นโยบายการรีเซ็ตโทเค็น FIDO2

Question

พนักงานคนหนึ่งลืมรหัส PIN ที่ตั้งไว้กับ FIDO2 YubiKey ของบริษัท ทำให้ไม่สามารถเข้าใช้งาน Windows ได้อีกต่อไป แบบนี้ผู้ดูแลระบบ IT สามารถรีเซ็ตหรือเคลียร์ PIN ของโทเค็นฮาร์ดแวร์จากระยะไกลผ่านคอนโซล Intune ได้หรือไม่ หรือจำเป็นต้องให้ผู้ใช้ทำการรีเซ็ตอุปกรณ์กลับสู่ค่าโรงงาน (factory reset) ด้วยตนเองที่เครื่องจริง ?

Answer 1

สวัสดีนะคุง

ไม่สามารถทำได้ผ่าน Intune ครับ เนื่องจาก Intune ไม่มีความสามารถให้ผู้ดูแลระบบดู รีเซ็ต หรือล้าง PIN ของ FIDO2 Security Key เช่น YubiKey จากระยะไกลได้ โดย PIN จะถูกเก็บไว้อย่างปลอดภัยภายในตัวอุปกรณ์ฮาร์ดแวร์และถูกออกแบบมาให้จัดการได้เฉพาะบนตัวอุปกรณ์เท่านั้น

หากผู้ใช้ลืม PIN วิธีการกู้คืนที่ Microsoft รองรับโดยทั่วไปคือการทำ Factory Reset กับ Security Key โดยตรงขณะที่เสียบอุปกรณ์อยู่กับเครื่องคอมพิวเตอร์

อย่างไรก็ตาม การ Factory Reset จะลบข้อมูลรับรอง (Credentials) ทั้งหมดที่เก็บอยู่บน Key ดังนั้นหลังจากรีเซ็ตแล้ว ผู้ใช้จะต้องลงทะเบียน (Enroll/Register) YubiKey ใหม่กับ Microsoft Entra ID และบริการอื่น ๆ ที่เคยใช้งานร่วมกับ Key ดังกล่าวอีกครั้ง

สรุปคือ ฝ่าย IT ไม่สามารถแก้ไขปัญหานี้ผ่าน Intune เพียงอย่างเดียวได้ ผู้ใช้จำเป็นต้องมี YubiKey ตัวจริงอยู่ในมือ ทำการรีเซ็ตอุปกรณ์บนเครื่องคอมพิวเตอร์ และลงทะเบียน Key ใหม่ก่อนจึงจะสามารถกลับมาใช้งานสำหรับการลงชื่อเข้าใช้ Windows ได้

แฮร์รี่.