Die Authentifizierung vereinheitlichen
Die in die Jahre gekommene Basisauthentifizierung wird durch die moderne Authentifizierung abgelöst.
Microsoft 365 Moderne Authentifizierung aktivieren
Die moderne Authentifizierung basiert auf den Protokollen ADAL und OAuth 2.0 und bringt die Multifaktor-Authentifizierung mit.
Weiter ist die moderne Authentifizierung Voraussetzung für den bedingten Zugriff. Damit kann eingestellt werden, unter welchen Bedingungen ein Benutzer mit einem definierten Client Zugriff auf die 0365 Dienste erhält.
Basisauthentifizierung
Bei der Nutzung der Basisauthentifizierung wird bei jeder Anforderung der Benutzername sowie das Kennwort per HTTP übertragen und an weitere Dienste übermittelt. Diese Methode ist für Brute-Force Attacken anfällig.
Moderne Authentifizierung
Die moderne Authentifizierungsmethode setzt auf ADAL und OAuth 2.0 und ist tokenbasiert. OAuth 2.0 wird somit als Verbindungsprotokoll eingesetzt und ADAL zur Authentifizierung.
Beim Einsatz der tokenbasierten Authentifizierung wird auf die ständige Eingabe von Benutzernamen und Kennwort verzichtet. Sobald ein Benutzer das Token erhalten hat, kann er für eine bestimmte Zeit auf eine bestimmte Ressourcen zugreifen.
Im Verwaltungscenter aktiviert man die moderne Authentifizierung an dieser Stelle.
Microsoft 365 Moderne Authentifizierung aktivieren
Die moderne Authentifizierung für Exchange Online per Powershell einschalten
# Connect zu Exchange Online herstellen und beenden
Import-Module ExchangeOnlineManagement; Get-Module ExchangeOnlineManagement
Connect-ExchangeOnline -UserPrincipalName “ndsedv@joernwalter.onmicrosoft.com”
Disconnect-ExchangeOnline -Confirm:$false
# Überprüfen ob die moderne Authentifizierung für Exchange Online eingeschaltet ist
(Get-OrganizationConfig).OAuth2ClientProfileEnabled
Get-OrganizationConfig | Format-Table Name,OAuth* -Auto
# Moderne Authentifizierung für Exchange Online einschalten
Set-OrganizationConfig -OAuth2ClientProfileEnabled:$true
# Moderne Authentifizierung für Exchange Online abschalten
Set-OrganizationConfig -OAuth2ClientProfileEnabled:$false
Die moderne Authentifizierung für Sharepoint prüfen und die Legacy-Authentifizierung deaktivieren
# Moderne Authentifizierung für Sharepoint einschalten
Connect-SPOService -Url https://joernwalter-admin.sharepoint.com -credential ndsedv@joernwalter.onmicrosoft.com
Get-SPOTenant
Set-SPOTenant –LegacyAuthProtocolsEnabled $false
Set-SPOTenant -OfficeClientADALDisabled $false
Die moderne Authentifizierung für Outlook 2013/2016/2019/365 erzwingen
# Ist standardmäßig für Outlook 2016/2019/365 zwar aktiv man kann es aber auch erzwingen
Windows Registry Editor Version 5.00
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Exchange] “AlwaysUseMSOAuthForAutoDiscover”=dword:00000001
# Für Outlook 2013 muss noch folgender Eintrag hinzugefügt werden
Windows Registry Editor Version 5.00
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Office\15.0\Common\Identity] “Version”=dword:00000001
“EnableADAL”=dword:00000001
Probleme mit der modernen Authentifizierung (Anmeldung) temporär beheben
Microsoft Office 365 ProPlus (2016er-Version) verwendet die Framework-basierte-Authentifizierung der Azure Active Directory Authentication Library (ADAL). Ab der Build Version 16.0.7967 wird der Web Account Manager (WAM) für Authentifizierungsversuche eingesetzt.
Mit folgenden Problemen kann gerechnet werden:
- Benutzer können sich nicht mehr authentifizieren sobald das Kennwort zurückgesetzt wurde
- Benutzer werden nur noch sporadisch zur 2FA aufgefordert
Unter diesem Pfad könnte versucht werden, folgende Einträge zu setzen, um WAM zu unterdrücken.
Windows Registry Editor Version 5.00
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Office\16.0\Common\Identity]
“DisableAADWAM”=dword:00000001 # temporär deaktivieren
“DisableADALatopWAMOverride”=dword:00000001 # temporär deaktivieren
“EnableADAL”=dword:00000001 # Forciert die morderne Authentifizierung
Sollte das nicht helfen, dann kann ich nur noch auf die Seite von Microsoft verweisen.
Optional:
Wenn jemand beim importieren eines Moduls folgenden Hinweis erhält, dann kann das mit dem Parameter Import-Module –DisableNameChecking verhindert werden.
WARNING: The names of some imported commands from the module ‘todo’ include unapproved verbs that might make them less discoverable. To find the commands with unapproved verbs, run the Import-Module command again with the Verbose parameter. For a list of approved verbs, type Get-Verb.
