Microsoft посилює вимоги безпеки для сервісу скидання паролів у Microsoft Entra ID запроваджуючи важливу зміну в механізмі автентифікації, яка почне впроваджуватися вже найближчими місяцями. Цей крок є частиною масштабного оновлення політик доступу та захисту корпоративних даних у хмарній екосистемі Microsoft.
Що змінюється в Entra IDMicrosoft Entra ID — це система керування ідентичностями та доступом (IAM яка забезпечує такі ключові функції, як єдиний вхід (SSO багатофакторну автентифікацію (MFA) та політики умовного доступу. Раніше ця платформа була відома як Azure Active Directory, однак у 2023 році її перейменували.
Тепер компанія оголосила про суттєве посилення правил для Self-Service Password Reset (SSPR) — функції, яка дозволяє користувачам самостійно відновлювати доступ до акаунтів.
Нові правила безпекиЗгідно з оновленням у центрі повідомлень Microsoft (MC1325414) компанія поступово відмовляється від використання неформально збережених контактних даних для скидання паролів. Раніше користувачі могли застосовувати будь-які дані з профілю — наприклад, резервну електронну пошту або номер телефону — навіть якщо вони не були офіційно підтверджені як методи автентифікації.
Тепер ситуація змінюється: для відновлення доступу дозволятимуться лише ті методи, які користувачі попередньо зареєстрували та підтвердили як надійні.
Коли запрацюють зміниMicrosoft планує впровадження змін у кілька етапів:
- з 6 липня — почнеться інформаційна кампанія для користувачів із закликом зареєструвати методи автентифікації;
- з 7 вересня — стартує примусове застосування нових правил;
- після цього користувачі, які не налаштували підтверджені методи, не зможуть самостійно скидати паролі.
Хто постраждає від змінЗа даними Microsoft близько 86% користувачів SSPR уже використовують зареєстровані методи входу, тому для них нічого не зміниться. Проблеми можуть виникнути лише у тих, хто досі покладався на неофіційно збережені контактні дані.
У таких випадках система вимагатиме або реєстрації способу автентифікації, або звернення до IT-адміністраторів.
Рекомендації для адміністраторівIT-командам радять заздалегідь перевірити покриття SSPR через центр адміністрування Microsoft Entra та переконатися, що всі співробітники мають щонайменше один підтверджений метод входу.
Особливу увагу слід приділити адміністраторам систем, оскільки їхні акаунти є найкритичнішими для інфраструктури.
Також рекомендується підготувати резервні сценарії відновлення доступу та заздалегідь інформувати користувачів про майбутні зміни.
Частина глобальної стратегії безпекиMicrosoft класифікує це оновлення як «Major Change» що підкреслює його важливість. Воно є частиною ініціативи Secure Future Initiative (SFI) спрямованої на посилення кіберзахисту корпоративних систем. Фактично компанія рухається до моделі, де кожен метод відновлення доступу має бути не просто записаним у профілі, а чітко підтвердженим і захищеним.
Нові правила Microsoft Entra ID — це ще один крок у напрямку більш жорсткої, але й більш безпечної цифрової екосистеми. Для більшості користувачів зміни пройдуть непомітно, однак для організацій, які не приділяли достатньої уваги налаштуванню автентифікації, це стане серйозним сигналом до дій уже зараз.
