Nulstil MFA for en bruger i Microsoft 365 (ny telefon eller mistet telefon)

"Jeg har fået ny telefon, og nu kan jeg ikke logge ind." Eller: "Min telefon er blevet stjålet, og Outlook beder mig godkende i Authenticator." Begge dele ender det samme sted: Brugeren kan ikke gennemføre totrinsbekræftelsen (MFA), og kun en administrator kan løse det.

Her er, hvordan du som administrator nulstiller MFA for en bruger i Microsoft 365, så vedkommende kan registrere sin nye telefon fra bunden.

Hvorfor kan brugeren ikke selv løse det?

En bruger kan selv tilføje en ny telefon på siden Security info – men kun hvis vedkommende stadig kan logge ind med den gamle metode. Er den gamle telefon nulstillet, væk eller i stykker, findes der ingen metode at bekræfte med. Så skal en administrator fjerne de gamle metoder, så brugeren bliver bedt om at registrere MFA på ny ved næste login.

Har brugeren stadig den gamle telefon, er det nemmere at følge vores guide til at flytte Microsoft Authenticator til en ny telefon.

Det skal du bruge

• En konto med mindst rollen Authentication Administrator (eller Global Administrator).
• Adgang til Microsoft Entra Admin Center: https://entra.microsoft.com
• Et sikkert sted at bekræfte, at det faktisk er brugeren, der spørger – fx et opkald til et kendt telefonnummer. Svindlere udgiver sig gerne for at være en medarbejder med "ny telefon".

Trin 1: Kræv ny MFA-registrering

1. Log ind på Microsoft Entra Admin Center.
2. Gå til Entra ID > Users, og vælg brugeren.
3. Vælg Authentication methods i menuen.
4. Klik Require re-register MFA øverst, og bekræft.

Det sletter brugerens telefonnumre, Microsoft Authenticator-apps og software-OATH-tokens og deaktiverer eventuelle hardware-tokens. Adgangskoden og andre metoder som passkeys og e-mail berøres ikke.

Trin 2: Log brugeren ud overalt (ved mistet eller stjålet telefon)

Er telefonen mistet eller stjålet, så klik også Revoke sessions på samme side. Det ugyldiggør brugerens refresh tokens, så alle apps og enheder skal logge ind igen. Det gælder også Outlook og Teams på den mistede telefon.

Mistanke om, at nogen kender adgangskoden? Brug Reset password samme sted, så brugeren får en midlertidig adgangskode, som skal skiftes ved næste login.

Trin 3: Giv et midlertidigt adgangspas (valgfrit)

Hvis jeres politikker kræver MFA allerede for at kunne registrere MFA, kan brugeren gå i stå. Her er et Temporary Access Pass (TAP) løsningen: en tidsbegrænset kode, som brugeren logger ind med og derefter sætter Authenticator op med.

TAP skal først være slået til (kræver rollen Authentication Policy Administrator):

1. Gå til Entra ID > Authentication methods > Policies.
2. Vælg Temporary Access Pass, klik Enable, og vælg hvilke brugere eller grupper det gælder.
3. Klik Save.

Opret derefter passet til brugeren:

1. Gå til Entra ID > Users > brugeren > Authentication methods.
2. Klik Add authentication method, og vælg Temporary Access Pass.
3. Vælg evt. starttidspunkt og varighed (standard er 1 time), og klik Add.
4. Kopiér koden med det samme – den kan ikke vises igen – og giv den til brugeren ad en sikker kanal.

Trin 4: Brugeren registrerer den nye telefon

Bed brugeren om at:

1. Installere Microsoft Authenticator på den nye telefon.
2. Gå til https://aka.ms/mysecurityinfo på en computer og logge ind (med adgangskode eller TAP).
3. Følge guiden, scanne QR-koden i Authenticator og godkende testnotifikationen.

Det samme med PowerShell

Har du mange brugere, eller foretrækker du PowerShell, kan det gøres med Microsoft Graph PowerShell-modulet. Først forbinder du med de nødvendige rettigheder:

Install-Module Microsoft.Graph -Scope CurrentUser
Connect-MgGraph -Scopes "UserAuthenticationMethod.ReadWrite.All","User.RevokeSessions.All"

Se brugerens registrerede metoder:

$upn = "bruger@firma.dk"
Get-MgUserAuthenticationMethod -UserId $upn |
    Select-Object Id, @{n="Type";e={$_.AdditionalProperties["@odata.type"]}}

Fjern alle Microsoft Authenticator-registreringer og log brugeren ud overalt:

Get-MgUserAuthenticationMicrosoftAuthenticatorMethod -UserId $upn | ForEach-Object {
    Remove-MgUserAuthenticationMicrosoftAuthenticatorMethod -UserId $upn `
        -MicrosoftAuthenticatorAuthenticationMethodId $_.Id
}

Revoke-MgUserSignInSession -UserId $upn

Bruger brugeren også sms eller opkald, kan telefonnumre ses med Get-MgUserAuthenticationPhoneMethod og fjernes med Remove-MgUserAuthenticationPhoneMethod. Er du i tvivl, er knappen Require re-register MFA i portalen det sikreste valg, fordi den rydder alle de relevante metoder på én gang.

Problemer?

• Knappen Require re-register MFA er nedtonet: Din konto mangler rollen Authentication Administrator, eller brugeren er selv administrator. Administratorer kan kun nulstilles af en Privileged Authentication Administrator eller Global Administrator.
• Brugeren bliver ikke bedt om at registrere MFA: Brugeren er stadig logget ind med et gyldigt token. Brug Revoke sessions, og bed brugeren logge ind i et privat browservindue.
• TAP kan ikke vælges: Politikken for Temporary Access Pass er ikke slået til, eller brugeren er ikke med i den gruppe, politikken gælder for.
• Brugeren får stadig godkendelser på den gamle telefon: Authenticator-metoden er ikke fjernet. Tjek listen under Authentication methods igen.

Kort sagt

Bekræft brugerens identitet, klik Require re-register MFA og Revoke sessions, og lad brugeren registrere den nye telefon via Security info – evt. med et Temporary Access Pass. Har I brug for en hånd med MFA eller adgangspolitikker, kan Todo-IT hjælpe.