyedén nyomon követheti az önkiszolgáló jelszavak visszaállítását felhasználónévvel, az alaphelyzetbe állítás idejével és azzal, hogy sikerült-e vagy sem, stb. Az AdminDroid átfogó SSPR-jelentése lehetővé teszi az összes önkiszolgáló jelszó-visszaállítás zökkenőmentes nyomon követését, növelve a biztonságot az illetéktelen hozzáférés megakadályozásával.

Ezenkívül az AdminDroid alábbi jelszójelentéseit is figyelemmel kísérheti a jelszókezelés hatékonyságának növelése érdekében.

• Jelszó visszaállítása Végrehajtotta a rendszergazda
• Felhasználói jelszó módosítások
• Jelszó visszaállítása A rendszergazda kényszerítette a felhasználót a jelszó megváltoztatására

Ezenkívül az AdminDroid Azure AD auditáló eszközével különösebb erőfeszítés nélkül nyomon követheti a felhasználói bejelentkezéseket, tevékenységeket, a rendszergazdai szerepkör változásait, csoportnaplókat és beállításokat. Ezenkívül az AdminDroid ingyenes Azure AD jelentéskészítő eszköze 190+ jelentést kínál, amelyek átfogó, 360 fokos nézetet biztosítanak a Microsoft Entra környezetről a továbbfejlesztett Azure AD-kezelés érdekében.

A Microsoft Entra jelentések mellett az AdminDroid 1800+ részletes jelentést és olyan szolgáltatásokkal, mint a SharePoint Online, a Microsoft Teams, az Exchange Online, a Power BI, a Stream és a Viva Engage.

De várj, van még! Az AdminDroid egy sor haladó funkciót kínál, beleértve a valós idejű riasztást, a zökkenőmentes ütemezést, a részletes hozzáférési delegálást és a speciális szűrőket. A felhasználóbarát felület gondoskodik a könnyű navigációról és az egyedi igényekhez való alkalmazkodásról.

Miért elégedne meg a hétköznapokkal, ha megtapasztalhatja a rendkívülit? Nyomja meg az AdminDroid letöltés gombját most, hogy felfedezze a 15 napos próbaverziót, és megtapasztalja a könnyed Microsoft 365 felügyeletet.

Ez az! Remélem, ez a blog megmutatta, hogyan exportálhatja könnyedén az önkiszolgáló jelszó-visszaállítási állapotjelentéseket a PowerShell segítségével. Bármilyen kérdéssel vagy segítséggel forduljon hozzánk bizalommal.