Problembehandlung für die kombinierte Registrierung von Sicherheitsinformationen

Mit den in diesem Artikel bereitgestellten Informationen können Administratoren Probleme von Benutzern mit kombinierten Registrierungen beheben.

Überwachungsprotokolle

Die für kombinierte Registrierungen protokollierten Ereignisse befinden sich in den Microsoft Entra-Überwachungsprotokollen unter dem Dienst „Authentifizierungsmethoden“.

In der folgenden Tabelle werden alle Überwachungsereignisse aufgeführt, die mit der kombinierten Registrierung generiert werden:

Problembehandlung des Interruptmodus

Problembehandlung für den Verwaltungsmodus

Gewusst wie: Ausführen eines Rollbacks für Benutzer

Wenn Sie als Administrator*in Einstellungen für die Multi-Faktor-Authentifizierung eines Benutzers oder einer Benutzerin zurücksetzen möchten, können Sie das im nächsten Abschnitt bereitgestellte PowerShell-Skript verwenden. Das Skript löscht die StrongAuthenticationMethods-Eigenschaft für die mobile App oder die Rufnummer des Benutzers. Wenn Sie dieses Skript für Ihre Benutzer*innen ausführen, müssen diese sich erneut für die Multi-Faktor-Authentifizierung registrieren, wenn sie diese benötigen. Es wird empfohlen, das Rollback vor der Ausführung eines Rollbacks für alle betroffenen Benutzer bei einem oder zwei Benutzern zu testen.

Die folgenden Schritte zeigen, wie Sie ein Rollback für einen Benutzer oder eine Gruppe von Benutzern ausführen.

Voraussetzungen

1. Installieren Sie die entsprechenden Azure AD-PowerShell-Module. Führen Sie in einem PowerShell-Fenster die folgenden Befehle zum Installieren der Module aus:

   Install-Module -Name MSOnline
   Import-Module MSOnline
   

2. Speichern Sie die Liste der betroffenen Benutzerobjekt-IDs auf Ihrem Computer als Textdatei, in der jede ID in einer separaten Zeile aufgeführt wird. Notieren Sie sich den Speicherort der Datei.

3. Speichern Sie das folgende Skript auf Ihrem Computer, und notieren Sie sich den Speicherort des Skripts:

   <# 
   //********************************************************
   //*                                                      *
   //*   Copyright (C) Microsoft. All rights reserved.      *
   //*                                                      *
   //********************************************************
   #>
   
   param($path)
   
   # Define Remediation Fn
   function RemediateUser {
   
       param  
       (
           $ObjectId
       )
   
       $user = Get-MsolUser -ObjectId $ObjectId
   
       Write-Host "Checking if user is eligible for rollback: UPN: "  $user.UserPrincipalName  " ObjectId: "  $user.ObjectId -ForegroundColor Yellow
   
       $hasMfaRelyingParty = $false
       foreach($p in $user.StrongAuthenticationRequirements)
       {
           if ($p.RelyingParty -eq "*")
           {
               $hasMfaRelyingParty = $true
               Write-Host "User was enabled for per-user MFA." -ForegroundColor Yellow
           }
       }
   
       if ($user.StrongAuthenticationMethods.Count -gt 0 -and -not $hasMfaRelyingParty)
       {
           Write-Host $user.UserPrincipalName " is eligible for rollback" -ForegroundColor Yellow
           Write-Host "Rolling back user ..." -ForegroundColor Yellow
           Reset-MsolStrongAuthenticationMethodByUpn -UserPrincipalName $user.UserPrincipalName
           Write-Host "Successfully rolled back user " $user.UserPrincipalName -ForegroundColor Green
       }
       else
       {
           Write-Host $user.UserPrincipalName " is not eligible for rollback. No action required."
       }
   
       Write-Host ""
       Start-Sleep -Milliseconds 750
   }
   
   # Connect
   Import-Module MSOnline
   Connect-MsolService
   
   foreach($line in Get-Content $path)
   {
       RemediateUser -ObjectId $line
   }
   

Rollback

Führen Sie in einem PowerShell-Fenster den folgenden Befehl aus, und geben Sie das Skript und die Speicherorte der Benutzerdateien an. Geben Sie mindestens Anmeldedaten als Privilegierter Authentifizierungsadministrator an, wenn Sie dazu aufgefordert werden. Das Skript gibt das Ergebnis der einzelnen Benutzerupdatevorgänge aus.

<script location> -path <user file location>

Nächste Schritte

• Erfahren Sie mehr über die kombinierte Registrierung für die Self-Service-Kennwortzurücksetzung und Microsoft Entra-Multi-Faktor-Authentifizierung.