Microsoft 365 adminisztráció 11 perc olvasás

Microsoft 365 MFA kizárás: Teljes hibaelhárítási útmutató helpdesk csapatoknak

Lépésről lépésre útmutató M365 MFA kizárások kezeléséhez: felhasználói önkiszolgálás, admin visszaállítás Entra felügyeleti központból és PowerShellből, Temporary Access Pass, egyetlen admin kizárás helyreállítása, és megelőzés break-glass fiókokkal.

Editorial Team

Miért az MFA kizárás a helpdesk leggyakoribb rémálma?

Ha helpdesk szakemberként dolgozol, ezt a forgatókönyvet álmodból felkeltve is ismered: reggel nyolckor csörög a telefon, a túloldalon egy kétségbeesett felhasználó, aki nem tud bejelentkezni a Microsoft 365-be. Az MFA nem engedi be. Talán telefont cserélt, talán lejárt valami, talán fogalma sincs, mit állított be annak idején. A lényeg ugyanaz – teljes kizárás, és neked kell megoldanod.

2026-ban ezek a kizárások még gyakoribbá váltak. A Microsoft egyre komolyabban veszi a biztonságot (jogosan), és az Entra ID környezetben a többlépcsős hitelesítés immár kötelező a legtöbb adminisztrátori és felhasználói fiókhoz. Ráadásul márciustól automatikusan engedélyezésre kerülnek a passkey profilok is – ami, őszintén szólva, újabb fejfájást jelent a helpdesk csapatok számára.

Szóval, vágjunk bele. Ebben az útmutatóban végigmegyünk az MFA kizárás összes lehetséges forgatókönyvén: a felhasználói önkiszolgálástól az admin visszaállításon át egészen addig, amikor az egyetlen globális rendszergazda záródik ki. Megmutatom a pontos lépéseket, a PowerShell parancsokat, és persze a megelőzési stratégiákat is.

Hogyan működik az MFA a Microsoft 365-ben 2026-ban?

Mielőtt belevágnánk a hibaelhárításba, érdemes megérteni a teljes képet. A Microsoft Entra ID-ben a többlépcsős hitelesítés az alábbi módszereket támogatja:

  • Microsoft Authenticator alkalmazás – push értesítés vagy egyszer használatos kód
  • SMS és hangalapú hitelesítés – kód küldése telefonszámra
  • FIDO2 biztonsági kulcs – fizikai hardverkulcs (pl. YubiKey)
  • Passkey (jelkulcs) – szinkronizált vagy eszközhöz kötött jelkulcs (ez a 2026-os újdonság)
  • Ideiglenes hozzáférési kód (Temporary Access Pass) – egyszer használatos, időkorlátozott kód
  • Szoftveres OATH token – harmadik féltől származó hitelesítő alkalmazás

A 2025 szeptemberében kivont régi MFA-kezelési felületet elfelejthetjük – most már kizárólag a Microsoft Entra felügyeleti központ modern felülete áll rendelkezésre. A jó hír, hogy ez kezeli a Temporary Access Pass-t és a passkey-eket is.

Mi változott 2026-ban? A passkey profilok automatikus engedélyezése

Ez egy fontos változás, szóval figyelj. A Microsoft 2026 márciusában automatikusan engedélyezi a passkey profilokat az összes Entra ID tenantban. Ez a gyakorlatban azt jelenti, hogy:

  • A meglévő FIDO2 hitelesítési beállítások automatikusan migrálódnak egy új passkey profilba
  • Megjelenik egy új passkeyType tulajdonság, amivel beállítható, hogy eszközhöz kötött, szinkronizált vagy mindkét típusú passkey engedélyezett-e
  • A Microsoft Authenticator helyett a passkey-ek válnak az elsődleges regisztrációs kampánycéllá

Az ütemterv: általános elérhetőség március elejétől végéig, majd automatikus migráció áprilistól májusig (GCC/DoD környezetekben júniusig). Ha ettől eltérő konfigurációt akarsz, az automatikus aktiválás előtt kell lépned – utána már bonyolultabb lesz módosítani.

1. forgatókönyv: Felhasználói önkiszolgáló helyreállítás

Mielőtt bármit csinálnál adminisztrátorként, először mindig ellenőrizd, hogy a felhasználó meg tudja-e oldani maga. Meglepően sokszor igen – és ezzel mindkettőtöknek sok időt spórolsz meg.

Alternatív hitelesítési módszer használata

  1. A bejelentkezési képernyőn kattintson a „Más módon szeretnék bejelentkezni" (Other verification options) lehetőségre
  2. Ha van másodlagos módszer beállítva (pl. SMS a telefonszámra, másik hitelesítő alkalmazás), válassza ki azt
  3. Sikeres bejelentkezés után navigáljon a https://mysignins.microsoft.com oldalra és frissítse a hitelesítési módszereit

Böngésző-specifikus problémák kizárása

Ez banálisnak hangzik, de hidd el, az esetek egy részében tényleg ez a megoldás:

  • Töröld a böngésző gyorsítótárát és a cookie-kat
  • Próbálj inkognitó/privát ablakban bejelentkezni
  • Próbálj másik eszközről

Ha ezek közül bármelyik működik, a probléma nem MFA-szintű volt, hanem helyi eszközprobléma. Kipipálva, mehetünk tovább.

2. forgatókönyv: Helpdesk admin visszaállítja a felhasználó MFA-ját

Ha a felhasználó semmilyen önkiszolgáló módszerrel nem boldogul, jön az adminisztrátori beavatkozás. Ehhez legalább Authentication Administrator szerepkör kell – szóval győződj meg róla, hogy van ilyen jogod.

A) Microsoft Entra felügyeleti központból (grafikus felület)

  1. Jelentkezz be a https://entra.microsoft.com oldalon
  2. Navigálj: Identitás → Felhasználók → Minden felhasználó
  3. Keresd meg az érintett felhasználót és kattints rá
  4. Kattints a „Hitelesítési módszerek" (Authentication Methods) fülre
  5. Kattints a „Többtényezős hitelesítés újraregisztrálásának megkövetelése" (Require re-register multifactor authentication) gombra az eszköztáron
  6. Opcionálisan kattints a „Többtényezős hitelesítési munkamenetek visszavonása" gombra is – ezt főleg eszközlopás gyanúja esetén ajánlom

Fontos: Ez a művelet nem kapcsolja ki az MFA-t, hanem törli a regisztrált módszereket. A felhasználó a következő bejelentkezéskor új MFA-módszert kell regisztráljon. Ez egy fontos különbség – senki nem marad védtelen.

B) Adott hitelesítési módszer törlése

Ha nem az összes módszert akarod törölni, csak egy konkrétat (pl. a régi telefon Authenticator bejegyzését):

  1. A felhasználó Hitelesítési módszerek oldalán keresd meg a törölni kívánt módszert a „Használható hitelesítési módszerek" listában
  2. Kattints a három pontra (…) a módszer mellett
  3. Válaszd a „Törlés" lehetőséget

C) PowerShell-alapú visszaállítás (tömegesen is)

Ha rendszeresen kell MFA-t visszaállítanod, vagy egyszerre több felhasználónál, a PowerShell sokkal hatékonyabb, mint kattintgatni a felületen. Személyes tapasztalatom, hogy heti 5+ visszaállítás felett már megéri scriptelni. Íme a teljes folyamat:

# 1. Microsoft Graph modul telepítése (ha még nincs)
Install-Module Microsoft.Graph -Scope CurrentUser

# 2. Csatlakozás a Microsoft Graph-hoz
Connect-MgGraph -Scopes "User.Read.All","UserAuthenticationMethod.ReadWrite.All" -NoWelcome

# 3. Egyetlen felhasználó MFA-módszereinek listázása
$userId = "[email protected]"
Get-MgUserAuthenticationMethod -UserId $userId | Format-Table

# 4. Újraregisztráció megkövetelése (az összes módszer törlése)
$methods = Get-MgUserAuthenticationMethod -UserId $userId
foreach ($method in $methods) {
    $methodType = $method.AdditionalProperties["@odata.type"]
    switch ($methodType) {
        "#microsoft.graph.phoneAuthenticationMethod" {
            Remove-MgUserAuthenticationPhoneMethod -UserId $userId -PhoneAuthenticationMethodId $method.Id
        }
        "#microsoft.graph.microsoftAuthenticatorAuthenticationMethod" {
            Remove-MgUserAuthenticationMicrosoftAuthenticatorMethod -UserId $userId -MicrosoftAuthenticatorAuthenticationMethodId $method.Id
        }
        "#microsoft.graph.softwareOathAuthenticationMethod" {
            Remove-MgUserAuthenticationSoftwareOathMethod -UserId $userId -SoftwareOathAuthenticationMethodId $method.Id
        }
    }
}
Write-Host "MFA módszerek törölve: $userId"

D) Ideiglenes hozzáférési kód (Temporary Access Pass) kiadása

Ez az egyik kedvenc eszközöm távoli felhasználók kizárásának kezelésére. Ha a felhasználónak azonnal be kell jelentkeznie, de nem tudja helyben újra beállítani az MFA-t (pl. otthonról dolgozik), adhatsz neki egy Temporary Access Pass-t (TAP):

# TAP létrehozása PowerShellből
$params = @{
    "@odata.type" = "#microsoft.graph.temporaryAccessPassAuthenticationMethod"
    lifetimeInMinutes = 60
    isUsableOnce = $true
}
New-MgUserAuthenticationTemporaryAccessPassMethod -UserId "[email protected]" -BodyParameter $params

A TAP egyszer használatos és időkorlátozott – a felhasználó ezzel bejelentkezik, majd beállítja az új MFA-módszert. Biztonságos, gyors, és a felhasználónak sem kell bejönnie az irodába.

Identitásellenőrzés a visszaállítás előtt

Ezt nem lehet elégszer hangsúlyozni, mégis rengetegen átugorják. Mielőtt bármelyik módszert alkalmaznád, mindig ellenőrizd a felhasználó személyazonosságát:

  • Hívd vissza a felhasználót a céges telefonszámán (ne azon a számon, amit ő diktál be)
  • Kérj megerősítést a közvetlen felettesétől
  • Használj előre meghatározott biztonsági kérdéseket

Az identitásellenőrzés nélküli MFA-visszaállítás az egyik leggyakoribb social engineering támadási vektor. Komolyra fordítva a szót: ha valaki meggyőzően adja elő, hogy ő „Kovács Péter a pénzügyi osztályról", és te visszaállítod az MFA-ját ellenőrzés nélkül – az nem helpdesk, az biztonsági rés.

3. forgatókönyv: Az egyetlen globális rendszergazda kizáródik

Na, ez a rémálmok rémálma. Sajnos gyakrabban fordul elő, mint gondolnád – és ilyenkor a tenanton belülről nem lehet megoldani a problémát.

Lépések a helyreállításhoz

  1. Próbáld meg az önkiszolgáló helyreállítást: Ha van másodlagos hitelesítési módszer, az lehet, hogy még működik
  2. Ha van másik globális rendszergazda: Kérd meg, hogy állítsa vissza az MFA-dat az Entra felügyeleti központból
  3. Ha nincs másik admin: Sajnos fel kell venned a kapcsolatot a Microsoft Adatvédelmi csapatával (Data Protection Team)

Microsoft Adatvédelmi csapat elérése

Mivel nem tudsz bejelentkezni az admin portálra, telefonon kell jegyet nyitnod. Tudom, 2026-ban ez archaikusnak hangzik, de nincs más út:

  1. Keresd meg a régiódnak megfelelő Microsoft támogatási telefonszámot a https://learn.microsoft.com/microsoft-365/admin/get-help-support oldalon
  2. Amikor az IVR/ügyintéző megkérdezi a problémát, mondd el pontosan:
    • A probléma a Hitelesítő/MFA-val kapcsolatos
    • A termék Microsoft 365 vállalati verzió
    • Te vagy az egyetlen globális rendszergazda és MFA miatt záródtál ki
    • A Data Protection csapathoz kell irányítani a kérést
  3. Készülj fel a következő dokumentumokkal:
    • A tenant elsődleges domainje
    • A kizárt admin UPN (felhasználónév)
    • Domain-tulajdonjog igazolása
    • Cégregisztrációs dokumentumok

Alternatíva: Jegynyitás próbafiókból

Ha telefonon nem megy (vagy éppen nem működik a vonal, mert ugye), létrehozhatsz egy Microsoft próba tenant-ot, és azon keresztül nyithatsz support jegyet. A jegyben jelezd, hogy egy másik, meglévő tenant-hoz kérsz segítséget – ne azon a tenanton próbálkozz, amiből kizáródtál.

Mennyi ideig tart a helyreállítás?

Nem fogom szépíteni: a Data Protection csapat válaszideje 48 munkaóra és 8-10 munkanap között mozog, a terheléstől függően. Egy jól dokumentált kérés (minden igazolás csatolva) gyorsabban halad, amint mérnököt rendelnek hozzá. De türelemre lesz szükség.

Megelőzés: Hogyan akadályozd meg, hogy ez újra megtörténjen

A legjobb hibaelhárítás az, amit nem kell elvégezni. Ez nem csak szlogen – komolyan gondolom. Íme a bevált megelőzési stratégiák.

Break-glass (vészhozzáférési) fiókok beállítása

A Microsoft hivatalos ajánlása szerint minden szervezetnél legalább két vészhozzáférési fiók szükséges. Ezek a fiókok a legkritikusabb helyzetekben biztosítják a tenant hozzáférését – és megspórolják azt a 8-10 napos várakozást, amit fentebb említettem.

A helyes konfigurálás lépései:

  1. Hozz létre legalább két felhőalapú fiókot a *.onmicrosoft.com domainben – ne legyenek federált vagy helyszíni fiókhoz kötve
  2. Rendelj hozzájuk állandó Global Administrator szerepkört (ne „eligible", hanem „permanent" a PIM-ben)
  3. Használj hosszú, összetett jelszavakat (legalább 16 karakter), amelyeket papírra írsz és tűzálló széfben tárolsz
  4. Állíts be FIDO2 biztonsági kulcsot vagy tanúsítványalapú hitelesítést MFA-ként – ne Authenticator alkalmazást (2026-ban az MFA kötelező ezekhez a fiókokhoz is)
  5. Zárd ki legalább egy fiókot az összes Conditional Access szabályból
  6. Ne kösd egyetlen alkalmazotthoz sem – a fiók és az MFA-eszköz ne utazzon egyetlen személlyel
  7. Szokatlan fiókneveket használj – ne legyen nyilvánvaló, hogy rendszergazdai fiók (jelszópermetezéses támadások ellen)

Felhasználói tudatosság növelése

  • Készíts rövid belső útmutatót arról, hogyan kell MFA-t átvinni új telefonra – és a lényeg: telefoncsere előtt, ne utána
  • Ösztönözd a felhasználókat legalább két hitelesítési módszer beállítására
  • A Microsoft Authenticator alkalmazásban kapcsolják be a felhőalapú biztonsági mentést (alapértelmezetten kikapcsolt, de eszközcsere esetén életmentő)
  • Rendszeresen emlékeztesd a felhasználókat, hogy ellenőrizzék hitelesítési módszereiket a https://mysignins.microsoft.com oldalon

Helpdesk folyamat dokumentálása

Készíts egyértelmű, lépésről lépésre leírt belső eljárásrendet (SOP) az alábbi témákban:

  • MFA visszaállítási kérelem feldolgozása és identitásellenőrzés
  • Temporary Access Pass kiadásának feltételei és folyamata
  • Eszkalációs lépések (mikor kell L2/L3 támogatást bevonni)
  • Break-glass fiók használatának protokollja (ki, mikor, hogyan, milyen dokumentálással)

Hibakódok gyorsreferencia-táblázat

Az alábbi hibakódokkal fogsz a leggyakrabban találkozni MFA-s problémáknál. Érdemes kinyomtatni vagy könyvjelzőzni:

  • AADSTS50076 – MFA szükséges, de nem lett teljesítve. A felhasználó nem végezte el a második faktoros hitelesítést.
  • AADSTS50079 – A felhasználónak regisztrálnia kell MFA-módszert. Új felhasználóknál vagy visszaállítás után jelenik meg tipikusan.
  • AADSTS50074 – Erős hitelesítés szükséges. A Conditional Access szabály megköveteli az MFA-t ehhez az erőforráshoz.
  • AADSTS53003 – A hozzáférést a Conditional Access szabályok blokkolták. Ellenőrizd, hogy a felhasználó megfelel-e az összes feltételnek.
  • AADSTS500121 – Hitelesítés sikertelen az erős hitelesítési kérelem feldolgozása során. Jellemzően lejárt vagy érvénytelen MFA kísérlet.
  • AADSTS70008 – A hitelesítési kód vagy token lejárt. A felhasználónak újra kell indítania a bejelentkezési folyamatot.

Gyors ellenőrzőlista helpdesk ügyfélszolgálatosoknak

Amikor MFA kizárás miatt hív valaki, kövesd ezt a sorrendet. Kinyomtatva az asztalon tartva rengeteg időt spórolhatsz:

  1. Ellenőrizd a hívó személyazonosságát (céges telefonszám, felettes megerősítése)
  2. Kérdezd meg, van-e alternatív hitelesítési módszere
  3. Javasold a böngésző gyorsítótár törlését és inkognitó ablakból való próbálkozást
  4. Ha nem megy: állítsd vissza az MFA-t az Entra felügyeleti központból
  5. Ha távoli felhasználó: adj ki Temporary Access Pass-t
  6. Ha admin kizárás: eszkalálj a break-glass fiók használatához vagy a Microsoft Data Protection csapathoz
  7. A megoldás után: győződj meg róla, hogy a felhasználó legalább két MFA-módszert állít be
  8. Dokumentáld a jegyben a teljes folyamatot

Gyakran ismételt kérdések (GYIK)

Az MFA visszaállítása kikapcsolja a többlépcsős hitelesítést?

Nem, és ez egy fontos megkülönböztetés. Az MFA visszaállítása (Require re-register MFA) nem kapcsolja ki a többlépcsős hitelesítést – csupán törli a korábban regisztrált módszereket. A felhasználót arra kényszeríti, hogy a következő bejelentkezéskor újra beállítsa az MFA-t. Tehát a felhasználó soha nem marad MFA nélkül, csak éppen újra kell konfigurálnia.

Mennyi időt vesz igénybe egy Data Protection csapaton keresztüli admin fiók-helyreállítás?

A tapasztalatok alapján 48 munkaórától 8-10 munkanapig terjedhet. A folyamatot felgyorsíthatod, ha minden szükséges dokumentumot (domain-tulajdonjog igazolása, cégregisztráció, admin UPN) már az első megkeresésnél mellékelsz. Üzletkritikus helyzet esetén kérheted a jegy súlyosságának emelését is – bár ez nem garancia a gyorsabb kezelésre.

Mi az a Temporary Access Pass és mikor érdemes használni?

A Temporary Access Pass (TAP) egy egyszer használatos, időkorlátozott kód, amelyet egy adminisztrátor generál egy kizárt felhasználó számára. A felhasználó ezzel ideiglenesen bejelentkezhet, majd beállíthatja az új MFA-módszerét. Különösen hasznos távoli felhasználóknál, akik nem tudnak besétálni az IT-hoz. Az alapértelmezett élettartam 60 perc, de ez módosítható.

Hogyan készüljek fel a 2026 márciusi passkey migráció előtt?

Ha az alapértelmezettől eltérő passkey-konfigurációt akarsz (pl. csak eszközhöz kötött passkey-eket engedélyezni), az automatikus migráció előtt jelentkezz be a migrációba az Entra felügyeleti központban, és állítsd be a kívánt passkeyType értéket. Ha nem teszel semmit, a Microsoft automatikusan migrálja a meglévő FIDO2-beállításaidat egy alapértelmezett profilba, ahol mind a szinkronizált, mind az eszközhöz kötött passkey-ek engedélyezve lesznek.

Hány break-glass fiókra van szükségem és hogyan konfiguráljam őket?

A Microsoft legalább kettőt javasol. Ezeknek felhőalapú (*.onmicrosoft.com) fiókoknak kell lenniük, állandó Global Administrator szerepkörrel, FIDO2 vagy tanúsítványalapú MFA-val, és legalább egy fiókot ki kell zárni az összes Conditional Access szabályból. A jelszavakat tűzálló széfben tárold, és negyedévente ellenőrizd, hogy a fiókok működnek és be lehet velük jelentkezni. Komolyan – tedd a naptáradba.

A Szerzőről Editorial Team

Our team of expert writers and editors.