Microsoft 365 / 用户无法登录时的排查与密码重置

如果用户无法登录 Microsoft 365，请先检查 错误消息、帐户状态、认证步骤以及 Microsoft Entra 登录日志 ，而不是立即重置密码。密码错误、条件访问阻止、MFA 失败、许可证不足的解决方法不同。

首先需要向用户确认的信息

• 尝试登录的准确地址和应用、发生时间及时区
• 如果屏幕上有错误代码或关联 ID，请提供该值
• 是在输入密码前还是输入密码后失败
• 在其他浏览器或设备上是否一样，在公司网络外是否一样
• 最近是否更改过密码、更换认证应用或丢失手机

不要要求用户发送密码或身份验证代码。在捕捉错误画面时，也会遮盖帐号名称和组织信息进行分享。

根据失败步骤划分调查对象

确认是否只有某人的特定设备失败，或者同一部门或整个组织同时失败。如果多人出现相同的服务错误，请同时检查服务状态。如果在隐私窗口中成功，则可以缩小问题范围到浏览器中残留的帐户会话或客户端缓存，但仅凭这一点无法确定根本原因。

管理员确认顺序

1. 在Microsoft 365管理中心的[用户] → [活动用户]中，确认目标帐户存在且未被阻止登录。如果只有特定服务不可用，也要检查其许可证。
2. 在 Microsoft Entra 管理中心的 [Entra ID] → [监视和运行状况] → [登录日志] 中筛选用户和时间。实际菜单翻译可能因界面版本而异。

3. 检查失败项的状态和错误原因、认证详细信息、条件访问结果。根据 Microsoft 的 登录活动详细说明 进行解读。
4. 选择与错误原因相对应的处理措施。如果密码错误则重置，如果认证方法丢失则恢复认证方法，如果是策略阻止则检查对应策略的适用范围。
5. 采取措施后，在相同的应用、设备和网络条件下重新登录，确认日志是否已变为成功。

Microsoft 的 登录诊断功能 也有助于分析失败登录。如果日志中没有尝试记录，请再次确认所使用的帐户和租户正确，且认证请求是否实际到达 Microsoft Entra。

登录日志中需要阅读的项目

准备具有读取日志报告权限的适当角色。首先限制用户和发生时间段，然后将范围缩小到相应的应用程序和资源。屏幕时间可能以管理中心查看者的时区显示，因此需与用户所说的时间和时区匹配。请求可能分为多个事件，因此不要仅查看一个时间就选择第一行。

• 基本信息: 阅读用户、应用、目标资源、状态以及错误原因。即使是同一帐号，如果失败的资源不同，也可能是不同的请求。
• 认证详细信息: 检查在哪种认证方法失败，以及 MFA 要求是否通过实际认证或现有令牌信息满足。
• 条件访问: 查看失败策略的名称和控制。“未应用”可能意味着不符合该策略的条件，并不意味着没有任何安全保护。
• 仅报告: 区分实际阻止的策略和模拟评估结果。不要将仅报告失败确定为当前故障原因。

“网页登录可以，但公司笔记本上的文件应用失败”的情况时，会将用户、应用和设备条件作为同一事件进行比较。如果原因是未满足合规设备要求，则应先检查设备注册与合规状态，单纯更改密码无法解决问题。IP位置显示会受到VPN或运营商路径的影响，因此不能仅凭位置来确认入侵或用户位置。

如果没有日志，可以稍微扩大过滤范围，并检查交互式和非交互式登录类型。如果仍然没有日志，请查看是否使用了其他租户或个人帐户，或者请求是否未到达验证阶段。如果可以在事件详细信息中启动登录诊断，建议将建议与实际日志进行对照。

需要重置密码时

1. 首先执行用户身份验证程序。仅因为通过电话或聊天提出请求，不会进行重置。
2. 在[活动用户]中选择对象，并执行[重置密码]。确认显示的临时密码以及下次登录时的更改要求。

3. 在查看密码生成方式和下次登录时的更改要求后，确认重置。显示的临时密码不应保存在公开截图或操作记录中。
4. 通过已批准的独立安全渠道传递临时密码，并确认用户已完成登录和密码更改。如果确实需要将临时密码暂存到文件中，请限制访问，并根据组织的存档政策处理。

不要假设 Microsoft 管理中心仍具备发送密码邮件功能进行指导。Microsoft 已移除此功能，应在密码重置官方流程中指导安全传递。所需角色可能会根据目标用户是否为管理员而有所不同。

与本地目录同步的帐户，其密码更改来源或密码写回设置可能会影响流程。如果存在可疑登录或帐户被入侵的迹象，不要仅进行简单重置，还需检查会话、认证方式、管理员角色和审计日志。

事后判定完成的标准

用户应在原先失败的应用、设备或网络上重新尝试，确认新日志的时间和成功结果。还需确认邮件或文件已被实际打开，工作已恢复。请求记录中仅保留症状、确认的事件、更改的项目和测试结果，不要记录密码或认证代码。

如果丢失了认证手段，将在身份验证后连接到组织批准的认证方法恢复程序。如果发现可疑的新认证手段或用户否认的成功登录，则切换到安全事件响应程序。如果为消除错误而创建了安全例外，应记录适用范围及过期和回收负责人，问题解决后应恢复为正常保护。