Conéctese a Exchange Online mediante MFA (autenticación multifactor)
Si desea conectar Exchange Online PowerShell mediante MFA, debe utilizar una herramienta especial de PowerShell ofrecida por Microsoft "Exchange Online PowerShell Module" (EXO).
Actualización de febrero de 2023: retirada remota de PowerShell (RPS) en Exchange Online PowerShell
Debido al retiro de RPS, no puede usar los módulos EXO V1 y V2 para conectar Exchange Online PowerShell. Por lo tanto, los administradores deben instalar/actualizar el módulo EXO V3 para realizar tareas de administración de Exchange.
Puede instalar el módulo Exchange Online PowerShell (EXO V1) manualmente o puede usar un script dedicado que instala el módulo y conecta Exchange Online PowerShell mediante MFA. Revisemos ambos métodos en detalle.
Método automatizado:
- Script de PowerShell para conectar Exchange Online PowerShell con MFA
Método manual:
- Paso 1: Instale el módulo PowerShell de Exchange Online para MFA (proceso único)
Para facilitar su trabajo, hemos documentado consejos comunes para la solución de problemas en la parte inferior.
Método automatizado: secuencia de comandos de PowerShell para conectar Exchange Online PowerShell con MFA
Desafortunadamente, conectar Exchange Online PowerShell mediante MFA es algo complicado, por lo que los principiantes pueden perderse rápidamente. ¡No hay problema! Estamos aquí para ayudar a los administradores. Hemos escrito un script de PowerShell fácil de usar para conectar Exchange Online PowerShell con MFA, que realiza las siguientes cosas.
- Descargas Módulo PowerShell remoto de Exchange Online
- Instala el módulo PowerShell de Exchange Online
- Conecta Exchange Online PowerShell mediante MFA
Descargar script: ConnectExchangeOnlinePowerShell.ps1
Método manual: configure todo usted mismo
Paso 1: Instale el módulo PowerShell de Exchange Online para MFA
Lo primero que debe hacer es descargar el módulo Exchange Online PowerShell remoto. Para descargar el módulo Exchange Online PowerShell directamente, puede utilizar este enlace rápido: https://cmdletpswmodule.blob.core.windows.net/exopsmodule/Microsoft.Online .CSE.PSModule.Aplicación.cliente
Alternativamente, para descargar el módulo Exchange Online MFA a través de Microsoft, siga los pasos a continuación.
1. Inicie sesión en el Centro de administración de Exchange mediante Internet Explorer o Edge.
2. En el EAC, vaya a Hybrid y haga clic en el botón Configurar (como se menciona en la imagen a continuación) para descargar el módulo Exchange Online PowerShell para Ministerio de Asuntos Exteriores.
Nota: Se necesita un navegador que utilice ClickOnce para descargar (como IE o Edge) para descargar; de lo contrario, Recibe un error durante la instalación. Haga clic en Consejos de solución de problemas de Connect-ExoPSSession para obtener más consejos de solución de problemas.
3.Haga clic en Instalar.
Paso 2: Conecte Exchange Online PowerShell mediante MFA
1.Connect-EXOPSSession se utiliza para conectarse a Exchange Online con MFA. No puede usar Connect-EXOPSSession en Windows PowerShell estándar. Debe iniciar el módulo Exchange Online Remote PowerShell. Cuando inicia el módulo Exchange Online Remote PowerShell, se muestra una sugerencia sobre el uso.
2.Connect-EXOPSSession tiene un parámetro UserPrincipalName. Puede utilizar Connect-EXOPSSession, con o sin UserPrincipalName. Por ejemplo,
Connect-EXOPSSession -UserPrincipalName Admin@Contoso.com3.Ingrese la contraseña en la ventana de inicio de sesión y luego haga clic en Iniciar sesión.
4. Un código de verificación generado y entregado según MFA configurado para su cuenta. Ingrese el código de verificación en la ventana de verificación y luego haga clic en Iniciar sesión.
5. Después del paso 4, los cmdlets en línea de Exchange se importan a la sesión remota del módulo PowerShell de Exchange Online. Si no recibe ningún error, se conectó correctamente como se muestra en la siguiente figura.
Si desea conectar todos los servicios de Office 365 PowerShell con un solo cmdlet, consulte: Conéctese a todos los servicios de Office 365 mediante PowerShell (también admite MFA)
Connect-EXOPSSession - Consejos para solucionar problemas:
La mayoría de las personas encuentran numerosos desafíos cuando intentan utilizar el cmdlet Connect-EXOPSSession. Para garantizar una instalación y ejecución sin problemas, hemos documentado los errores comunes y sus consejos para la solución de problemas en este blog. Si desea obtener una lista de usuarios habilitados para MFA en su inquilino, puede consultar el informe de estado de MFA de los usuarios de Export Office 365.
1.No puedes usar Windows PowerShell estándar para conectar Exchange Online con MFA:
Si utiliza Windows PowerShell estándar para conectarse a Exchange Online mediante una cuenta habilitada para MFA, recibirá el siguiente error.
Nueva-PSSession: outlook.office365. com Conexión al servidor remoto outlook.office365. com falló con el siguiente mensaje de error: Acceso denegado. Para obtener más información, consulte el tema de ayuda about_Remote_Troubleshooting.+ $Session=New-PSSession -ConfigurationName Microsoft.Exchange -Conne ...
+ Totalmente calificadoErrorId: Acceso denegado, PSSessionOpenFailed
Import-PSSession: no se puede validar el argumento en el parámetro 'Sesión'. El argumento es nulo. Proporcione un valor válido para el argumento y luego intente ejecutar el comando nuevamente. + Importar-PSSession $Sesión -CommandName Get-Mailbox,Get-MailboxPermi...
+ FullyQualifiedErrorId: ParameterArgumentValidationError, Microsoft.PowerShell.Commands. ImportarPSSessionCommand
Si desea conectar Exchange Online PowerShell con MFA, debe instalar el “Módulo Exchange Online PowerShell” (EXO).
2.¿Cómo importar el módulo Powershell Exchange Online habilitado para MFA en ISE?
En lugar de utilizar la consola Exchange Online PowerShell, puede importar el módulo Exchange Online PowerShell en Windows PowerShell ISE. Para utilizar correctamente el cmdlet Connect-EXOPPSSession en ISE, debe ejecutar el siguiente código en ISE.
$MFAExchangeModule = ((Get-ChildItem -Path $($env:LOCALAPPDATA+"\Apps\2.0\") -Filter CreateExoPSSession.ps1 -Recurse ).FullName | Select-Object -Last 1)
. "$MFAExchangeModule"Ahora puede usar PowerShell ISE para conectar Exchange Online con MFA.
Nota: Antes de utilizar este código, debe instalar el módulo Exchange Remote Online PowerShell.
3.No se puede instalar el módulo PowerShell de Exchange Online. No se puede iniciar la aplicación:
Si no utilizó IE o Edge para descargar el módulo Exchange Online PowerShell, encontrará un error durante la instalación.
4.Habilite la autenticación básica en el servicio WinRM:
La Administración remota de Windows (WinRM) debe permitir la autenticación básica (está habilitada de forma predeterminada) para crear ExoPSSession. Si la autenticación básica está deshabilitada, obtendrá el siguiente error cuando intente conectarse:
Nota: El encabezado de autenticación básica es necesario para transportar el token OAuth de la sesión, ya que la implementación de WinRM del lado del cliente no es compatible con OAuth.
Para verificar si la autenticación básica está habilitada, ejecute el siguiente comando en el símbolo del sistema.
winrm get winrm/config/client/authSi Basic= true no está configurado, debe ejecutar el siguiente comando para habilitar la autenticación básica.
winrm set winrm/config/client/auth @{Basic="true"}Después de ejecutar el comando anterior, el resultado es similar a la siguiente captura de pantalla.
Nota: También puede utilizar el módulo EXO V2 para conectar Exchange Online PowerShell con autenticación moderna. Aunque el módulo EXO V2 utiliza autenticación moderna, todavía necesita autenticación básica de WinRM para transportar tokens de autenticación modernos. Para mejorar la seguridad, Microsoft presentó recientemente el módulo EXO V2 Preview 2.0.6. Permite al administrador utilizar el módulo EXO V2 sin autenticación básica de WinRM.
5.Inicie el servicio WinRM:
Para habilitar la autenticación básica en WinRM, el servicio WinRM debe estar en estado de ejecución. De lo contrario, obtendrá el siguiente error: El cliente no puede conectarse al destino especificado en la solicitud. Verifique que el servicio en el destino se esté ejecutando y acepte solicitudes. Consulte los registros y la documentación del servicio WS-Management que se ejecuta en el destino, normalmente IIS o WinRM.
Para iniciar el servicio WinRM, inicie el símbolo del sistema como administrador y ejecute el siguiente comando
Winrm quickconfigCuando el mensaje de cmd muestre ¿Realizar estos cambios [y/n]?, escriba y.
Si la configuración se realiza correctamente, se mostrará el resultado del inicio del servicio WinRM.
6.¿Dónde encuentro el módulo PowerShell remoto de Exchange Online?
No podrá encontrar el módulo Exchange Online Remote PowerShell mediante el cmdlet Get-Module . Cuando instale la aplicación ClickOnce, se instalará en el siguiente directorio.
%UserProfile%\AppData\Local\Apps\2.0
Puede utilizar el acceso directo del escritorio para iniciar el módulo PowerShell remoto de Exchange Online.
7.Desconecte la sesión remota de PowerShell:
Asegúrese de desconectar la sesión remota de PowerShell cuando haya terminado. De lo contrario, terminaste usando todas las sesiones remotas de PowerShell disponibles y recibirás el siguiente error.
New-ExoPSSession: procesamiento de datos desde el servidor remoto outlook.office365. com falló con el siguiente mensaje de error: [AuthZRequestId=068a9813-8420-43f0-9f20-692228962287] [FailureCategory=AuthZ-AuthorizationException] No se pudo crear un espacio de ejecución porque excedió el número máximo de conexiones permitidas: 10
Para desconectar todas las sesiones de PowerShell en la ventana actual, puede utilizar el siguiente comando.
Get-PSSession | Remove-PSSessionConéctese a Exchange Online PowerShell sin autenticación básica:
Todo lo que sabemos es que Microsoft dejará de utilizar la autenticación básica en Exchange Online en octubre de 2022. Entonces, ¿cómo se conectará a Exchange Online PowerShell sin autenticación básica?
Puede instalar el nuevo módulo ExchangeOnlineManagement. He escrito un blog dedicado a cómo instalar y usar ExchangeOnlineManagement para conectarme a Exchange Online PowerShell con autenticación moderna. Puedes consultar el blog para más detalles.
Automatizar el inicio de sesión de Exchange Online PowerShell con MFA - Script desatendido:
Con la introducción de valores predeterminados de seguridad y la aplicación de MFA, la mayoría de los scripts se interrumpen en tareas programadas o en automatización. Como solución alternativa, la mayoría de los administradores utilizaron el acceso condicional para excluir MFA de las cuentas de servicio. Hace que la organización sea menos segura. Para solucionar este problema, Microsoft presentó una nueva vista previa pública del módulo EXO V2 (versión 2.0.3 o posterior) para conectar Exchange Online con un script desatendido.
Desafíos en la generación de informes usando PowerShell:
La mayoría de los administradores utilizan Exchange Online PowerShell para generar informes en línea de Exchange y auditar el entorno de Office 365. Pero he visto muchos desafíos al usar PowerShell. Por ejemplo,
- Si no recupera los datos de auditoría correctamente, se producirá una pérdida de datos que arruinará el propósito.
- Si es un novato, es posible que pierda la búsqueda del cmdlet adecuado.
- PowerShell requiere mucho esfuerzo para generar los informes necesarios, lo que lleva mucho tiempo.
- Automatizar la generación de informes es difícil cuando se utiliza MFA.
Si está buscando formas alternativas de generar informes de Exchange como
- Informes de información del buzón
- Informes de buzones de correo inactivos basados en la hora del último inicio de sesión, la hora de la última actividad, la hora del último correo leído y la hora del último correo enviado
- Informes de uso del buzón
- Informes de permisos de buzón
- Informes de reenvío de buzones
- Informes de configuración del buzón
- Informes de buzones en espera
- Informes de actividad de correo electrónico
- Informes de spam y malware
- Informes estadísticos y de tráfico de correo electrónico
- Informes de auditoría de buzones
- Informes de acceso al buzón de correo de no propietarios
Puedes echar un vistazo a la herramienta de auditoría e informes AdminDroid Exchange Online. Esta herramienta ofrece más de 170 estadísticas e informes de auditoría de Exchange Online junto con paneles visualmente atractivos.
Además, AdminDroid ofrece más de 1500 informes prediseñados sobre varios servicios de Office 365 como Azure AD, Exchange Online, SharePoint Online, Microsoft Teams, OneDrive for Business, Skype for Business, Yammer, informes generales de Office 365. e informes de seguridad.
Además, AdminDroid proporciona más de 100 informes y varios paneles de control completamente gratis. Incluye informes sobre usuarios, licencias, grupos, miembros de grupos, dispositivos, actividades de inicio de sesión, cambios de contraseña, cambios de licencia y más. La edición gratuita no tiene restricciones en las funcionalidades de informes, como personalización, programación y exportación. Para sus necesidades de auditoría e informes de Azure AD, puede descargar la herramienta gratuita de informes de Office 365 de AdminDroid y ver cómo le resulta útil.
¡Espero que la publicación anterior haya sido útil! ¿Tiene algún enfoque diferente para utilizar MFA en scripts? Compártalo con otros administradores y con nosotros en los comentarios.