小編語：基本身份驗證在過去的很多年里被廣泛應用于各種協(xié)議和應用，但隨著時間的推移和技術的發(fā)展，它已經(jīng)成為一種過時的技術，并存在一定的安全風險，基本身份驗證的方式已經(jīng)不能夠滿足日益嚴峻的網(wǎng)絡安全需要。如果您的 Exchange Online 還在使用這種傳統(tǒng)的驗證方式，讓我們一起完成一次安全進化吧。

1為何要停用基本身份驗證?

從技術上來說，基本身份驗證(也稱舊式身份驗證)是一種基于 HTTP 的身份驗證方案。應用程序向服務器、服務或 API 結點發(fā)起每個連接請求時，都會同時發(fā)送用戶名和密碼，并將這些憑據(jù)保存在設備上。這種方式極大地簡化了身份驗證過程，但在攻擊者的各種手段面前，簡直是理想的狩獵目標!尤其是在沒有 TLS 的保護時，他們可以輕而易舉地盜取用戶的身份。

從運維上來說，基本身份驗證雖然容易配置，但也會使部署多重身份驗證變得更復雜和困難。

因此，微軟決定自2022年10月1日起，在全球范圍內(nèi)對使用 Exchange Online 的用戶逐步關閉基本身份驗證，并用更為高級的現(xiàn)代身份驗證作為替代。您可以參考下方這個簡單視頻來了解更多細節(jié)。這有助于廣大用戶更好的維護自身利益，提高企業(yè)和用戶的安全性。自2021年9月起，微軟已持續(xù)通過官方網(wǎng)站以及管理中心中的“消息中心”發(fā)布提醒 (MC345821)，并將持續(xù)每月對依然使用基本身份驗證的客戶進行“消息中心”提醒。請您預先做好準備。

詳細官方時間表如下

對于未使用基本身份驗證的租戶：

- 自2021年6月起，尚未使用基本身份驗證的租戶，會陸續(xù)在消息中心中收到30天后對該租戶關閉基本身份驗證的通知，關閉完成后將再次收到通知。

對于正在使用基本身份驗證的租戶：

- 自2021年9月起，會陸續(xù)在消息中心收到多次提醒通知，以指導租戶管理員采取相關動作。

- 自2022年10月1日起，對所有已使用基本身份驗證的租戶，將永久停用基本身份驗證方式，對于所有租戶的停用過程會陸續(xù)完成。微軟會在關閉前7天通過消息中心再次發(fā)出預警，并發(fā)布服務運行狀況儀表板通知，然后將基本身份驗證關閉。在此之后，您無法以任何形式申請例外。

- 使用由世紀互聯(lián)運營的 Office 365服務的租戶將于2023年3月31日起全面關閉基本身份驗證，在此之后，您無法以任何形式申請例外。

可能的影響及其范圍

微軟將關閉以下協(xié)議的基本身份驗證：Exchange ActiveSync (EAS), POP, IMAP, Remote PowerShell, Exchange Web Services (EWS), Offline Address Book (OAB), Outlook for Windows/Mac。(對尚未使用SMTP AUTH的租戶，SMTP AUTH也將被關閉)

關閉后，對上述受影響協(xié)議使用了基本身份驗證的任何客戶端(用戶應用、腳本、集成等)都將無法連接Exchange Online。應用將收到“HTTP 401錯誤：用戶名或密碼錯誤”這樣的信息。

2改進雖好，該如何從容應對?

為保證企業(yè)和用戶能順利的過渡到新式身份驗證，建議您參考如下的“評估-修正-執(zhí)行”的三步計劃，逐步完成轉(zhuǎn)化。

步驟1 – 評估，確定您的企業(yè)是否會受到影響

1.檢查消息中心

從2021年底開始，我們開始向租戶發(fā)送消息中心通知，總結基本身份驗證在租戶環(huán)境內(nèi)的使用情況。如果您收到了使用情況的摘要，您可以了解在上個月內(nèi)使用基本身份驗證的用戶數(shù)，以及他們使用的協(xié)議數(shù)，這表明某些內(nèi)容或某人正在使用基本身份驗證。

2.通過 Azure Active Directory 登陸日志進一步了解基本身份驗證的使用情況

Azure AD Free 訂閱可以查看過去7天的登陸日志;Azure AD P1/P2可以查看過去30天的登陸日志。通過篩選客戶端應用，對新式和舊式身份驗證加以區(qū)分。其中，瀏覽器、移動應用和桌面客戶端被視為新式身份驗證，而其他應用(如 IMAP、POP 和 MAPI等)則被視為舊式身份驗證。您可以根據(jù)了解到的使用情況制定方案，來避免影響。

3.通過 Outlook 客戶端判斷是否在使用基本身份驗證

按住 CTRL，右鍵單擊系統(tǒng)托盤中的 Outlook 圖標并選擇“連接狀態(tài)”來選中連接狀態(tài)對話框。如 Authn 列顯示為 Clear, 說明 Outlook 在使用基本身份驗證;如顯示為 Bearer, 則代表 Outlook 在使用新式身份驗證。

4. 在移動設備上確認身份驗證方式

在移動設備上，如果設備嘗試用新式身份驗證進行連接，會顯示類似基于 Web 的登錄頁(下圖左側(cè))?；旧矸蒡炞C則顯示為憑據(jù)輸入對話框(下圖右側(cè))。

步驟 2 – 修正，為關閉基本身份驗證做好準備

如果您確認自己的租戶將受到影響，請參照如下建議進行應對：

1. 在目錄中啟用新式身份驗證(2017年8月1日以后創(chuàng)建的目錄已默認啟用)

(1)安裝 Skype for Business Online Powershell 模塊，并運行 Set-CsOAuthConfiguration 更新設置以啟用新式身份驗證。

(2)連接Exchange Online Powershell并運行Set-OrganizationConfig-OAuth2ClientProfileEnabled $true，以啟用新式身份驗證。

2.更新代碼

(1) 如果您使用受影響的協(xié)議編寫自己的代碼，請更新代碼，使用 OAuth 2.0，或Graph API。

(2)如果您使用的第三方應用程序在使用這些協(xié)議，請聯(lián)系該第三方應用的開發(fā)人員。更新程序，以支持 OAuth 2.0驗證，或幫助用戶切換到使用 OAuth 2.0驗證的應用程序。

3.對不同的客戶端進行相應調(diào)整，詳見下表：

您也可以通過搜索“棄用 Exchange Online 中的基本身份驗證”移步至微軟 Exchange 官方文庫，了解表格中所列項目相關配置的更詳細步驟。

步驟3 – 執(zhí)行，關閉基本身份驗證

1. 確保經(jīng)過上述步驟后，租戶中以及 Exchange Online 已經(jīng)啟用新式身份驗證，并且客戶端支持并已啟用新式身份驗證。

2. 在不同場景下禁用基本身份驗證。

(1)針對具體的協(xié)議，為整個租戶關閉基本身份驗證

設置-組織設置-新式身份驗證

(2)創(chuàng)建身份驗證策略，針對具體的協(xié)議和用戶/組，關閉基本身份驗證(官方推薦的最佳方法)。您可以在 Bing 中搜索“在 Exchange Online 中禁用基本身份驗證”獲取全部步驟。

(3)針對特定用戶和組，通過條件訪問阻止舊式身份驗證。支持“僅報告”模式進行登陸評估(實時查看哪些用戶使用舊式身份驗證，但并不會真正阻止連接)。

原文標題：來一次安全進化吧!微軟即將停用Exchange Online基本身份驗證

文章出處：【微信公眾號：微軟科技】歡迎添加關注!文章轉(zhuǎn)載請注明出處。