Կորած VPN նույնականացուցիչ. փոխարինել առանց MFA-ն անջատելու
Կորած գործոնը վերականգնման խնդիր է, ոչ թե խափանում։ Ստուգեք ձախողված ուղուց դուրս, գրանցեք փոխարինող, դուրս բերեք հին մեթոդը, ապա ապացուցեք, որ մուտքը աշխատում է։
Ինչ-որ մեկը կորցնում է հեռախոսը, և տոմսը գալիս է որպես VPN փչացած։ Այդ ձևակերպումը երկու անգամ սխալ է. հաշիվը դեռ գոյություն ունի, և դարպասը դեռ վստահում է ինքնության մատակարարին, ուստի միակ փչացած մասը մեկ գործոնն է, որն այլևս մարդու մոտ չէ։ Վերաբերվեք դրան որպես վերականգնման, ոչ թե խափանման. ստուգեք հայտատուին, գրանցեք փոխարինող, դուրս բերեք կորած մեթոդը, ապա ապացուցեք, որ հաշիվը աշխատում է։ Այս ամենը ենթադրում է, որ ծրագիրը գրվել է կորստից առաջ, որովհետև այն զանգի ընթացքում հորինելը հենց այն ուղին է, որով MFA-ն ի վերջո անջատվում է բոլորի համար։
Քայլ 1. կարդացեք գրանցված գործոնները գրառումից, ոչ թե հիշողությունից
Առաջին հարցը ոչ թե այն է, թե որ սարքն է կորել, այլ այն, թե հաշիվը դեռ ինչ կարող է օգտագործել։ Հաշիվը կարող է ունենալ գաղտնաբառ՝ push-ի հետ, ժամանակային կոդ, ապարատային բանալի և տպված վերականգնման կոդեր, և դրանցից մեկը կորցնելը բոլորովին այլ իրադարձություն է, քան միակը կորցնելը։ Կարդացեք մեթոդների ցանկը ինքնության համակարգից՝ փոխարենը օգտատիրոջից պահանջելու հիշել այն, և Microsoft Entra վարձակալում հարցումը մեկ տող է:
Get-MgUserAuthenticationMethod -UserId [email protected]Այնուհետև գրեք վերականգնման գրառումը, քանի դեռ հաշիվը աշխատում է. հաշվի նույնացուցիչ, գրանցված գործոններ, որտեղ են ապրում վերականգնման կոդերը, ով կարող է ինքնուրույն ստուգել հայտատուին և թե որ համակարգերին է հասնում հաշիվը։ Պահեք այն թիմի արդեն օգտագործած պաշտպանված գույքագրում, երբեք այնպիսի նշումում, որտեղ կան նաև կենդանի կոդեր։ Այդ հինգ դաշտերը խուճապային զանգը վերածում են ստուգաթերթի, և NIST-ի նույնականացուցիչի կյանքի ցիկլի ուղեցույցը վերականգնումը համարում է վկայագրի մաս, ոչ թե դրանից բացառություն։
Գրանցեք ստուգման ուղին որպես առանձին դաշտ, որովհետև հենց այդ մասն են մարդիկ բաց թողնում։ Հաշվին կցված հեռախոսահամարը ինքնուրույն ուղի չէ, երբ հարցնողն ինքն է վերահսկում հեռախոսը։
Քայլ 2. ստուգեք հայտատուին ձախողված ուղուց դուրս
Անցկացրեք ինքնության ստուգումը այնպիսի ուղով, որը կախված չէ VPN-ից, փոստարկղից կամ կորած սարքից։ Զանգահարեք հետ HR գրառման համարին, կամ անձնական ստուգում այն ղեկավարի հետ, ով արդեն գրացուցակում է. երկուսն էլ աշխատում են. վերականգնվող հաշվից ուղարկված չաթի հաղորդագրությունը չի աշխատում։ Ստուգումը վերաբերում է մարդուն, ոչ թե հաշվի մասին հարցերին պատասխանելու նրա ունակությանը, որովհետև հաշվի մանրամասները արտահոսում են։ Գրանցեք, թե ով է ստուգել հարցումը և երբ, քանի որ հաջորդ վերանայողը կցանկանա երկուսն էլ։
Երբ հարցումը գալիս է շտապողականությամբ և ստուգումը բաց թողնելու ճնշմամբ, հենց այդ պահին է, որ պետք է դանդաղել։ Վերականգնման խարդախությունը ճիշտ նման է շտապող օգտակար գործընկերոջ։
Քայլ 3. գրանցեք փոխարինողը, ապա դուրս բերեք հին գործոնը
Գրանցեք նոր նույնականացուցիչը սովորական գրանցման հոսքով, երբեք վարչական շրջանցմամբ։ Այնուհետև բացահայտորեն հեռացրեք կորած մեթոդը, որովհետև փոխարինողի գրանցումը նախորդ նույնականացուցիչին թողնում է լիազորված, քանի դեռ ինչ-որ մեկը դուրս չի բերել այն։ Եթե հին սարքը կարող է լինել ուրիշի ձեռքում, հեռացումը համարեք շտապ և հետևեք միջադեպի գործընթացին, ոչ թե վերականգնմանը։ Չեղարկեք գոյություն ունեցող նստաշրջանները նույն անցումով, քանի որ փոփոխությունից առաջ ստեղծված նստաշրջանը կարող է ապրել դրանից ավելի:
Revoke-MgUserSignInSession -UserId [email protected]Գործոնը բոլորից հեռացնելը կամ դարպասի վկայագրի ստուգումները թուլացնելը մեկ մարդու վերականգնումը փոխանակում է ամբողջ տեղաբաշխումը շոշափող խափանման հետ։ Սահմանափակեք փոփոխությունը մեկ հաշվով և բարձրացրեք, եթե ապացույցները մատնանշում են ավելի լայն փոխզիջում։ Տոմսում նշեք, թե որ գործոնը դուրս բերվեց և որը փոխարինեց նրան։
Քայլ 4. ապացուցեք, որ հաշիվը աշխատում է երկու ուղղությամբ
Մուտք գործեք մեկ անգամ նոր գործոնով աջակցվող հաճախորդի միջոցով, ապա հաստատեք, որ հաշիվը դեռ հասնում է այն ռեսուրսներին, որոնց հասնում էր կորստից առաջ։ Փորձեք մեկ ռեսուրս, որին պետք է թունելը, և մեկը, որին պետք չէ, որպեսզի խափանումը մատնանշի ճիշտ շերտը։ Փորձեք մուտք դուրս բերված գործոնով և սպասեք մերժման, ոչ թե հուշման, ինչը ապացուցում է, որ հեռացումը ուժի մեջ է մտել։ Գոյություն ունեցող գրանցված սարքից ձախողվող մարտահրավերը հուշման խնդիր է, ոչ թե պատճառ ամեն ինչ նորից գրանցելու։
Ապա խնդրեք օգտատիրոջը կատարել նույն մուտքը առանց ուղղորդման։ Ձեր հաջող փորձարկումը ապացուցում է կազմաձևը. նրա փորձը՝ հանձնումը։
Փակեք տոմսը հաջող մուտքի ժամանակադրոշմով և այժմ օգտագործվող գործոնի անունով։ Թարմացրեք վերականգնման գրառումը նույն անցումով, որպեսզի հաջորդ կորուստը սկսվի ճշգրիտ գույքագրից, ոչ թե հնացածից։
Քայլ 5. հեռացրեք այն պայմանը, որն այս ամենը ցավոտ դարձրեց
Յուրաքանչյուր վերականգնման զանգ ապացույց է գրանցման ձևավորման մասին։ Եթե հաշիվն ուներ ուղիղ մեկ գործոն, պահանջեք երկրորդը այդ խմբի բոլորի համար։ Եթե վերականգնման կոդերը կորած նոթբուքի վրա էին, փոխեք, թե որտեղ են ապրում։ Եթե ստուգումը պահանջում էր արձակուրդում գտնվող ղեկավար, նշանակեք տեղակալ։ Յուրաքանչյուր ուղղում տևում է կես օր և հեռացնում հաջորդ միջադեպի ամենավատ ժամը։
Ապա նորից կարդացեք առաջին քայլի գրառումը իրականության դեմ։ Արդյոք այն թվարկում է իրականում գոյություն ունեցող գործոնները, և արդյոք ստուգման ուղին դեռ հասնում է մարդու։ Ձեռնարկը, որը ոչ ոք չի թարմացնում, վերածվում է փաստաթղթի, որն մարդիկ անտեսում են հենց այն զանգի ընթացքում, որի համար գրվել է։