Yrityksen Microsoft tilin kirjautuminen ja Autentificator

[Slavinin86]

Terve
Miten saisi kirjautua Microsoft yritys tilille jos kaikki loppu siihen että kysy autentificatorin koodin ja autentificatorin ei edes ollut käytössä täällä tilillä. Autentificator asennettu mutta jotta sinne saisi lisätä tämän Microsoft tilin pitää kirjautua siihen ja siellä kirjautuessa se kysy saman koodin autentificatorista!
Salasana oli vaihdettu toisen sp ja puh numeron kautta mutta kun kirjautuu se taas kysy autentificatorin koodia.
Muita kirjautumis vaihtoehtoja ei tarjoa tai nappia että en pääse Autentificator Iin vaikka pitäisi netin mukaan tarjoa.
Soitettu Microsoftin tuelle ja laitettu keissi mutta sanoivat että jonotus noin viikko kun soittavat takaisin tietosuoja osastolta.
Oliko muilla vastaavia keisia?
Miten oli Ratkaistu?

 

[Desgorr]

Jos on tosiaan yrityspuolen MS365-tilistä kyse, niin yhteys oman yrityksen IT-tukeen.

 

[Slavinin86]

Jos on tosiaan yrityspuolen MS365-tilistä kyse, niin yhteys oman yrityksen IT-tukeen.

Siellä on sellainen seikka että sille käverillä joku oli jollain tavalla tehnyt sen yritystilin joka on ****. Fi domenin takana ja itse tilin omistaja on 0 tietokoneteknikassa. Siis yritys on 1 henkilön yritys

 

[Desgorr]

Siellä on sellainen seikka että sille käverillä joku oli jollain tavalla tehnyt sen yritystilin joka on ****. Fi domenin takana ja itse tilin omistaja on 0 tietokoneteknikassa. Siis yritys on 1 henkilön yritys

Tarkoitatko, että joku asiasta enemmän tietävä on alunperin tehnyt tuon yritystilin MS365:een?

Lisänä ei ole mitään muita tunnuksia, jolla olisi esim global admin oikeudet? Jos nuo tosiaan on ainoat tunnukset, niin sitten on vähän paha nakki ja täytynee vaan odotella MS:ltä apua.

 

[Rupert]

Eikö tuosta pääse ohi tuolla "Käytä vahvistuskoodia" vaihtoehdolla vai lähetetäänkö koodi jonnekkin johon käyttäjä ei jostain syystä pääse käsiksi?

 

[Desgorr]

Eikö tuosta pääse ohi tuolla "Käytä vahvistuskoodia" vaihtoehdolla vai lähetetäänkö koodi jonnekkin johon käyttäjä ei jostain syystä pääse käsiksi?

Se on Authenticator -sovelluksesta saatava TOTP-koodi.

Edit:
Jos on sallittu Entran hallinnan puolelta, niin voi toki myös olla muukin authentikaattori, eikä välttämättä juuri MS Authenticator kuten kuvassa.

 

[Rupert]

Selvä, on hetki siitä kun viimeksi jouduin käyttämään näitä niin en muistanut miten nämä eri koodit ja muut on suomennettu

 

[Salaliittoteoreetikko]

Entra.microsoft.com pääsee muokkaamaan asetuksia.
Kaksivaiheinen tarkistus pakotettu päälle jo 2024

 

[Desgorr]

https://learn.microsoft.com/fi-fi/entra/identity/authentication/concept-mandatory-multifactor-authenticationtabs=dotnet

Tuolla tietoa kirjautumisesta.

Entra.microsoft.com pääsee muokkaamaan asetuksia.
Kaksivaiheinen tarkistus pakotettu päälle jo 2024

Tämä pakotus ei tosiaan vieläkään (Phase 2) koske suurinta osaa loppukäyttäjistä ellei nyt käytä myös jotain seuraavista:

Ja Phase 2 applikaatioiden kohdalla Read -operaatiot ei tuota MFA:ta vaadi, eli nuo jotka tullut voimaan 1.10.2025:

Users who sign in without MFA can use a Phase 2 application. But if they try to create, update, or delete a resource, the app returns an error that says they need to sign in with MFA and a claims challenge. Some clients use the claims challenge to prompt the user to step up and perform MFA. Other clients return only the error without an MFA prompt. A Conditional Access policy or security defaults are recommended to help users satisfy MFA before they see an error.

Plan for mandatory Microsoft Entra multifactor authentication (MFA) - Microsoft Entra ID

Plan for mandatory multifactor authentication for users who sign in to Azure and other management portals.

learn.microsoft.com

Edit:
Toki hyvien käytäntöjen mukaisesti tuo MFA on ollut hyvä pakottaa sieltä Entran hallinnasta päälle kaikilla yrityksen käyttäjillä.

 

[Slavinin86]

Eikö tuosta pääse ohi tuolla "Käytä vahvistuskoodia" vaihtoehdolla vai lähetetäänkö koodi jonnekkin johon käyttäjä ei jostain syystä pääse käsiksi?

Se kysy vahvistuskoodia Autentificatorilta!

 

[Slavinin86]

Entra.microsoft.com pääsee muokkaamaan asetuksia.
Kaksivaiheinen tarkistus pakotettu päälle jo 2024

Ongelmana että tilin omistaja ei käynyt koskan missän paitsi ***.fi sähköpostissa eikä tarvitse käydä. Yhden henkilön yritys vaapaaajalla kysessä. Pää asia päästä sisään tilille

 

[Desgorr]

Eli jos nyt ymmärsin oikein, niin tuo kaksivaiheinen tunnistus (Authenticator) ei ollut aiemmin tuolla tilillä käytössä? Eli pystyi kirjautumaan vaan käyttäjänimellä ja salasanalla?

Ja kerrotko vielä mitä tarkemmin tarkoitat tällä:

Salasana oli vaihdettu toisen sp ja puh numeron kautta mutta kun kirjautuu se taas kysy autentificatorin koodia.

 

[Slavinin86]

Eli jos nyt ymmärsin oikein, niin tuo kaksivaiheinen tunnistus (Authenticator) ei ollut aiemmin tuolla tilillä käytössä? Eli pystyi kirjautumaan vaan käyttäjänimellä ja salasanalla?

Ja kerrotko vielä mitä tarkemmin tarkoitat tällä:

Tilin palautumiselle olemassa linkki siellä saa salasanan vaihtaa. PAlautumis sp:lle tulee koodi ja sitten numerolle soitto ja sitten laitan uusi salasana. Kuitenkin sitten kun kirjausdun uudella salasanalla se kysy taas sama Autentificatorin koodi. Ei ollut kaikki oli toiminut salasanalla ja tunnuksella ilman kaksivaiheinen tunnistus

 

[Slavinin86]

Nyt soitivat USA:sta tulesta ja laittoi uudelleen kaikki triedot, sulki vanhan tikettin ja avasi uuden ja heti soitti toinen ja sanoi että 48 tuntia odottaa. Tunnin päästä soitti toinen samasta numerosta ja sanoi että pitää uusi yritys tili avata ja sieltä admin ID ja sieltä sitten pyydä apua teknisesta tuesta, joak kuulosta huijaukselta. Olimme sovineet että soitta 17,00 ja jatkamme hommia.
Oikeasti voiko toi olla niin vaikea. Ja ei ole uskoa että tekninen tuki voi käsittellä toisen tilin juttua toisen bussenes tilin kautta.
Ja se tuki henkilo sanoi että ainoastan yritys tili pitäsisi olla ei henkilökontainen

 

[Desgorr]

Katso nyt ainakin, että tuo linkki vie oikeasti Microsoftin omille sivuille. Kopsaa vaikka alkuosa tänne. Älä loppua kun sisältänee tuon aktivointitunnisteen. Tunnettuja MS:n käyttämiä domaineja on esim aka.ms, onmicrosoft.com, microsoftonline.com ja toki microsoft.com
Voit vaikka nuo Microsoftin puhellinnumerotkin laittaa mihin soitit tukiasioissa.

Tosiaan MS365 tapauksessa nuo tukipyynnöt pitäisi ottaa pääasiassa kirjautuneena sieltä Admin Centerin kautta. Näkevät silloin kaikki tarvittavat tiedot ja pystyvät samalla vahvistamaan paremmin, että olet kyseisestä yrityksestä. Nyt kun lähdetään palauttamaan tiliä jolle ei edes pääse kirjautumaan saati pääse tuonne Admin Centeriin, niin homma on kertaluokkaa vaikeampi (ihan ymmärrettävistä syistä), ettei kuka tahansa voi päästä käsiksi mihin tahansa tiliin. Eli tietyt varmistukset on ainakin tehtävä.

Eli lähtökohtaisesti tuolla kannattaisi olla erillinen hallintatili, jolla on ne global admin oikeudet. Lisäksi vielä mieluiten ns Emergency tili, jolla pääsee viimeistään hallintaan sisään jos muut tilit on jostain syystä poissa pelistä. Sitten taas se tili jota käyttää sähköpostiin, Officeen, OneDriveen, Teamsiin, jne... OIisi ihan vain normaali käyttäjä. Näin kun homman tekee niin todennäköisyys sille, että kakki iskee tuulettiimeen on lähempänä nollaa.

Sanoisin, että muutenkaan MS365 ei ole se paras ratkaisu jos tietotaitoa ei ole tuon ylläpitoon tai ole jotain henkilöä tätä hoitamaan. Silloin itse katselisin Googlen Workspacea, joka on omien kokemuksien mukaan huomattavasti helpompi ylläpidolliselta kannalta. Toki voi myös ottaa joltain firmalta ns avaimet käteen palvelun jos pääasiallisesti tarvetta on vain sähköpostille.

 

[Obi-Lan]

Yleensä tämä tapahtuu kun puhelin vaihtuu eikä muista siirtää Authenticatoria uuteen puhelimeen, ellei AP ole murtautumassa kaverin tilille. Microsoftin tuki ei noita nollaa paitsi tietyissä tilanteissa admin tunnuksille ja siinäkin on oma rumbansa todistaa olevansa oikea henkilö. Ja tiketti pitää tosiaan luoda M365 portaalin kautta eivät ota pelkällä soitolla tai emaililla, jälleenmyyjäkin voi sen tehdä jos lisenssi ostettu suomalaisen firman kautta.

Normi ei-admin käyttäjille nollaus pitää tehdä itse admin tunnuksella.