สรุปสั้นๆ
- เปิด multi-factor authentication (MFA) สำหรับผู้ใช้ทุกคน — โดยเฉพาะผู้ดูแล
- ใช้ Microsoft Authenticator app แทน SMS เมื่อเป็นไปได้
- บล็อก legacy sign-in เพื่อไม่ให้รหัสผ่านอย่างเดียวข้าม MFA
- ใช้เวลาประมาณ 10–15 นาที สำหรับ tenant ขนาดเล็ก หากทำตามขั้นตอนด้านล่าง
คู่มือนี้สำหรับใคร
ผู้จัดการออฟฟิศหรือผู้ติดต่อ IT ที่ดูแล Microsoft 365 สำหรับ 5–100 ผู้ใช้ ในไทยหรือสิงคโปร์ คุณต้องมีสิทธิ์ Global Administrator หรือ Authentication Administrator
ทำไม MFA จึงสำคัญ
การบุกรุกอีเมลธุรกิจส่วนใหญ่เริ่มจาก รหัสผ่านถูกขโมย (ฟิชชิ่งหรือรหัสผ่านซ้ำ) MFA หยุดการโจมตีอัตโนมัติส่วนใหญ่ เพราะผู้โจมตีต้องมีโทรศัพท์หรือ security key ของคุณด้วย
Microsoft และบริษัทประกันคาดหวัง MFA สำหรับบริษัทที่จัดการข้อมูลลูกค้าหรือเงินเดือน
ขั้นตอนที่ 1 — เปิด Entra security defaults หรือ Conditional Access
- ลงชื่อเข้าใช้ Microsoft Entra admin center
- ไปที่ Protection → Security defaults (ง่ายที่สุดสำหรับ tenant เล็ก)
หากมี Security defaults:
- ตั้ง Security defaults เป็น Enabled (บังคับลงทะเบียน MFA สำหรับผู้ใช้ทุกคน)
หากใช้ Conditional Access อยู่แล้ว (Business Premium / E3+):
- สร้างนโยบาย: All users → All cloud apps → Require authentication strength (MFA)
ขั้นตอนที่ 2 — ให้ผู้ใช้ลงทะเบียน MFA
แต่ละคนลงทะเบียนครั้งเดียว:
- ไปที่ https://aka.ms/mfasetup ขณะลงชื่อเข้าแล้ว
- เพิ่ม Microsoft Authenticator (แนะนำ) หรือหมายเลขโทรศัพท์
- อนุมัติการแจ้งเตือนทดสอบบนโทรศัพท์
เคล็ดลับสำหรับพนักงาน: แสดงภาพหน้าจอขั้นตอนเดียวในประชุม Teams สั้นๆ — การยอมรับเร็วกว่าอีเมลอย่างเดียว
ขั้นตอนที่ 3 — ปกป้องบัญชีผู้ดูแล
- สร้าง บัญชี admin เฉพาะ (ไม่ใช่อีเมลประจำวัน)
- บังคับ MFA ทุก admin
- อย่าแชร์รหัสผ่าน Global Admin คนเดียวในกลุ่มแชท
ขั้นตอนที่ 4 — บล็อก legacy authentication
โปรโตคอลเก่า (ไคลเอนต์ POP/IMAP เก่า) ข้าม MFA ได้
- Entra → Protection → Conditional Access
- นโยบาย: บล็อก Legacy authentication clients
(ต้องการ Entra ID P1 — รวมใน Business Premium และ Enterprise E3)
หากใช้ Business Standard อย่างเดียว ปิด POP/IMAP ในแต่ละกล่องจดหมายและย้ายผู้ใช้ไป Outlook รุ่นใหม่
ปัญหาที่พบบ่อย
| อาการ | วิธีแก้ |
|---|---|
| ผู้ใช้ถูกล็อก | Admin รีเซ็ตวิธี MFA ใน Entra → Users → Authentication methods |
| Authenticator ไม่แจ้งเตือน | ตรวจเวลาโทรศัพท์ซิงก์ ติดตั้งแอปใหม่ |
| เครื่องสแกน/แอปเสีย | ใช้ app password หรือย้ายแอปไป modern auth — ปรึกษาพาร์ทเนอร์ |
| ค่า SMS สูง | เปลี่ยนผู้ใช้ไป Authenticator app |
แผนและฟีเจอร์ MFA
| แผน | ลงทะเบียน MFA | Conditional Access |
|---|---|---|
| Business Basic | ได้ | จำกัด |
| Business Standard | ได้ | จำกัด |
| Business Premium | ได้ | เต็มรูปแบบ (Intune + CA) |
| Enterprise E3/E5 | ได้ | เต็มรูปแบบ |
ดู เช็กลิสต์ความปลอดภัยสำหรับ SME
สรุป
เปิด MFA ทั้ง tenant ลงทะเบียน Authenticator ให้ผู้ใช้แต่ละคน เสริมความแข็งแกร่งบัญชี admin และบล็อก legacy sign-in ตามที่ไลเซนส์อนุญาต นี่คือขั้นตอนความปลอดภัยที่คุ้มค่าที่สุดหลังซื้อ ไลเซนส์ ที่ถูกต้อง
ขั้นตอนถัดไป
Common questions
Does MFA work with all Microsoft 365 plans?
Yes. MFA registration is available on all plans from Business Basic to Enterprise E5. Conditional Access policies (which enforce MFA on specific apps) require Business Premium, Enterprise E3, or E5.
What if a user loses their phone with the Authenticator app?
An admin can reset the user's MFA methods in Entra ID → Users → Authentication methods. The user will then re-register on their new device.
Can I use SMS instead of the Authenticator app?
Yes, but Microsoft recommends the Authenticator app over SMS. SMS is vulnerable to SIM-swapping attacks and may incur costs for users.
How long does it take to enable MFA for a small business?
For a tenant with 5–20 users, enabling Security defaults and having users register takes about 15–30 minutes total.
