# วิธีเปิด MFA Microsoft 365 ทั้งองค์กร ด้วย Security defaults หรือ Conditional Access

> วิธีเปิด MFA Microsoft 365 ทั้งองค์กร เลือก Security defaults หรือ Conditional Access สร้างบัญชีฉุกเฉิน ลงทะเบียน Authenticator และรับมือ MFA ภาคบังคับ

- ประเภท: คู่มือ · หมวด: Enterprise Apps
- เผยแพร่: 2026-10-22T12:09:00.000Z · อัปเดต: 2026-10-22T12:09:00.000Z
- โดย: กองบรรณาธิการ THAI DATA, THAI DATA IT BUSINESS ENTERPRISE
- ที่มา: https://thaidata.co.th/enterprise-apps/enable-mfa-microsoft-365-entra-conditional-access/

## สรุปประเด็นสำคัญ

- เปิด MFA Microsoft 365 ได้ด้วย **Security defaults** ซึ่งใช้ได้ทุกองค์กรผ่าน Microsoft Entra ID Free ส่วน **Conditional Access** ต้องมี **Microsoft Entra ID P1** ขึ้นไป เช่น Microsoft 365 Business Premium หรือ E3 และใช้สองแบบพร้อมกันไม่ได้
- ก่อนเปิด MFA Microsoft 365 ให้สร้าง**บัญชีฉุกเฉินอย่างน้อย 2 บัญชี** แบบ cloud-only บนโดเมน .onmicrosoft.com ใช้ passkey (FIDO2) และยกเว้นจากนโยบาย Conditional Access
- Microsoft บังคับ MFA เมื่อเข้า Azure portal, Entra admin center และ Intune admin center ตั้งแต่ **ตุลาคม 2024** และ Microsoft 365 admin center ตั้งแต่ **กุมภาพันธ์ 2025** ไม่ว่าองค์กรจะเปิด MFA Microsoft 365 เองแล้วหรือยัง และบัญชีฉุกเฉินก็ต้องผ่าน MFA
- ตั้งแต่ **29 กรกฎาคม 2024** Security defaults ไม่มีช่วงผ่อนผัน 14 วันให้ผู้ใช้ลงทะเบียน MFA แล้ว และ Registration campaign ตั้งให้ผู้ใช้เลื่อนได้ **0–14 วัน** ต่อครั้ง

วิธีเปิด MFA Microsoft 365 ให้ทั้งองค์กรที่ Microsoft แนะนำมี 2 ทาง คือเปิด Security defaults ซึ่งใช้ได้ทุกองค์กรโดยไม่ต้องซื้อไลเซนส์เพิ่ม หรือสร้างนโยบาย Conditional Access ซึ่งต้องมี Microsoft Entra ID P1 ขึ้นไป ทั้งสองทางตั้งค่าใน Microsoft Entra admin center ได้ในไม่กี่ขั้น แต่ควรสร้างบัญชีฉุกเฉินและตรวจระบบรุ่นเก่าก่อนกดเปิด

คู่มือเปิด MFA Microsoft 365 นี้เขียนสำหรับผู้ดูแลระบบ ขั้นตอนตรวจกับเอกสาร Microsoft Learn ณ ตุลาคม 2026 (หน้า Security defaults ปรับปรุง 16 ตุลาคม 2026) และใช้ชื่อเมนูภาษาอังกฤษตามเอกสาร ซึ่ง Microsoft เปลี่ยนเป็นระยะ เช่น เอกสาร Microsoft 365 รุ่นธันวาคม 2025 ยังเรียกหน้าเดียวกันว่า Identity > Overview

## เปิด MFA Microsoft 365 ด้วยวิธีไหนดี

| วิธี | ไลเซนส์ที่ต้องมี | ปรับแต่ง | วิธียืนยันตัวตน |
| --- | --- | --- | --- |
| Security defaults | Microsoft Entra ID Free ซึ่งมีในทุกองค์กร Microsoft 365 | เปิดหรือปิดเท่านั้น | Microsoft Authenticator หรือแอป OATH TOTP |
| Conditional Access | Entra ID P1 หรือ P2 เช่น Business Premium, E3 (P1) และ E5 (P2) หรือ add-on | เลือกผู้ใช้ แอป เงื่อนไข และข้อยกเว้นได้ | ตาม authentication strength ที่เลือก |
| Per-user MFA แบบเดิม | Entra ID Free | เปิดทีละบัญชี | Microsoft ไม่แนะนำ |

![ตารางในเอกสาร Microsoft Entra เทียบ Security defaults ซึ่งไม่ต้องใช้ไลเซนส์ กับ Conditional Access ซึ่งต้องมี Microsoft Entra ID P1 ขึ้นไป](https://thaidata-co-th.s3.ap-southeast-1.amazonaws.com/thaidata.co.th/images/articles/enable-mfa-microsoft-365-entra-conditional-access/m365-mfa-security-defaults-vs-conditional-access.webp?v=bc261de1) _(ภาพ: Microsoft Learn (ภาพหน้าจอ))_

[หน้าอธิบาย MFA ของ Microsoft 365](https://learn.microsoft.com/en-us/microsoft-365/admin/security-and-compliance/multi-factor-authentication-microsoft-365) ระบุว่า Security defaults กับ Conditional Access ใช้พร้อมกันไม่ได้ ถ้ามีนโยบาย Conditional Access แม้นโยบายเดียวในสถานะใดก็ตาม จะเปิด Security defaults ไม่ได้ และก่อนใช้ทั้งสองแบบต้องปิด per-user MFA แบบเดิมก่อน องค์กรที่ไม่มี Entra ID P1 จึงเปิด MFA Microsoft 365 ด้วย Security defaults ส่วนองค์กรที่มี P1 ใช้ Conditional Access เพื่อกำหนดข้อยกเว้นได้ ราคาแผน Business Premium ในไทยดูได้ใน[บทความเทียบ Microsoft 365 กับ Google Workspace](/enterprise-apps/microsoft-365-vs-google-workspace-2026-comparison/)

## ก่อนเปิด MFA Microsoft 365 ต้องเตรียมอะไร

- **สิทธิ์ผู้ดูแล** เอกสาร Microsoft Entra ระบุบทบาทอย่างน้อย Conditional Access Administrator ส่วนเอกสาร Microsoft 365 ระบุ Global Administrator หรือ Security Administrator สำหรับการเปิดปิด Security defaults
- **บัญชีฉุกเฉินอย่างน้อย 2 บัญชี** ตามขั้นตอนที่ 1
- **รายชื่อระบบรุ่นเก่า** เช่น แอปอีเมลที่ใช้ POP หรือ IMAP และเครื่องสแกนที่ส่งอีเมลด้วย SMTP AUTH ซึ่งจะใช้ไม่ได้เมื่อ legacy authentication ถูกบล็อก
- **ปิด per-user MFA แบบเดิม** Microsoft ระบุว่าองค์กรที่เริ่มสมัครหลังปี 2019 ส่วนใหญ่ไม่ได้เปิดไว้
- **แจ้งพนักงานล่วงหน้า** ว่าจะเปิด MFA Microsoft 365 วันใด และให้ลงทะเบียนที่ myprofile.microsoft.com เมนู Security Info
- **แยกบัญชีผู้ดูแลออกจากบัญชีทำงานประจำ** ตามคำแนะนำของ Microsoft

## สร้างบัญชีฉุกเฉินก่อนเปิด MFA Microsoft 365 อย่างไร

### ขั้นตอนที่ 1: สร้างบัญชีฉุกเฉินอย่างน้อย 2 บัญชีและผูก passkey

บัญชีฉุกเฉิน (emergency access หรือ break-glass) ใช้กู้ระบบเมื่อผู้ดูแลทุกคนเข้าไม่ได้ เช่น นโยบายตั้งผิดหรือเครือข่ายมือถือล่ม [แนวทางของ Microsoft](https://learn.microsoft.com/en-us/entra/identity/role-based-access-control/security-emergency-access) สรุปได้ดังนี้

1. สร้างผู้ใช้แบบ cloud-only บนโดเมน *.onmicrosoft.com ที่ไม่ซิงก์จาก Active Directory แล้วกำหนดบทบาท Global Administrator ถ้าใช้ Privileged Identity Management ให้เป็น active ถาวร ไม่ใช่ eligible
2. ลงทะเบียน passkey (FIDO2) ซึ่ง Microsoft แนะนำ หรือ certificate-based authentication และไม่ใช้วิธีเดียวกับบัญชีผู้ดูแลปกติ
3. ไม่ผูกกับพนักงานคนใดหรือโทรศัพท์ส่วนตัว เก็บกุญแจในตู้นิรภัยกันไฟคนละสถานที่
4. ใส่บัญชีไว้ในกลุ่มเฉพาะ เช่น EmergencyAccess แล้วยกเว้นกลุ่มนี้จากนโยบาย Conditional Access ที่บล็อกหรือจำกัดการลงชื่อเข้าใช้
5. ตั้งการแจ้งเตือนทุกครั้งที่บัญชีนี้ลงชื่อเข้าใช้ และทดสอบอย่างน้อยทุก 90 วัน

## เปิด MFA Microsoft 365 ด้วย Security defaults ทำอย่างไร

### ขั้นตอนที่ 2: เปิด Security defaults

tenant ที่สร้างตั้งแต่ 22 ตุลาคม 2019 อาจเปิดไว้แล้ว ให้ตรวจสถานะก่อน ส่วน tenant ที่เพิ่งสร้างใหม่จะมีช่วงผ่อนผัน 24 ชั่วโมงก่อนเริ่มบังคับ เพื่อให้ผู้ดูแลเข้าไปตั้งค่าได้ก่อนถูกถาม MFA

1. ลงชื่อเข้า Microsoft Entra admin center ด้วยบทบาทอย่างน้อย Conditional Access Administrator
2. ไปที่ **Entra ID > Overview > Properties**
3. เลือก **Manage security defaults**
4. ตั้ง **Security defaults** เป็น **Enabled** แล้วเลือก **Save**

ถ้าองค์กรมีนโยบาย Conditional Access อยู่ ปุ่ม Manage security defaults จะไม่ปรากฏ

### ขั้นตอนที่ 3: ให้ผู้ใช้ทุกคนลงชื่อเข้าใหม่

Microsoft แนะนำให้เพิกถอนโทเค็นที่ยังใช้อยู่ เพื่อบังคับให้ผู้ใช้ที่ลงชื่อค้างไว้ต้องยืนยันตัวตนและลงทะเบียน MFA ด้วยคำสั่ง `Revoke-MgUserSignInSession` ใน Microsoft Graph PowerShell SDK

## หลังเปิด MFA Microsoft 365 ด้วย Security defaults มีอะไรเปลี่ยน

- ผู้ใช้ทุกคนต้องลงทะเบียน MFA และตั้งแต่ 29 กรกฎาคม 2024 ไม่มีช่วงผ่อนผัน 14 วันแล้ว
- ผู้ดูแลในบทบาทสำคัญ เช่น Global Administrator, Exchange Administrator, SharePoint Administrator และ User Administrator ต้องผ่าน MFA ทุกครั้งที่ลงชื่อเข้าใช้
- ผู้ใช้ทั่วไปถูกถาม MFA เมื่อจำเป็น โดย Microsoft ตัดสินจากสถานที่ อุปกรณ์ บทบาท และงานที่ทำ
- บล็อก legacy authentication เช่น Office 2010, IMAP, SMTP, POP3 และ Exchange ActiveSync แบบ basic authentication
- บล็อก device code flow ซึ่ง tenant ใหม่ทุกแห่งบล็อกตั้งแต่ 1 กรกฎาคม 2026
- ทุกคนที่เข้า Azure portal, Microsoft Entra admin center, Azure PowerShell และ Azure CLI ต้องผ่าน MFA

ผู้ใช้ลงทะเบียนด้วยการแจ้งเตือนของ Microsoft Authenticator และใช้รหัสจากแอป OATH TOTP ของผู้ผลิตอื่นได้ หน้าลงชื่อเข้าใช้จะแสดงตัวเลขให้พิมพ์ในแอปเพื่อกันการโจมตีแบบ MFA fatigue Microsoft เตือนว่าอย่าปิดวิธียืนยันตัวตนใดระหว่างใช้ Security defaults เพราะอาจล็อกตัวเองออกจาก tenant

## เปิด MFA Microsoft 365 ด้วย Conditional Access ทำอย่างไร

### ขั้นตอนที่ 4: เตรียมนโยบายแล้วปิด Security defaults

ระหว่างที่ Security defaults ยังเปิด สร้างนโยบาย Conditional Access ได้แต่เปิดใช้ไม่ได้ เมื่อเตรียมนโยบายครบ ให้ไปที่ **Manage security defaults** ตั้งเป็น **Disabled (not recommended)** เลือกเหตุผล **My organization is planning to use Conditional Access** แล้ว **Save** จากนั้นเปิดนโยบายทันทีตามที่ Microsoft แนะนำ เพื่อไม่ให้มีช่วงที่องค์กรไม่ได้เปิด MFA Microsoft 365

### ขั้นตอนที่ 5: สร้างนโยบาย Require MFA for all users

1. ไปที่ **Entra ID > Conditional Access > Policies** เลือก **New policy** และตั้งชื่อ
2. ใน **Assignments > Users or workload identities** ตั้ง **Include** เป็น **All users**
3. ใน **Exclude** เลือก **Users and groups** แล้วเลือกบัญชีฉุกเฉิน ถ้าใช้ Microsoft Entra Connect ให้เลือก **Directory roles > Directory Synchronization Accounts** ด้วย
4. ใน **Target resources > Resources > Include** เลือก **All resources**
5. ใน **Access controls > Grant** เลือก **Grant access** แล้ว **Require authentication strength** เป็น **Multifactor authentication strength**
6. ตั้ง **Enable policy** เป็น **Report-only** กด **Create** ตรวจผลแล้วจึงเปลี่ยนเป็น **On**

![ขั้นตอนสร้างนโยบาย Conditional Access ให้ผู้ใช้ทุกคนต้องผ่าน MFA จากเอกสาร Microsoft Learn](https://thaidata-co-th.s3.ap-southeast-1.amazonaws.com/thaidata.co.th/images/articles/enable-mfa-microsoft-365-entra-conditional-access/m365-mfa-conditional-access-all-users-steps.webp?v=5b9f1d0c) _(ภาพ: Microsoft Learn (ภาพหน้าจอ))_

ถ้าใช้ external authentication methods ให้เลือก **Require multifactor authentication** แทนในข้อ 5 เพราะยังใช้กับ authentication strength ไม่ได้

## ใช้เทมเพลตแทนการสร้างนโยบายเองได้ไหม

ได้ ที่หน้า **Conditional Access | Policies** เลือก **New policy from template** แท็บ **Secure foundation** เอกสาร Microsoft 365 ระบุเทมเพลตที่ให้การป้องกันแบบเดียวกับ Security defaults คือ Require MFA for all users, Require MFA for administrators, Block legacy authentication และ Require MFA for Azure management นโยบายจากเทมเพลตจะยกเว้นบัญชีที่กำลังลงชื่อเข้าใช้ไว้ หลังสร้างให้เปิดแท็บ **Exclude** ลบบัญชีนั้นออกแล้วเพิ่มบัญชีฉุกเฉินแทน

### ขั้นตอนที่ 6: บล็อก legacy authentication

ถ้าสร้างเอง ให้ Include เป็น All users และ All resources ใน **Conditions > Client apps** ตั้ง **Configure** เป็น **Yes** ติ๊กเฉพาะ **Exchange ActiveSync clients** และ **Other clients** แล้วเลือก **Block access** [เอกสารนโยบายนี้](https://learn.microsoft.com/en-us/entra/identity/conditional-access/policy-block-legacy-authentication)ระบุว่าการโจมตีแบบ password spray กว่า 99% ใช้โปรโตคอลรุ่นเก่า และแนะนำให้ยกเว้นอย่างน้อย 1 บัญชีกันการล็อกตัวเองออก ส่วนเอกสาร Microsoft 365 มองว่านโยบายนี้อาจไม่ต้องยกเว้นใคร

## หลังเปิด MFA Microsoft 365 ให้พนักงานลงทะเบียน Authenticator อย่างไร

### ขั้นตอนที่ 7: เปิด Registration campaign

Registration campaign เตือนผู้ใช้ให้ตั้งค่า Authenticator หรือ passkey หลังผ่าน MFA ต้องเปิด Authenticator ในนโยบาย Authentication methods และตั้ง Authentication mode เป็น Any หรือ Push ก่อน

1. ลงชื่อเข้าด้วยบทบาทอย่างน้อย Authentication Policy Administrator
2. ไปที่ **Entra ID > Authentication methods > Registration campaign** แล้วเลือก **Edit**
3. ตั้ง **State** เป็น **Enabled** และ **Authentication method** เป็น **Microsoft Authenticator**
4. ตั้ง **Days allowed to snooze** ได้ 0–14 วัน ถ้าเปิด **Limited number of snoozes** ผู้ใช้กด Skip for now ได้ 3 ครั้งก่อนต้องลงทะเบียน
5. เลือกกลุ่มผู้ใช้ที่ Include และ Exclude แล้วกด **Save**

![หน้า Registration campaign ใน Microsoft Entra admin center กำหนด State, Authentication method, จำนวนวันที่เลื่อนได้ และกลุ่มผู้ใช้](https://thaidata-co-th.s3.ap-southeast-1.amazonaws.com/thaidata.co.th/images/articles/enable-mfa-microsoft-365-entra-conditional-access/m365-mfa-entra-registration-campaign.webp?v=23b8a22d) _(ภาพ: Microsoft)_

ถ้าเลือก **Microsoft managed** ระบบเลือกวิธีให้เอง คือ passkey เมื่อผู้ใช้เปิดใช้ passkey ไว้ ไม่เช่นนั้นจึงเตือนเรื่อง Authenticator เฉพาะผู้ใช้ที่ผ่าน MFA ด้วย SMS หรือการโทร เลื่อนได้ครั้งละ 1 วันและต้องลงทะเบียนหลังเลื่อนครบ 3 ครั้ง

## Microsoft บังคับ MFA สำหรับพอร์ทัลผู้ดูแลเมื่อไร

[เอกสาร Mandatory MFA](https://learn.microsoft.com/en-us/entra/identity/authentication/concept-mandatory-multifactor-authentication) ระบุว่า Microsoft บังคับ MFA กับบัญชีที่เข้าพอร์ทัลผู้ดูแลแยกจากนโยบายขององค์กร โดยทยอยบังคับทีละ tenant

| ระยะ | ระบบ | เริ่มบังคับ |
| --- | --- | --- |
| Phase 1 | Azure portal, Microsoft Entra admin center, Microsoft Intune admin center ทุกการสร้าง อ่าน แก้ไข ลบ | ตุลาคม 2024 |
| Phase 1 | Microsoft 365 admin center (admin.microsoft.com, admin.cloud.microsoft) | กุมภาพันธ์ 2025 |
| Phase 2 | Azure CLI, Azure PowerShell, Azure mobile app, เครื่องมือ IaC และ REST API เฉพาะการสร้าง แก้ไข ลบ | 1 ตุลาคม 2025 |

![ข้อความในเอกสาร Microsoft Learn อธิบายการบังคับ MFA ระยะ Phase 1 และ Phase 2](https://thaidata-co-th.s3.ap-southeast-1.amazonaws.com/thaidata.co.th/images/articles/enable-mfa-microsoft-365-entra-conditional-access/m365-mfa-mandatory-phases.webp?v=39423495) _(ภาพ: Microsoft Learn (ภาพหน้าจอ))_

tenant ที่มีข้อจำกัดเคยขอเลื่อน Phase 1 ได้ไม่เกิน 30 กันยายน 2025 และ Phase 2 ได้ไม่เกิน 1 กรกฎาคม 2026 ซึ่งพ้นกำหนดแล้วทั้งคู่ และไม่มีทางเลือกไม่เข้าร่วม

## บัญชีใดต้องผ่าน MFA ภาคบังคับ

- **ทุกบัญชีผู้ใช้** ที่เข้าระบบในตาราง รวมบัญชีฉุกเฉินและ tenant ทดสอบ แม้เลือก Stay signed in ก็ยังต้องผ่าน MFA บัญชีฉุกเฉินจึงควรใช้ passkey หรือ certificate-based authentication
- **บัญชีผู้ใช้ที่ใช้รันสคริปต์อัตโนมัติ** ต้องผ่าน MFA เช่นกัน Microsoft แนะนำให้ย้ายไปใช้ managed identity หรือ service principal ซึ่งไม่ได้รับผลกระทบ
- **บัญชีผู้เยี่ยมชม (B2B guest)** ต้องผ่าน MFA เช่นกัน จะยืนยันกับ tenant ปลายทาง หรือกับ tenant ต้นทางที่ตั้งค่าส่งผล MFA ข้ามมาได้ก็ได้
- **บัญชีบริการสำหรับซิงก์ของ Microsoft Entra Connect และ Cloud Sync** ไม่ได้รับผลกระทบ

ตรวจว่าถูกบังคับแล้วหรือยังได้โดยลงชื่อเข้า Azure portal ด้วย Global Administrator แล้วเปิด aka.ms/managemfaforazure (Phase 1) หรือ aka.ms/postponePhase2MFA (Phase 2) ทีมที่ใช้ Azure CLI และ Azure PowerShell ควรใช้รุ่น 2.76 และ 14.3 ขึ้นไปตามลำดับ

## ทำไมเปิด MFA Microsoft 365 แล้วบางระบบใช้งานไม่ได้

| อาการ | สาเหตุตามเอกสาร | วิธีแก้ |
| --- | --- | --- |
| เครื่องสแกนหรือแอปส่งอีเมลผ่าน SMTP AUTH ไม่ได้ | SMTP AUTH แบบ basic authentication ใช้กับ Security defaults ไม่ได้ | ใช้ OAuth, SMTP relay, High Volume Email หรือ Azure Communication Services Email |
| แอปอีเมลรุ่นเก่าที่ใช้ POP หรือ IMAP เข้าไม่ได้ | legacy authentication ถูกบล็อก | ใช้แอปที่รองรับ modern authentication |
| อุปกรณ์ที่ใช้รหัส device code เข้าไม่ได้ | Security defaults บล็อก device code flow | ใช้ Conditional Access เพื่อทำข้อยกเว้น |
| เปิด Security defaults ไม่ได้ | มีนโยบาย Conditional Access อยู่ | จดค่าแล้วลบนโยบายทั้งหมด หรือใช้ Conditional Access ต่อ |
| ผู้ใช้วนกลับมาหน้าลงชื่อเข้าใช้ซ้ำ | tenant ของ Exchange Online ที่สร้างก่อนปี 2017 ปิด modern authentication ไว้เป็นค่าเริ่มต้น | เปิด modern authentication |
| หน้า per-user MFA แสดงสถานะ Disabled | เป็นสถานะปกติเมื่อใช้ Security defaults หรือ Conditional Access | ไม่ต้องแก้ |

หาว่าใครยังใช้ legacy authentication ได้ที่ **Entra ID > Monitoring & health > Sign-in logs** (บทบาทอย่างน้อย Reports Reader) เพิ่มคอลัมน์ **Client App** แล้ว **Add filters > Client App** เลือกโปรโตคอลรุ่นเก่า ทำซ้ำในแท็บ **User sign-ins (non-interactive)** วิธีส่งอีเมลจากเครื่องสแกนแต่ละแบบดูได้ใน[คู่มือของ Exchange Online](https://learn.microsoft.com/en-us/exchange/mail-flow-best-practices/how-to-set-up-a-multifunction-device-or-application-to-send-email-using-microsoft-365-or-office-365)

## พนักงานไม่มีสมาร์ตโฟนและกล่องจดหมายกลางทำอย่างไร

**Shared mailbox** ไม่ต้องลงทะเบียน MFA เพราะ[เอกสาร Microsoft 365](https://learn.microsoft.com/en-us/microsoft-365/admin/email/about-shared-mailboxes) ระบุว่าไม่ได้ออกแบบให้ลงชื่อเข้าด้วยบัญชีของกล่องจดหมายโดยตรง ให้บล็อกการลงชื่อเข้าใช้ของบัญชีนี้ไว้ตลอด สมาชิกเข้าใช้ผ่านบัญชีของตัวเองที่มีไลเซนส์ Exchange Online

**พนักงานที่ไม่มีสมาร์ตโฟน** ถ้าใช้ Security defaults มีเพียง Authenticator และแอป OATH TOTP ส่วนองค์กรที่ใช้ Conditional Access เปิดวิธีอื่นได้ตาม[ตารางวิธียืนยันตัวตนของ Microsoft Entra](https://learn.microsoft.com/en-us/entra/identity/authentication/concept-authentication-methods) เช่น FIDO2 security key, [hardware OATH token](https://learn.microsoft.com/en-us/entra/identity/authentication/concept-authentication-oath-tokens) ซึ่งยังเป็นพรีวิวและรองรับโทเค็นที่เปลี่ยนรหัสทุก 30 หรือ 60 วินาที, SMS และการโทรด้วยเสียง Microsoft แนะนำวิธีที่ต้านฟิชชิง เช่น passkey และ certificate-based authentication เพราะรหัสทาง SMS และแอปยืนยันตัวตนยังถูกหลอกเอาไปได้

## องค์กรไทยควรเริ่มเปิด MFA Microsoft 365 อย่างไร

1. ตรวจว่าแผนที่ใช้มี Entra ID P1 หรือไม่ เพื่อเลือก Security defaults หรือ Conditional Access
2. สร้างบัญชีฉุกเฉิน 2 บัญชีพร้อม passkey ก่อนเปลี่ยนการตั้งค่าใด ๆ
3. ไล่ดู sign-in logs หาเครื่องสแกน ระบบบัญชี หรือแอปที่ยังใช้ legacy authentication แล้วแก้ก่อนวันเปิด
4. ส่งคู่มือภาษาไทยให้พนักงานและเปิด Registration campaign ล่วงหน้า
5. เริ่มนโยบายในโหมด Report-only แล้วค่อยเปิด MFA Microsoft 365 จริงด้วยการเปลี่ยนเป็น On

ถ้ากำลังย้ายระบบอีเมลไปพร้อมกัน ควรตั้ง SPF, DKIM และ DMARC ตาม[คู่มือยืนยันตัวตนอีเมล](/enterprise-apps/spf-dkim-dmarc-email-authentication-guide/) ดูเรื่องอื่นของ Microsoft 365 ได้ที่[หมวด Enterprise Apps](/enterprise-apps/)

## คำถามที่พบบ่อย

### เปิด MFA Microsoft 365 ต้องซื้อไลเซนส์เพิ่มไหม?

ไม่จำเป็นถ้าใช้ Security defaults ซึ่งมีให้ทุกองค์กร Microsoft 365 ผ่าน Microsoft Entra ID Free แต่ถ้าต้องการเปิด MFA Microsoft 365 ด้วย Conditional Access ต้องมี Microsoft Entra ID P1 หรือ P2 ซึ่ง Microsoft ยกตัวอย่างว่ามีใน Microsoft 365 Business Premium และ E3 (P1) E5 (P2) หรือซื้อเป็น add-on

### Security defaults กับ Conditional Access ใช้พร้อมกันได้ไหม?

ไม่ได้ ต้องเลือกเปิด MFA Microsoft 365 ด้วยวิธีใดวิธีหนึ่ง เพราะ Microsoft ระบุว่าองค์กรใช้ได้อย่างใดอย่างหนึ่ง ถ้ามีนโยบาย Conditional Access อยู่แม้นโยบายเดียวในสถานะ Off, On หรือ Report-only จะเปิด Security defaults ไม่ได้ และนโยบาย Conditional Access จะเปิดใช้ได้หลังปิด Security defaults แล้วเท่านั้น

### บัญชีฉุกเฉิน (break-glass) ต้องยกเว้นจาก MFA หรือไม่?

เมื่อเปิด MFA Microsoft 365 ด้วย Conditional Access ให้ยกเว้นบัญชีฉุกเฉินจากนโยบาย ที่บล็อกหรือจำกัดการลงชื่อเข้าใช้ แต่ MFA ภาคบังคับของ Microsoft สำหรับ Azure portal และพอร์ทัลผู้ดูแลยังมีผลกับบัญชีฉุกเฉิน Microsoft จึงแนะนำให้บัญชีเหล่านี้ใช้ passkey (FIDO2) หรือ certificate-based authentication ซึ่งผ่านเงื่อนไข MFA

### พนักงานที่ไม่มีสมาร์ตโฟนจะยืนยันตัวตน MFA อย่างไร?

ถ้าเปิด MFA Microsoft 365 ด้วย Security defaults ผู้ใช้ต้องใช้แอป Microsoft Authenticator หรือแอปที่รองรับ OATH TOTP ส่วนองค์กรที่ใช้ Conditional Access เปิดวิธีอื่นในนโยบาย Authentication methods ได้ เช่น FIDO2 security key, hardware OATH token ซึ่งยังเป็นพรีวิว, SMS หรือการโทรด้วยเสียง โดย Microsoft แนะนำวิธีที่ต้านฟิชชิงอย่าง passkey ก่อน

### Microsoft บังคับ MFA สำหรับ Microsoft 365 admin center ตั้งแต่เมื่อไร?

Microsoft เริ่มทยอยบังคับ MFA เมื่อลงชื่อเข้า Microsoft 365 admin center ตั้งแต่กุมภาพันธ์ 2025 ต่อจาก Azure portal, Microsoft Entra admin center และ Microsoft Intune admin center ที่เริ่มตุลาคม 2024 การบังคับนี้ไม่มีทางเลือกไม่เข้าร่วม และใช้กับทุกบัญชีที่ลงชื่อเข้าพอร์ทัลเหล่านี้ แม้องค์กรยังไม่ได้เปิด MFA Microsoft 365 ให้ผู้ใช้ทั่วไปก็ตาม


## แหล่งอ้างอิง

- [Security defaults in Microsoft Entra ID](https://learn.microsoft.com/en-us/entra/fundamentals/security-defaults) — Microsoft Learn
- [Set up multifactor authentication for Microsoft 365](https://learn.microsoft.com/en-us/microsoft-365/admin/security-and-compliance/set-up-multi-factor-authentication) — Microsoft Learn
- [Require multifactor authentication for all users](https://learn.microsoft.com/en-us/entra/identity/conditional-access/policy-all-users-mfa-strength) — Microsoft Learn
- [Manage emergency access accounts in Microsoft Entra ID](https://learn.microsoft.com/en-us/entra/identity/role-based-access-control/security-emergency-access) — Microsoft Learn
- [Run a registration campaign to set up a passkey or Microsoft Authenticator](https://learn.microsoft.com/en-us/entra/identity/authentication/how-to-mfa-registration-campaign) — Microsoft Learn
- [Mandatory multifactor authentication for Azure and admin portals](https://learn.microsoft.com/en-us/entra/identity/authentication/concept-mandatory-multifactor-authentication) — Microsoft Learn