Что такое диагностика входа в Microsoft Entra ID?
Определение причины неудачного входа может быстро превратиться в сложную задачу. Необходимо проанализировать, что произошло во время попытки входа, и изучить доступные рекомендации по устранению проблемы. В идеале вы хотите устранить проблему без участия других пользователей, таких как поддержка Майкрософт. Если вы находитесь в такой ситуации, вы можете использовать диагностику входа в Microsoft Entra ID, средство, которое помогает анализировать входы в Microsoft Entra ID.
В этой статье приведены общие сведения о том, что такое диагностика входа и как ее можно использовать для устранения ошибок, связанных с входом.
Предварительные условия
- Наименее привилегированная роль для использования диагностических входа из запроса на поддержку или диагностики и решения проблемадминистратора выставления счетов.
- Чтобы использовать диагностический входа из журналов входа, вам также требуется Чтение отчетов.
- Полный список ролей см. в разделе "Наименее привилегированная роль" по задачам.
- Помеченные события входа также могут проверяться в диагностике входа.
- Помеченные события входа записываются после того, как пользователь включил добавление пометки во время входа.
- Сведения о входах с пометкой см. в разделе входы с пометкой.
Как это работает?
В идентификаторе Microsoft Entra попытки входа контролируются следующими элементами:
- Кто выполнил попытку входа.
- Как выполнена попытка входа.
Например, можно настроить политики условного доступа, позволяющие администраторам настраивать все аспекты клиента при входе из корпоративной сети. Но тот же пользователь может быть заблокирован при входе в ту же учетную запись из ненадежной сети.
Из-за большей гибкости системы при реагировании на попытку входа вы можете столкнуться со сценариями, в которых необходимо устранить неполадки при входе. Средство диагностики позволяет выявлять проблемы при входе следующим образом.
- Анализ данных из событий входа и помеченных входов.
- отображение сведений о том, что произошло;
- предоставление рекомендаций по устранению проблем.
Как получить доступ к диагностике проблем со входом
Существует три способа доступа к диагностике входа в службу Microsoft Entra ID. Выберите вкладку, чтобы узнать о каждом методе.
Вы можете начать диагностику входа из раздела Диагностика и решение проблем в Microsoft Entra ID. В разделе "Диагностика и устранение проблем" можно просмотреть все помеченные события входа или выполнить поиск определенного события входа. Вы также можете запустить этот процесс из области диагностики и решения проблем условного доступа.
Войдите в центр администрирования Microsoft Entra как глобальный читатель как минимум.
Перейдите к диагностике и устранению проблем в верхней части навигации слева.
- Вы также можете получить доступ к диагностике и решению проблем из условного доступа, пользователей, групп, защиты идентификации и многофакторной проверки подлинности.
Щелкните ссылку "Устранение неполадок" на плитке Диагностики входа.
Перейдите на вкладку "Все события входа", чтобы начать поиск.
- В некоторых случаях система автоматически начинает поиск помеченных событий входа. Если ничего не найдено, вы перенаправляетесь на вкладку "Все события входа".
Введите максимальное количество сведений в поля поиска.
- Пользователь: укажите имя или адрес электронной почты, который сделал попытку входа.
- Приложение: укажите отображаемое имя приложения или идентификатор приложения.
- correlationId или requestId: эти сведения можно найти в отчете об ошибках или сведениях журнала входа.
- Дата и время: укажите дату и время для поиска событий входа, произошедших в течение 48 часов.
Нажмите кнопку Далее.
Изучите результаты и выполните необходимые действия.
Использование результатов диагностики
После завершения диагностики входа на экране появится несколько элементов.
В сводке проверки подлинности перечислены все события, соответствующие предоставленным сведениям. Выберите параметр "Просмотреть столбцы" в правом верхнем углу сводки, чтобы изменить отображаемые столбцы.
Результаты диагностики описывают, что произошло во время событий входа.
Сценарии могут включать требования MFA из политики условного доступа, события входа, которые могут потребовать применения политики условного доступа, или большое количество неудачных попыток входа за последние 48 часов.
Можно предоставить связанное содержимое и ссылки на средства устранения неполадок.
Прочитайте результаты, чтобы определить любые действия, которые можно предпринять.
Не все неполадки можно устранить без дополнительной помощи, поэтому здесь может содержаться рекомендация отправить запрос в службу поддержки.
Распространенные сценарии
Ознакомьтесь с советами в следующем разделе для некоторых распространенных сценариев, в которых диагностика входа может предоставить полезные сведения об устранении неполадок.
Условный доступ
Политики условного доступа используются для применения правильных элементов управления доступом при необходимости для обеспечения безопасности организации. Так как политики условного доступа можно использовать для предоставления или блокировки доступа к ресурсам, они часто отображаются в диагностике входа.
Заблокирован условным доступом: политики условного доступа не позволили пользователю войти.
Сбой условного доступа: возможно, политики условного доступа слишком строги. Просмотрите конфигурации для полных наборов пользователей, групп и приложений. Убедитесь, что вы понимаете последствия ограничения доступа с определенных типов устройств.
Многофакторная проверка подлинности (MFA) из условного доступа: политики условного доступа активировали процесс MFA для пользователя.
Блокировка входа B2B из-за условного доступа: у вас действует политика условного доступа для блокировки входа внешних идентификаторов.
Многофакторная проверка подлинности
Существует несколько событий многофакторной проверки подлинности (MFA), которые можно устранить с помощью средства диагностики входа.
MFA из других требований: если результаты показали MFA из требования, отличного от условного доступа, возможно, для каждого пользователя включена MFA. Рекомендуется преобразовать MFA для каждого пользователя в условный доступ. Диагностика входа содержит сведения о источнике прерывания MFA и результатах взаимодействия.
Многофакторная проверка подлинности: MFA прервала попытку входа, поэтому информация о "proofup" приведена в результатах диагностики. Эта ошибка возникает, когда пользователи впервые настраивают MFA и не завершают установку, или их конфигурация не была предварительно настроена.
Правильные и неверные учетные данные: иногда пользователи просто вводит неправильные учетные данные. Средство диагностики входа помогает различать ошибки человека и другие проблемы.
Успешный вход. В некоторых случаях необходимо знать, не прерываются ли события входа с помощью условного доступа или MFA, но они должны быть. Средство диагностики входа предоставляет сведения о событиях входа, которые должны прерываться, но не прерываются.
Заблокирована учетная запись: пользователь пытался войти с неправильными учетными данными слишком много раз. Результаты диагностики помогают определить, откуда приходят попытки, и если они являются законными попытками входа пользователя или нет. Сведения о приложениях, количестве попыток, используемом устройстве, операционной системе и IP-адресе предоставляются. Дополнительные сведения см. в статье Microsoft Entra Smart Lockout.
Недопустимое имя пользователя или пароль. Когда пользователь пытается войти с помощью недопустимого имени пользователя или пароля, диагностика входа предоставляет сведения о приложениях, количестве попыток, используемом устройстве, операционной системе и IP-адресе. Эта информация помогает определить, введен ли пользователь неверные учетные данные или если приложение кэшировало старый пароль и повторно отправляет его.
Корпоративные приложения
В корпоративных приложениях могут возникнуть проблемы с конфигурацией приложения поставщика удостоверяющих данных (Идентификатор Microsoft Entra) или конфигурацией поставщика услуг (служба приложений, также известного как приложение SaaS)
Поставщик корпоративных приложений: Если вход не удался из-за проблемы на стороне сервисного провайдера (приложения) в процессе входа, то она устраняется исправлением ошибок в службе приложений. Необходимо войти в учетную запись другой службы и изменить некоторые параметры конфигурации в соответствии с руководством по диагностике.
Конфигурация корпоративных приложений: если вход не удался из-за проблемы с конфигурацией идентификатора Microsoft Entra в приложении, необходимо проверить и обновить конфигурацию приложения в разделе КОРПОРАТИВНЫЕ ПРИЛОЖЕНИЯ.
Параметры безопасности по умолчанию
События входа могут быть прерваны из-за параметров безопасности по умолчанию. Параметры безопасности по умолчанию обеспечивают оптимальную безопасность для вашей организации. Одной из лучших практик является настройка и использование MFA, чтобы предотвратить распыление паролей, атаки воспроизведения и успешные фишинговые попытки.
Дополнительные сведения см. в разделе "Что такое значения по умолчанию безопасности?".
Полезные сведения о кодах ошибок
Если событие не имеет контекстного анализа в диагностике входа, может отображаться обновленное объяснение кода ошибки и соответствующее содержимое. Информация о коде ошибки содержит подробное описание сценария, способы устранения проблемы и материалы для ознакомления с проблемой.
Устаревшие способы аутентификации
Этот сценарий включает событие входа, которое было заблокировано или прервано, так как клиент пытался использовать базовую аутентификацию (или обычную).
Для обеспечения безопасности рекомендуется предотвратить использование устаревшей проверки подлинности при входе в систему. Устаревшие протоколы проверки подлинности, такие как POP, SMTP, IMAP и MAPI, не могут применять MFA, что делает их предпочитаемыми точками входа для злоумышленников для атак вашей организации.
Дополнительные сведения см. в разделе "Как заблокировать устаревшую проверку подлинности в идентификаторе Microsoft Entra с помощью условного доступа".
Вход B2B заблокирован из-за условного доступа
Этот сценарий диагностики обнаруживает заблокированный или прерванный вход из-за того, что пользователь из другой организации. Например, вход B2B, в котором политика условного доступа требует, чтобы устройство клиента было присоединено к арендатору ресурса.
Дополнительные сведения см. в статье Условный доступ пользователей в службе совместной работы B2B.
Заблокировано согласно политике рисков.
В этом сценарии политики условного доступа на основе рисков блокируют попытку входа, так как попытка входа была определена как рискоемая.
Дополнительные сведения см. в статье Настройка и включение политик риска.
Сквозная проверка подлинности
Так как сквозная проверка подлинности — это интеграция локальных и облачных технологий проверки подлинности, это может быть трудно определить, где находится проблема. Это средство диагностики упрощает диагностику и устранение проблем в этих сценариях.
Этот сценарий диагностики определяет специфичные для пользователя проблемы входа, когда используется метод прямой передачи проверки подлинности (PTA) и возникает специфическая ошибка PTA. Ошибки из-за других проблем, даже если используется проверка подлинности PTA, все равно будут диагностироваться правильно.
В результатах диагностики отображаются контекстные сведения о сбое и входе пользователя. Результаты могут показать другие причины сбоя входа и рекомендуемые действия, которые администратор может предпринять для устранения проблемы. Дополнительные сведения см. в разделе Microsoft Entra Connect: Устранение неполадок сквозной проверки подлинности.
Бесшовный единый вход
Простой единый вход интегрирует проверку подлинности Kerberos с облачной проверкой подлинности. Так как этот сценарий включает два протокола проверки подлинности, трудно понять, где находится точка сбоя при возникновении проблем входа. Это средство диагностики упрощает диагностику и устранение проблем в этих сценариях.
В этом сценарии диагностики рассматривается контекст неудачной авторизации и конкретные причины этой неудачи. Результаты диагностики могут включать контекстную информацию о попытке входа и предлагаемые действия, которые может предпринять администратор. Дополнительные сведения см. в статье Устранение неполадок бесшовного единого входа Microsoft Entra.