Lesedauer 2 Minuten

Die Authentifizierung vereinheitlichen

Die in die Jahre gekommene Basisauthentifizierung wird durch die moderne Authentifizierung abgelöst.

Die moderne Authentifizierung basiert auf OAuth und bringt die Multifaktor-Authentifizierung mit.

Weiter ist die moderne Authentifizierung Voraussetzung für den bedingten Zugriff. Damit kann eingestellt werden, unter welchen Bedingungen ein Benutzer mit einem definierten Client Zugriff auf die 0365 Dienste erhält.

Basisauthentifizierung

Bei der Nutzung der Basisauthentifizierung wird bei jeder Anforderung der Benutzername sowie das Kennwort per HTTP übertragen und an weitere Dienste übermittelt. Diese Methode ist für Brute-Force Attacken anfällig.

Moderne Authentifizierung

Die moderne Authentifizierungsmethode setzt auf OAuth 2.0 und ist tokenbasiert. Dabei setzt diese auf die die Active-Directory-Authentifizierungsbibliothel (ADAL). OAuth 2.0 wird somit als Verbindungsprotokoll eingesetzt und ADAL zur Authentifizierung.

Beim Einsatz der einer tokenbasierten Authentifizierung wird auf die ständige Eingabe von Benutzernamen und Kennwort verzichtet. Sobald ein Benutzer das Token erhalten hat, kann er für eine bestimmte Zeit auf eine bestimmte Ressourcen zugreifen.

Im Verwaltungscenter aktiviert man die moderne Authentifizierung an dieser Stelle.

Die moderne Authentifizierung für Exchange Online per Powershell einschalten

# Connect zu Exchange Online herstellen und beenden
Import-Module ExchangeOnlineManagement; Get-Module ExchangeOnlineManagement
Connect-ExchangeOnline -UserPrincipalName “ndsedv@joernwalter.onmicrosoft.com”
Disconnect-ExchangeOnline -Confirm:$false

# Überprüfen ob die moderne Authentifizierung für Exchange Online eingeschaltet ist
(Get-OrganizationConfig).OAuth2ClientProfileEnabled
Get-OrganizationConfig | Format-Table Name,OAuth* -Auto

# Moderne Authentifizierung für Exchange Online einschalten
Set-OrganizationConfig -OAuth2ClientProfileEnabled:$true

# Moderne Authentifizierung für Exchange Online abschalten
Set-OrganizationConfig -OAuth2ClientProfileEnabled:$false

Die moderne Authentifizierung für Skype for Business per Powershell einschalten

# Download Skype Powershell-Module
https://download.microsoft.com/download/1/9/F/19F59998-D298-49F1-90FC-D916739A5C1F/SkypeOnlinePowerShell.exe

# Moderne Authentifizierung für Skype for Business einschalten
Import-Module SkypeOnlineConnector
$skypeSession = New-CsOnlineSession
Import-PSSession $skypeSession
Get-CsOAuthConfiguration
Set-CsOAuthConfiguration -ClientAdalAuthOverride Allowed
Remove-PSSession $skypeSession

Die moderne Authentifizierung für Sharepoint prüfen und die Legacy-Authentifizierung deaktivieren

# Moderne Authentifizierung für Sharepoint einschalten
Connect-SPOService -Url https://joernwalter-admin.sharepoint.com -credential ndsedv@joernwalter.onmicrosoft.com
Get-SPOTenant
Set-SPOTenant –LegacyAuthProtocolsEnabled $false
Set-SPOTenant -OfficeClientADALDisabled $false

Die moderne Authentifizierung für Outlook 2013/2016/2019/365 erzwingen

# Ist standardmäßig für Outlook 2016/2019/365 zwar aktiv man kann es aber auch erzwingen
Windows Registry Editor Version 5.00
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Exchange] “AlwaysUseMSOAuthForAutoDiscover”=dword:00000001

# Für Outlook 2013 muss noch folgender Eintrag hinzugefügt werden
Windows Registry Editor Version 5.00
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Office\15.0\Common\Identity] “Version”=dword:00000001
“EnableADAL”=dword:00000001

Optional:

Wenn jemand beim importieren eines Moduls folgenden Hinweis erhält, dann kann das mit dem Parameter Import-Module –DisableNameChecking verhindert werden.

WARNING: The names of some imported commands from the module ‘todo’ include unapproved verbs that might make them less discoverable. To find the commands with unapproved verbs, run the Import-Module command again with the Verbose parameter. For a list of approved verbs, type Get-Verb.