Planen der obligatorischen mehrstufigen Authentifizierung für Azure und andere Verwaltungsportale

Bei Microsoft sind wir bestrebt, unseren Kundinnen und Kunden ein Höchstmaß an Sicherheit zu bieten. Eine der effektivsten Sicherheitsmaßnahmen, die ihnen zur Verfügung stehen, ist die Multi-Faktor-Authentifizierung (MFA). Untersuchungen von Microsoft zeigen, dass MFA mehr als 99,2% von Kontokompromittierungsangriffen blockieren kann.

Aus diesem Grund erzwingen wir ab 2024 obligatorische MFA für alle Azure Anmeldeversuche. Weitere Informationen zu dieser Anforderung finden Sie in unseren Blogbeiträgen Azure obligatorische mehrstufige Authentifizierung: Phase 2 ab Oktober 2025 und Announcing obligatorische mehrstufige Authentifizierung für Azure Anmeldung. In diesem Thema wird erläutert, welche Anwendungen und Konten betroffen sind, wie die Durchsetzung bei Mandanten umgesetzt wird und es werden weitere allgemeine Fragen und Antworten behandelt.

Es gibt keine Änderung für Benutzer, wenn Ihre Organisation bereits MFA für sie erzwingt oder wenn sie sich mit stärkeren Methoden wie passwortlos oder Passkey (FIDO2) anmelden. Informationen zum Überprüfen, ob MFA aktiviert ist, finden Sie unter Wie man überprüft, ob Benutzer für verpflichtendes MFA eingerichtet sind.

Umfang der Durchsetzung

Der Umfang der Durchsetzung umfasst, wann die Erzwingung geplant ist, welche Anwendungen MFA erzwingen möchten, Anwendungen, die außerhalb des Gültigkeitsbereichs liegen und welche Konten über eine obligatorische MFA-Anforderung verfügen.

Durchsetzungsphasen

Die Durchsetzung von MFA für Anwendungen wird in zwei Phasen durchgeführt.

Phase 1-Anwendungen

Ab Oktober 2024 ist MFA für Konten erforderlich, die sich beim Azure portal, Microsoft Entra Admin Center und Microsoft Intune Admin Center anmelden, um alle CRUD-Vorgänge (Create, Read, Update oder Delete) auszuführen. Die Durchsetzung wird schrittweise für alle Mandanten weltweit eingeführt. Ab Februar 2025 beginnt die schrittweise Durchsetzung der Mehrfaktorauthentifizierung (MFA) für die Anmeldung im Microsoft 365 Verwaltungszentrum. Phase 1 wirkt sich nicht auf andere Azure Clients wie Azure CLI, Azure PowerShell, Azure mobile App oder IaC-Tools aus.

Phase 2-Anwendungen

Ab dem 1. Oktober 2025 beginnt die MFA-Erzwingung schrittweise für Konten, die sich bei Azure CLI, Azure PowerShell, Azure mobilen App, IaC-Tools und REST-API-Endpunkten anmelden, um alle Vorgänge "Erstellen", "Aktualisieren" oder "Löschen" auszuführen. für Lesevorgänge ist keine MFA erforderlich.

Einige Kunden verwenden möglicherweise ein Benutzerkonto in Microsoft Entra ID als Dienstkonto. Es wird empfohlen, diese benutzerbasierten Dienstkonten zu migrieren, um cloudbasierte Dienstkonten mit Workloadidentitäten zu sichern.

Anwendungs-IDs und URLs

In der folgenden Tabelle sind betroffene Apps, App-IDs und URLs für Azure aufgeführt.

In der folgenden Tabelle sind betroffene Apps und URLs für Microsoft 365 aufgeführt.

Konten

Alle Konten, die sich anmelden, um vorgänge auszuführen, die im Abschnitt "Anwendungen" zitiert werden, müssen MFA abschließen, wenn die Erzwingung beginnt. Benutzer müssen keine Multi-Faktor-Authentifizierung (MFA) verwenden, wenn sie auf andere Anwendungen, Websites oder Dienste zugreifen, die auf Azure gehostet werden. Jeder zuvor aufgeführte Anwendungs-, Website- oder Dienstbesitzer steuert die Authentifizierungsanforderungen für Benutzer.

Notfallzugangskonten, wie Break Glass Accounts, müssen ebenfalls mit MFA anmelden, sobald die Durchsetzung beginnt. Es wird empfohlen, diese Konten so zu aktualisieren, dass sie passkey (FIDO2) verwenden oder die zertifikatbasierte Authentifizierung für MFA konfigurieren. Beide Methoden erfüllen die MFA-Anforderung.

Workloadidentitäten, z. B. verwaltete Identitäten und Dienstprinzipale, wirken sich nicht auf beide Phasen dieser MFA-Erzwingung aus. Wenn Benutzeridentitäten verwendet werden, um sich als Dienstkonto anzumelden, um die Automatisierung (einschließlich Skripts oder andere automatisierte Aufgaben) auszuführen, müssen sich diese Benutzeridentitäten nach Beginn der Erzwingung mit MFA anmelden. Benutzeridentitäten werden für die Automatisierung nicht empfohlen. Sie sollten diese Benutzeridentitäten zu Workloadidentitäten migrieren.

Clientbibliotheken

Der OAuth 2.0 Resource Owner Password Credentials (ROPC)-Tokenzuteilungsfluss ist nicht mit MFA kompatibel. Nachdem MFA in Ihrem Microsoft Entra-Mandanten aktiviert wurde, lösen ROPC-basierte APIs, die in Ihren Anwendungen verwendet werden, Ausnahmen aus. Weitere Informationen zum Migrieren von ROPC-basierten APIs in Microsoft Authentication Libraries (MSAL) finden Sie unter How to migrate away from ROPC. Sprachspezifische MSAL-Anleitungen finden Sie auf den folgenden Registerkarten.

Die gleichen allgemeinen MSAL-Richtlinien gelten für die Azure Identity-Bibliotheken. Die UsernamePasswordCredential in diesen Bibliotheken bereitgestellte Klasse verwendet MSAL ROPC-basierte APIs. Sprachspezifische Anleitungen finden Sie auf den folgenden Registerkarten.

Migrieren von benutzerbasierten Dienstkonten zu Workloadidentitäten

Es wird empfohlen, dass Kunden Benutzerkonten entdecken, die als Dienstkonten verwendet werden, und damit beginnen, sie zu Workloadidentitäten zu migrieren. Bei der Migration müssen häufig Skripts und Automatisierungsprozesse aktualisiert werden, um Workloadidentitäten zu verwenden.

Überprüfen Sie , wie Sie überprüfen, ob Benutzer für obligatorische MFA eingerichtet sind , um alle Benutzerkonten zu identifizieren, einschließlich Benutzerkonten, die als Dienstkonten verwendet werden, die sich bei den Anwendungen anmelden.

Weitere Informationen zum Migrieren von benutzerbasierten Dienstkonten zu Workloadidentitäten für die Authentifizierung mit diesen Anwendungen finden Sie unter:

• Melden Sie sich mit einer verwalteten Identität über die Azure-CLI bei Azure an
• Melden Sie sich bei Azure mit einem Dienstprinzipal über die Azure CLI an
• Eine nicht-interaktive Anmeldung bei Azure PowerShell für Automatisierungsszenarien umfasst Anleitungen für sowohl verwaltete Identitäten als auch Dienstprinzipal-Anwendungsfälle

Einige Kunden wenden Richtlinien für bedingte Access auf benutzerbasierte Dienstkonten an. Sie können die benutzerbasierte Lizenz zurückfordern und eine workload-Identitäten Lizenz hinzufügen, um Conditional Access für Workloadidentitäten anzuwenden.

Migrieren des Verbundidentitätsanbieters zu externen Authentifizierungsmethoden

Die Unterstützung für externe MFA-Lösungen befindet sich in der Vorschau mit externen Authentifizierungsmethoden und kann verwendet werden, um die MFA-Anforderung zu erfüllen. Die Legacy-Preview von benutzerdefinierten bedingten Zugriffssteuerungen erfüllt die MFA-Anforderung nicht. Sie sollten zur Vorschau der externen Authentifizierungsmethoden migrieren, um eine externe Lösung mit Microsoft Entra ID zu verwenden.

Wenn Sie einen Verbundidentitätsanbieter (Federated Identity Provider, IdP) verwenden, z. B. Active Directory Federation Services, und Ihr MFA-Anbieter direkt in diesen Verbund-IdP integriert ist, muss der Verbund-IDP für das Senden eines MFA-Anspruchs konfiguriert werden. Weitere Informationen finden Sie unter "Erwartete eingehende Assertionen für Microsoft Entra MFA".

Bereiten Sie sich auf die obligatorische MFA-Durchsetzung vor

Um sich auf die MFA-Erzwingung vorzubereiten, konfigurieren Sie eine Conditional-Access-Richtlinie, für die Benutzer sich mit MFA anmelden müssen. Wenn Sie Ausnahmen oder Ausschlüsse in der Richtlinie konfiguriert haben, gelten sie nicht mehr. Wenn Sie restriktivere Conditional Access-Richtlinien haben, die auf Azure abzielen und eine stärkere Authentifizierung erfordern, z. B. phishing-resistente MFA, bleiben diese durchgesetzt.

Für bedingten Zugriff ist eine Microsoft Entra ID P1- oder P2-Lizenz erforderlich. Wenn Sie bedingten Zugriff nicht verwenden können, aktivieren Sie Sicherheitsstandards.

Sie können MFA selbst erzwingen, indem Sie integrierte Definitionen in Azure Policy verwenden. Weitere Informationen und eine schrittweise Übersicht zum Anwenden dieser Richtlinienzuweisungen in Ihrer Umgebung finden Sie unter Tutorial: Anwenden der MFA-Selbsterzwingung über Azure Policy.

Stellen Sie für eine optimale Kompatibilität sicher, dass Benutzer in Ihrem Mandanten Azure CLI Version 2.76 und Azure PowerShell Version 14.3 oder höher verwenden. Andernfalls können Sie erwarten, dass Fehlermeldungen angezeigt werden, wie in den folgenden Themen erläutert:

• Fehlerbehebung bei MFA-Fehlern in Azure PowerShell
• Beheben von MFA-Fehlern in Azure CLI

Mehr Zeit zur Vorbereitung auf die Durchsetzung von Phase 1 der MFA anfordern

Wir verstehen, dass einige Kundinnen und Kunden möglicherweise mehr Zeit benötigen, um sich auf diese MFA-Anforderung vorzubereiten. Microsoft ermöglicht Es Kunden mit komplexen Umgebungen oder technischen Barrieren, die Durchsetzung von Phase 1 für ihre Mandanten bis zum 30. September 2025 zu verschieben.

Für jeden Mandanten, an dem der Starttermin der Erzwingung verschoben werden soll, kann ein Global Administrator zum https://aka.ms/managemfaforazure wechseln, um ein Startdatum auszuwählen.

Mehr Zeit für die Vorbereitung auf die MFA-Erzwingung der Phase 2 anfordern

Microsoft ermöglicht Es Kunden mit komplexen Umgebungen oder technischen Barrieren, die Durchsetzung von Phase 2 für ihre Mandanten bis zum 1. Juli 2026 zu verschieben. Sie können mehr Zeit anfordern, um sich auf die Durchsetzung der Phase 2 der MFA vorzubereiten, unter „https://aka.ms/postponePhase2MFA“. Wählen Sie ein anderes Startdatum und klicken Sie auf Übernehmen. Nach Beginn der Erzwingung der Phase 2 können Sie eine Anforderung an Microsoft-Hilfe und -Support übermitteln, um die Durchsetzung vorübergehend aufzuheben. Die Anforderung muss durch eine Global Administrator aufgrund der Sicherheitsauswirkungen erfolgen.

Bestätigen Sie die obligatorische MFA-Durchsetzung

Nach der Erzwingung wird ein Banner im Azure portal angezeigt:

Microsoft Entra ID Sign-In-Protokolle zeigen die Anwendung an, die MFA als Quelle für die MFA-Anforderung durchgesetzt hat.

Häufig gestellte Fragen

Frage: Welche Konten sind von phase 2 MFA-Durchsetzung betroffen?

Answer: Azure Phase 2-Erzwingung gilt für alle Benutzerkonten, die Azure Ressourcenverwaltungsaktionen über jeden Azure-Client durchführen, einschließlich PowerShell, CLI, SDKs oder sogar REST-APIs. Diese Erzwingung befindet sich auf der Azure Resource Manager Serverseite, sodass alle Anforderungen, die auf https://management.azure.com abzielen, im Rahmen der Erzwingung stehen. Automatisierungskonten liegen nicht im Gültigkeitsbereich, solange sie eine verwaltete Identität oder einen Dienstprinzipal verwenden. Alle Automatisierungskonten, die als Benutzeridentitäten eingerichtet sind, werden erzwungen.

Question: Wie kann ich die Auswirkungen der MFA-Durchsetzung ohne bedingten Zugriff verstehen?

Answer: Wenn Ihre Microsoft Entra ID-Lizenz keine bedingten Access enthält, können Sie Azure Policy verwenden, um zu verstehen, wie sich die MFA-Erzwingung auf Ihren Mandanten auswirkt. Während der Systemerzwingung stellt Microsoft den Azure Policy für Ihren Mandanten bereit. Sie können diese Schritte ausführen, um die gleiche Azure policy jederzeit selbst bereitzustellen. Sie können die Richtlinie im Überwachungsmodus bereitstellen und dann in den Erzwingungsmodus konvertieren. Sie können das Datum auswählen, an dem diese Richtlinie in Ihrem Tenant angewendet werden soll, während Sie den Erzwingungsmodus verwenden. Wenn Microsoft dann MFA erzwingt, gibt es keine weiteren Auswirkungen auf Ihren Mandanten.

Frage: Gibt es Ausnahmen für bestimmte Konten?

Answer: Die Systemerzwingung gilt für alle Benutzerkonten, unabhängig davon, ob es sich um ein Schülerkonto, ein Break-Glass-Konto, ein Administratorkonto mit aktivierten oder berechtigten Rollen oder um Benutzerausschlüsse handelt, die für sie aktiviert sind. Jeder dieser Kontotypen kann Ressourcenverwaltungsaktionen in Azure ausführen, was dasselbe Sicherheitsrisiko darstellt, wenn sie kompromittiert werden.

Question: Werden Microsoft Graph APIs im Rahmen der Durchsetzung von Phase 2 durchgesetzt?

Answer: Im Allgemeinen fallen Microsoft Graph-APIs nicht in den Anwendungsbereich der Durchsetzung von Azure MFA. Nur Anforderungen, die an https://management.azure.com/ gesendet werden, unterliegen der Durchsetzung.

Frage: Wenn der Mandant nur für Tests verwendet wird, ist MFA erforderlich?

Answer: Ja, jeder Azure Mandant erfordert MFA ohne Ausnahme für Testumgebungen.

Question: Wie wirkt sich diese Anforderung auf die Microsoft 365 admin center aus?

Answer: Die obligatorische MFA wird ab Februar 2025 für das Microsoft 365 Admin Center eingeführt. Erfahren Sie mehr über die verpflichtende MFA-Vorgabe für das Microsoft 365 Admin Center im Blogbeitrag Einführung einer verpflichtenden Multifaktor-Authentifizierung für das Microsoft 365 Admin Center.

Frage: Muss ich MFA durchführen, wenn ich die Option Angemeldet bleiben wähle?

Antwort: Ja, selbst wenn Sie " Angemeldet bleiben" auswählen, müssen Sie MFA abschließen, bevor Sie sich bei diesen Anwendungen anmelden können.

Frage: Gilt die Durchsetzung für B2B-Gastkonten?

Answer: Ja, MFA muss entweder vom Partnerressourcenmandanten oder vom Heimmandanten des Benutzers eingehalten werden, sofern er ordnungsgemäß eingerichtet ist, um MFA-Authentifizierungsanforderungen mithilfe von mandantenübergreifendem Zugriff an den Ressourcenmandanten zu senden.

Frage: Gilt die Durchsetzung für Azure Government oder für die souveränen Clouds von Azure?

Answer: Microsoft erzwingt obligatorische MFA nur in der öffentlichen Azure Cloud. Microsoft erzwingt derzeit keine MFA in Azure für die US-Regierung oder andere souveräne Azure-Clouds.

Frage: Wie können wir einhalten, wenn wir MFA mithilfe eines anderen Identitätsanbieters oder einer anderen MFA-Lösung erzwingen, und wir nicht mit Microsoft Entra MFA erzwingen?

Answer: MFA von Drittanbietern kann direkt in Microsoft Entra ID integriert werden. Weitere Informationen finden Sie in der Referenz zum Anbieter externer Methoden für die mehrstufige Authentifizierung von Microsoft Entra. Microsoft Entra ID können optional mit einem Verbundidentitätsanbieter konfiguriert werden. Wenn ja, muss die Identitätsanbieterlösung ordnungsgemäß konfiguriert werden, um den Mehrfachauthentifizierungsanspruch an Microsoft Entra ID zu senden. Weitere Informationen finden Sie unter Satisfy Microsoft Entra ID MFA-Steuerelemente mit MFA-Ansprüchen aus einer Verbund-IDP.

Frage: Wirkt sich die obligatorische MFA auf meine Synchronisierung mit Microsoft Entra Connect oder Microsoft Entra Cloud Sync aus?

Antwort: Nein. Das Synchronisierungsdienstkonto ist nicht von der obligatorischen MFA-Anforderung betroffen. Nur anwendungen, die zuvor aufgeführt wurden, erfordern MFA für die Anmeldung.

Frage: Kann ich mich abmelden?

Answer: Es gibt keine Möglichkeit, sich abzumelden. Diese Sicherheitsbewegung ist für die Sicherheit und Sicherheit der Azure Plattform von entscheidender Bedeutung und wird von Cloudanbietern wiederholt. Beispiel: Siehe Secure by Design: AWS zur Verbesserung der MFA-Anforderungen im Jahr 2024.

Eine Option zum Verschieben des Startdatums der Durchsetzung ist für Kunden verfügbar. Globale Administratoren können zur Azure portal wechseln, um den Anfangstermin der Erzwingung für ihren Mandanten zu verschieben. Globale Administratoren müssen über elevated access verfügen, bevor sie das Startdatum der MFA-Erzwingung auf dieser Seite verschieben. Sie müssen diese Aktion für jeden Mandanten ausführen, der verschoben werden muss.

Question: Kann ich MFA testen, bevor Azure die Richtlinie erzwingt, um sicherzustellen, dass nichts unterbrochen wird?

Answer: Ja, Sie können Ihre MFA testen über den manuellen Einrichtungsprozess für MFA. Wir empfehlen Ihnen, dies einzurichten und zu testen. Wenn Sie bedingten Zugriff verwenden, um MFA zu erzwingen, können Sie bedingte Zugriffsvorlagen verwenden, um Ihre Richtlinie zu testen. Weitere Informationen finden Sie unter Mehrfaktor-Authentifizierung für Administratoren, die auf Microsoft-Administrationsportale zugreifen, erforderlich machen. Wenn Sie eine kostenlose Edition von Microsoft Entra ID ausführen, können Sie security defaults aktivieren.

Frage: Was passiert, wenn ich MFA bereits aktiviert habe?

Answer: Kunden, die bereits MFA für ihre Benutzer benötigen, die auf die zuvor aufgeführten Anwendungen zugreifen, sehen keine Änderungen. Wenn Sie nur MFA für eine Teilmenge von Benutzern benötigen, müssen alle Benutzer, die MFA noch nicht verwenden, jetzt MFA verwenden, wenn sie sich bei den Anwendungen anmelden.

Question: Wie kann ich die MFA-Aktivität in Microsoft Entra ID überprüfen?

Antwort: Um Details zu überprüfen, wann ein Benutzer aufgefordert wird, sich mit MFA anzumelden, verwenden Sie die Microsoft Entra-Anmeldeprotokolle. Weitere Informationen finden Sie unter Anmeldeereignisdetails für die mehrstufige Microsoft Entra-Authentifizierung.

Frage: Was geschieht, wenn ich ein "Bruchglas"-Szenario habe?

Antwort: Wir empfehlen, diese Konten für die Verwendung von Passkey (FIDO2) zu aktualisieren oder die zertifikatbasierte Authentifizierung für MFA zu konfigurieren. Beide Methoden erfüllen die MFA-Anforderung.

Frage: Was geschieht, wenn ich keine E-Mail zur Aktivierung von MFA erhalte, bevor sie durchgesetzt wurde, und dann werde ich gesperrt. Wie sollte ich das Problem lösen?

Antwort: Benutzer sollten nicht gesperrt werden, aber sie erhalten möglicherweise eine Meldung, die sie auffordert, MFA zu aktivieren, sobald die Erzwingung für ihren Mandanten gestartet wurde. Wenn der Benutzer gesperrt ist, gibt es möglicherweise andere Probleme. Weitere Informationen finden Sie unter "Konto wurde gesperrt".

Zugehöriger Inhalt

Lesen Sie die folgenden Themen, um mehr über die Konfiguration und Bereitstellung von MFA zu erfahren:

• So verschieben Sie die Erzwingung für einen Mandanten, bei dem Benutzer sich nicht signieren können
• So überprüfen Sie, ob Benutzer für obligatorische MFA eingerichtet sind
• Tutorial: Sichere Benutzeranmeldungsereignisse mit mehrstufiger Microsoft Entra-Authentifizierung
• Secure-Anmeldeereignisse mit Microsoft Entra multifactor
• Planen einer mehrstufigen Bereitstellung der Microsoft Entra-Authentifizierung
• Phishing-resistente MFA-Methoden
• Mehrstufige Microsoft Entra-Authentifizierung
• Authentifizierungsmethoden