移轉至「驗證方法」原則可使 Microsoft Entra ID 中的驗證管理變得更精簡且現代化。該轉換將簡化管理流程、強化安全性，並支援最新的驗證方法。為避免因舊型原則停用而導致服務中斷，請在 2025 年 9 月之前完成移轉。

<a href="https://learn.microsoft.com/zh-tw/entra/identity/authentication/concept-authentication-methods-manage#legacy-mfa-and-sspr-policies">過去</a>，Microsoft Entra ID 的驗證設定<a href="https://learn.microsoft.com/zh-tw/entra/identity/authentication/concept-registration-mfa-sspr-combined">分散</a>在多因素驗證 (MFA) 和自助密碼重設 (SSPR) 兩個獨立原則中。這種分散的管理方式使驗證方法難以統一控管、增加了管理複雜度，並可能因原則不一致而產生安全風險。 
實際上，這些<a href="https://learn.microsoft.com/zh-tw/entra/identity/authentication/concept-authentication-methods-manage#how-policies-work-together">舊型原則不會同步設定</a>，這可能導致特定驗證方法在一個原則中啟用，卻在另一個原則中停用 (系統會先檢查 MFA 原則，再檢查 SSPR 原則)。這種不同步的情況，可能導致使用者透過過時或安全性較低的方法，無意間取得存取權。
除此之外，與「驗證方法」原則不同的是，舊型原則不支援以群組為目標的設定，也不支援諸如<a href="https://learn.microsoft.com/zh-tw/entra/identity/authentication/howto-authentication-temporary-access-pass">臨時存取密碼</a>、<a href="https://learn.microsoft.com/zh-tw/entra/identity/authentication/concept-authentication-passwordless#passkeys-fido2">FIDO2 安全金鑰</a>等最新安全驗證選項。如此一來，不但無法對使用者群組套用不同的驗證方法，也無法及時引進安全性更高的無密碼驗證技術，使組織更容易遭受網路釣魚和憑證竊取攻擊。
根據 BOD 25-01 的強制要求，CISA 發布的「Microsoft Entra ID 的 M365 安全設定基準」中所列的 <a href="https://www.cisa.gov/resources-tools/services/m365-entra-id#strong-auth-and-a-secure-registration-process">MS.AAD.3.4v1</a> 原則規定「驗證方法管理移轉功能須設定為『移轉完成』」。Microsoft 也在<a href="https://learn.microsoft.com/zh-tw/entra/fundamentals/configure-security#migrate-from-legacy-mfa-and-sspr-policies">設定 Microsoft Entra 以提高安全性</a> 中建議「從舊型 MFA 和 SSPR 原則移轉」。

偵測

尚未完成驗證方法的移轉

MEDIUM

版本 202507230918

版本 202505121217

版本 202507230918 Jul 23, 2025, 9:18 AM Metadata (Add reference to corresponding CISA BOD 25-01 policy) Release: 202507230918
版本 202505121217 May 12, 2025, 12:17 PM New Release: 202505121217