Dela via

Använda Fiddler-spårningsloggar för MFA i Microsoft 365 och Microsoft Entra ID

  • Gäller för: Entra ID, Microsoft 365

Den här artikeln introducerar Fiddler-spårningsloggen för följande MFA-scenarier:

  • Fungerande MFA-scenarier
  • När telefonen inte är i täckningen eller telefonen inte väljs
  • När bedrägeriaviseringen utlöses för att blockera kontot i molnet
  • För ett blockerat konto
  • När MFA används för hanterade konton

Om ett användarkonto federeras omdirigeras användaren till servicetokenservern (STS) för autentisering och till login.microsoftonline.com, och SAML-token utfärdas av STS. Om användaren hanteras autentiserar login.microsoftonline.com användaren med hjälp av användarens lösenord.

MFA startar när användarens lösenord har verifierats av Microsoft Entra ID eller STS. Cookien SANeeded=1 anges om användaren är aktiverad för MFA-autentisering i Microsoft 365 eller Microsoft Entra-ID. Kommunikationen mellan klienten och login.microsoftonline.com efter autentiseringen av användarlösenord liknar följande exempel:

POST https://login.microsoftonline.com/login.srf HTTP/1.1
Värd: login.microsoftonline.com

HTTP/1.1 302 hittades

Set-Cookie: SANeeded=1; domain=login.microsoftonline.com; secure=; path=/; HTTPOnly=; version=1

Scenario 1: Fungerande MFA-scenarier

Cookien SANeededed=1 anges efter lösenordsautentisering. Nätverkstrafik omdirigeras sedan till slutpunkten: https://login.microsoftonline.com/StrongAuthCheck.srf, och tillgängliga autentiseringsmetoder begärs.

Skärmbild av tillgängliga autentiseringsmetoder.

MFA börjar med BeginAuth och sedan utlöses telefonsamtalet på serverdelen till telefontjänstleverantören.

Skärmbild som visar att M F A börjar med metoden BeginAuth.

När MFA-auktoriseringen har påbörjats börjar klienten köra frågor mot samma slutpunkt för EndAuth-metoden var 10:e sekund för att kontrollera om autentiseringen har slutförts. Tills anropet har valts och verifierats returneras resultatvärdet som AuthenticationPending.

Skärmbilden visar att ResultValue är inställt på AuthenticationPending.

När telefonen väljs och verifieras blir svaret för nästa fråga för EndAuth ett ResultValue of Success. Dessutom har användaren slutfört multifaktorautentisering. Även Set-Cookie : SANeeded=xxxxxxx cookie anges i svaret, som ges till slutpunkten : login.srf för att slutföra autentiseringen.

Skärmbild som visar login.srf för att slutföra autentiseringen.

Scenario 2: När telefonen är utanför täckningsområdet eller telefonen inte besvaras

När telefonen inte har valts och verifierats inom 60 sekunder efter att samtalet har ringts anges ResultValue som UserVoiceAuthFailedPhoneUnreachable. Vid nästa fråga för EndAuth-metoden returneras UserVoiceAuthFailedPhoneUnreachable, som visas i Fiddler.

Skärmbild som visar att ResultValue är inställt på UserVoiceAuthFailedPhoneUnreachable.

Scenario 3: När bedrägeriaviseringen utlöses för att blockera kontot i molnet

När telefonen inte besvaras och en bedrägeriavisering publiceras inom 60 sekunder efter att samtalet har gjorts anges ResultValue som AuthenticationMethodFailed. Vid nästa fråga för EndAuth-metoden returneras ett AuthenticationMethodFailed-svar, som visas i Fiddler.

Skärmbild som visar att ResultValue är inställt på AuthenticationMethodFailed.

Scenario 4: För ett blockerat konto

Om användaren blockeras anges ResultValue som UserIsBlocked. Vid den första frågan för EndAuth-metoden UserIsBlocked returneras, som du ser i Fiddler.

Skärmbild som visar att ResultValue är inställt på UserIsBlocked.

Lösning: Se Rapportera misstänkt aktivitet.

Om MFA är aktiverat via Microsoft 365 skickar du en supportbegäran till Microsoft för att avblockera den.

Scenario 5: MFA för hanterade konton

I den här situationen förblir autentiseringen densamma, men slutpunkterna är https://login.microsoftonline.com/common/SAS/BeginAuth och https://login.microsoftonline.com/common/SAS/EndAuth i stället https://login.microsoftonline.com/StrongAuthCheck.srf för som för de federerade kontona.