Uitgesluit van Google Workspace of Microsoft 365 Admin Console: DNS TXT oorname en herstel¶

Ontdek dat jou maatskappy, prokureursfirma, mediese praktyk of niewinsorganisasie heeltemal uit sy Google Workspace (admin.google.com) of Microsoft 365 / Entra ID (admin.microsoft.com) wolkhuurder omdat die enigste Superadministrateur of Globale Administrateur hul slimfoon met hul Microsoft/Google Authenticator MFA-sade verloor het, die maatskappy op vyandige voorwaardes verlaat het en die wagwoord verander het, of onverwags oorlede is, is 'n eksistensiële besigheidskontinuïteitskrisis. Sonder administratiewe toegang kan jy nie werknemers byvoeg of verwyder nie, geslote gebruikerwagwoorde terugstel, rekeningkaarte wat verval, bywerk voor jou maatskappy se hele e-pos (MX) en SharePoint/Google Drive-infrastruktuur opgeskort word, of herroep 'n skelm oud-administrateur se sessietokens. Gelukkig ontwerp beide Google en Microsoft hul ondernemings-identiteitsplatforms rondom 'n fundamentele kriptografiese waarheid: uiteindelike wettige eienaarskap van 'n gepasmaakte domein-wolkhuurder behoort aan die entiteit wat die domeinnaam se gesaghebbende publieke DNS-sone by die domeinregistreerder beheer (soos Cloudflare, AWS Route 53, GoDaddy). Selfs as geen administrateurs kan aanmeld nie en elke hardeware YubiKey of Authenticator-toepassing weg is, kan jy 'n noodgeval DNS uitvoer TXT of CNAME Domeineienaarskapoorname-uitdaging (óf via Google se outomatiese toolbox.googleapps.com/apps/recovery/form pyplyn, Microsoft se Interne Admin Oorname (Unmanaged Tenant) vloei, of 'n Microsoft Data Protection Team (DPT) DNS-verifikasiekaartjie) om MFA van die geslote administrasierekening te stroop of 'n bestaande standaardwerknemerrekening tot volle Super/Globale Administrateur te bevorder. As 'n vyandige voormalige werknemer of losprysaanvaller aktief korporatiewe bankfondse of pasiëntdata uitfiltreer terwyl jy jou uitsluit, skakel jou plaaslike noodnommers (911 in die Verenigde State en Kanada, 999 in die Verenigde Koninkryk, 112 regoor die Europese Unie) of rapporteer die inbraak onmiddellik by die FBI IC3 / CISA. Vir verwante domein-, rekening- en tweefaktor-noodgevalle, sien ons gidse oor domeinnaamkaping, verval DNS en webwerf-oorname, wolkrekeningverbod en appèlle om data weg te neem, en twee-faktor-verifikasie telefoonnommer herwinning en SMS-uitsluiting.

Doen dit nou¶

1. Beveilig eers onmiddellike aanmeldtoegang tot jou publieke domeinregistrateur en gesaghebbende DNS-gasheer. Voordat jy Google- of Microsoft-herstelvorms raak, verifieer dat jy by die Gesaghebbende DNS-sone vir jou maatskappy se primêre domein kan aanmeld (yourcompany.com). Soek jou aktiewe naambedieners (NS rekords) gebruik dig NS yourcompany.com +short of whois yourcompany.com. Of jou DNS by Cloudflare, AWS Route 53, GoDaddy, Namecheap of Network Solutions gehuisves word, wie ook al 'n nuwe kan publiseer TXT of CNAME rekord by die wortel (@) van jou domeinsone hou die hoofsleutel om wettige eienaarskap aan Google en Microsoft te bewys.
2. Ouder of ENIGE sekondêre administrateur of wolkoplossingverskaffer (CSP / Herverkoper) het steeds gedeeltelike toegang. Baie organisasies glo hulle het net "een" admin, en vergeet dat:
3. 'n Eksterne Bestuurde Diensverskaffer (MSP) of Wolkoplossingverskaffer (CSP) herverkoper (soos Pax8, Ingram Micro, CDW, Sherweb of GoDaddy) besit Korrelvormige Gedelegeerde Admin Voorregte (GDAP / DAP) in jou Microsoft 365- of Google Workspace-huurder en kan jou Global Admin se MFA binne 60 sekondes terugstel; OF
4. 'n Sekondêre bestuurder beklee die Bevoorregte Authentication Administrator-rol in Microsoft Entra ID (wat volle mag het om MFA en wagwoorde terug te stel, selfs vir Global Admins).
5. Indien uitgesluit by Google Workspace (admin.google.com), begin die outomatiese DNS TXT/CNAME Admin Herstel Wizard onmiddellik. Moenie dae mors om verbruikers Gmail-wagwoordterugstellings te probeer nie. Gaan na admin.google.com, voer die geslote Super Admin se e-posadres in, klik "Wagwoord vergeet?", stap verby die MFA-aanwysings totdat die stelsel Domain Verification recovery bied, OF gaan direk na Google se toegewyde Workspace Admin Console-herstelvorm (toolbox.googleapps.com/apps/recovery/form). Verskaf 'n toeganklike sekondêre e-posadres en plak die unieke google-site-verification=... TXT teken in jou domein se DNS-sone.
6. Indien uitgesluit van Microsoft 365 (admin.microsoft.com), maak 'n "Databeskermingspan oop (DPT)" Ernstigheid-'n Telefoonkaartjie onmiddellik. Anders as Google, verskaf Microsoft nie 'n publieke selfdienswebvorm om MFA op 'n reeds bestuurde kommersiële huurder se enigste Globale Admin te omseil nie. Jy moet Microsoft Kommersiële Ondersteuning skakel (nommers gelys in ons Streekstabel hieronder), navigeer deur die KI-stemboodskap deur te sê "Uitgesluit by Global Administrator, geen ander administrateurs beskikbaar nie, roete na Databeskermingspan", en 'n 16-syfer Databeskermingsaaknommer kry. Laat jou DNS-konsole oopmaak sodat jy die verifikasie onmiddellik kan publiseer TXT teken die Databeskermingsingenieur aan wat u e-pos stuur.
7. Bewaar jou aktiewe faktureringkredietkaart en reik nooit 'n bankterugskrywing uit terwyl dit uitgesluit is nie. As jou maatskappy se maandelikse Google Workspace- of Microsoft 365-faktuur jou korporatiewe kredietkaart tref terwyl jy uit die administrasiekonsole gesluit is, moenie die kaart blokkeer of 'n terugskrywing indien nie. Om 'n betalingsoneer of terugvordering op 'n aktiewe kommersiële huurder te veroorsaak, kan veroorsaak dat outomatiese teenbedrogstelsels alle gebruikersposbusse opskort (550 5.1.1 User Unknown bons) en skeduleer die huurder se SharePoint/Drive-berging vir permanente uitvee binne 30 tot 90 dae.

Besluitboom: Herwin beheer oor 'n geslote Google Workspace- of Microsoft 365-huurder¶

flowchart TD
    A["Totale uitsluiting van enigste superadministrateur (Google Workspace) of globale administrateur (Microsoft 365)"] --> B{"Het jy jou lisensies deur 'n herverkoper / MSP (GoDaddy, Pax8, Ingram, CDW) gekoop?"}
    B -->|"Ja: gekoop via Reseller / CSP"| C["Vinnigste oplossing (15 minute): Bel herverkoper-/MSP-ondersteuning om hul gedelegeerde administrateur (GDAP) API te gebruik om admin MFA terug te stel of 'n tweede gebruiker te bevorder"]
    B -->|"Nee: direk by Google of Microsoft gekoop"| D{"Watter wolkplatform is gesluit?"}
    D -->|"1. Google Workspace (admin.google.com)"| E["Stap 1: Probeer Outomatiese Admin-herstelvloei by admin.google.com -> 'Probeer 'n ander manier' -> 'Verifieer met domeingasheer'"]
    E --> F{"Het outomatiese vloei DNS-uitdaging veroorsaak?"}
    F -->|"Ja"| G["Voeg unieke 'google-site-verification=...' TXT- of CNAME-rekord by Domeinregistrateur by; Google stel Super Admin binne 24-72 uur terug"]
    F -->|"Geen / Vorm lusse"| H["Dien ondersteuningsondersteunde administrateurherstel in by toolbox.googleapps.com/apps/recovery/form + Bevorder standaardgebruiker via DNS TXT-bewys"]
    D -->|"2. Microsoft 365 / Entra ID (admin.microsoft.com)"| I{"Is dit 'n 'Shadow / Virale' Onbestuurde Huurder of 'n Volle Kommersieel Bestuurde Huurder?"}
    I -->|"Shadow / Virale Huurder (Werknemers het aangemeld via PowerBI/Teams gratis proeflopie)"| J["Voer Selfdiens 'Interne Admin Oorname' uit via PowerShell / M365 Wizard met behulp van Instant DNS TXT Verification"]
    I -->|"Volle kommersiële bestuurde huurder (Enigste globale administrateur het MFA verloor / verlaat / gesterf)"| K["Bel Microsoft Kommersiële Ondersteuning -> Versoek 'Databeskermingspan (DPT)'-eskalasie -> Slaag DNS TXT + Besigheidseienaarskapoudit"]

Google Workspace vs. Microsoft 365: Hoe huurderherstelargitektuur verskil¶

Terwyl beide Google en Microsoft staatmaak op Gesaghebbende DNS TXT Verifikasie om te bewys wie wettiglik die domeinnaam besit wat aan die wolkhuurder gekoppel is, hul administratiewe herstelwerkvloei verskil baie. Om te weet watter hefbome op elke platform bestaan, sal jou dae se doodloop-ondersteuningskaartjies bespaar:

Playbook 1: Red 'n geslote Google Workspace Super Admin (admin.google.com)¶

As jy uitgesluit word van jou enigste Google Workspace Super Admin-rekening, hetsy omdat jou foon met Google Authenticator gebreek het, jou FIDO2 hardeware-sekuriteitsleutel verloor is, 'n verlate IT-kontrakteur die wagwoord verander het, of jy het geaktiveer "Enforce 2-Step Verification" sonder om eers die admin-rekening in te skryf, voer hierdie drie stappe in presiese volgorde uit:

Metode A: Die outomatiese admin.google.com Domeinverifikasie-uitdaging (vinnigste - 1 tot 24 uur)¶

1. Maak 'n incognito-/privaatblaaiervenster oop op 'n rekenaar wat op jou normale kantoor- of tuis-Wi-Fi-netwerk geleë is (Google se risiko-enjin behaal bekende IP-subnette hoër) en gaan na https://admin.google.com.
2. Voer die geslote Super Admin se e-posadres in (admin@yourcompany.com) en klik op Volgende.
3. As jy die wagwoord ken, maar geblokkeer word deur 2-stap-verifikasie (MFA), voer die wagwoord in en klik dan "Probeer 'n ander manier" onderaan die 2FA-skerm totdat jy alle onbeskikbare metodes uitgeput het. As jy nie die wagwoord ken nie, klik "Wagwoord vergeet?" en klik "Probeer 'n ander manier" verby elke onbeskikbare aansporing.
4. Sodra alle standaardherstelopsies op 'n enkeladministrateur Google Workspace-domein uitgeput is, bied Google se outomatiese herstel-enjin die Domaineienaarskapverifikasieskerm aan:
5. Dit vra jou om 'n kontak-e-posadres in te voer wat jy tans kan nagaan (soos 'n persoonlike @gmail.com adres of 'n werkende standaard werknemer-e-posadres).
6. Google stuur 'n e-pos met 'n unieke CNAME of TXT verifikasie rekord instruksies.
7. Meld aan by jou domeinregistrateur se DNS-kontrolepaneel (Cloudflare, Route 53, GoDaddy, Namecheap) en voeg die presiese TXT of CNAME rekord by die wortel (@) van yourcompany.com met 'n TTL van 300 sekondes (5 minute).
8. Pro Wenk vir Cloudflare-gebruikers: As 'n CNAME verifikasierekord binne Cloudflare DNS, klik op die Orange Cloud-ikoon om dit Grys te maak (DNS Only). As Cloudflare se Oranje Wolk (Proxied) geaktiveer gelaat word op 'n verifikasie CNAME, onderskep Cloudflare die navraag en gee Cloudflare-instaanbediener-IP's terug in plaas van Google se verwagte CNAME-teiken, wat veroorsaak dat verifikasie elke keer misluk.

Metode B: Die Ondersteunde Admin Console-herstelportaal (toolbox.googleapps.com/apps/recovery/form)¶

Wat as die outomatiese aanmeldlus net sê "Kontak jou domeinadministrateur vir hulp" (ironies wanneer jy die domeinadministrateur is) of "Google kon nie verifieer dat hierdie rekening aan jou behoort nie"?

Gebruik Google se toegewyde, ongeverifieerde Workspace Admin Account Recovery Portal: 1. Oop https://toolbox.googleapps.com/apps/recovery/form in jou blaaier. 2. Voer jou Google Workspace primêre domeinnaam in (bv. yourcompany.com) en voltooi die CAPTCHA. 3. Kies die presiese noodopsie: - Versoek óf 'n wagwoord/2FA-terugstelling op die geslote Super Admin-rekening; OF - Aanbeveel as die voormalige administrateur vyandig/oorlede is: Kies die opsie om ** 'n bestaande gewone gebruikerrekening op jou domein te bevorder (you@yourcompany.com) aan Super Administrateur**. 4. Verskaf 'n werkende sekondêre kontak-e-posadres waar jy kaartjieopdaterings kan ontvang. 5. Google se stelsel genereer onmiddellik 'n Kaartjieverwysingsnommer en stuur vir jou 'n unieke TXT rekordwaarde (geformateer soos google-site-verification=rXOxyZ... of google-workspace-recovery=...). 6. Publiseer dit TXT rekord in u domein se publieke DNS-sone, verifieer direk vanaf 'n terminale dat dit wêreldwyd regstreeks is deur te hardloop:

dig TXT yourcompany.com @8.8.8.8 +short

Playbook 2: Red 'n geslote Microsoft 365 / Entra ID Global Administrateur (admin.microsoft.com)¶

Microsoft 365-uitsluitings is moeiliker as Google Workspace-uitsluitings as jy nie die presiese eskalasiekanale ken nie, want Microsoft se voorlynfoonstelsel probeer bellers vertel om "aan te meld by die Admin Sentrum om 'n ondersteuningskaartjie oop te maak", wat 'n lus skep wanneer jy uit die Admin Sentrum gesluit word.

Hier is die vier presiese tegniese en prosedurele paaie om uit 'n Microsoft 365 Global Admin-uitsluiting te breek:

Pad 1: Die "Versteekte Sekondêre Admin" & .onmicrosoft.com Omseilkontrole (kyk dit eers oor 5 minute na)¶

Voordat jy met Microsoft se Databeskermingspan in die wiele sit, gaan drie dinge na wat 40 persent van "uitgeslote" M365-huurders op die plek red: 1. Het 'n stukkende SSO / Federasie-bediener (Okta, Duo, Cisco, ADFS) sluit jou uit? - Wanneer jy federeer yourcompany.com aan 'n derdeparty-identiteitsverskaffer (IdP) en dat IdP se sertifikaat verval of jou uitsluit, deur aan te meld as admin@yourcompany.com herlei jou na die gebroke IdP. - Die kitsoplossing: Elke Microsoft 365-huurder het 'n inheemse wolk-alleen-terugvaldomein wat eindig op @yourtenant.onmicrosoft.com. Gaan na https://entra.microsoft.com, tik admin@yourtenant.onmicrosoft.com (of watter Global Admin-gebruikernaam ook al op die .onmicrosoft.com domein), en meld aan. .onmicrosoft.com rekeninge omseil ALTYD derdeparty SAML/WS-Fed-federasie en verifieer reguit teen Microsoft Entra ID. 2. Beklee enige IT-personeel die rol "Bevoorregte Authentication Administrator"? - Baie maatskappye ken 'n IT-bestuurder die rol Privileged Authentication Administrator toe sonder om van hulle 'n volle Globale Admin te maak. In Microsoft Entra ID het 'n Bevoorregte stawingsadministrateur volle wettige toestemming om wagwoorde terug te stel EN MFA vir 'n globale administrateur te herroep/opnuut te vereis. 3. Het jy selfs EEN lisensie deur 'n CSP-herverkoper (GoDaddy, Pax8, Sherweb, Ingram, CDW, Rackspace) gekoop? - Kyk na jou kredietkaartstaat. As jou Microsoft 365-rekening van 'n vennoot kom eerder as direk van MICROSOFT*G..., bel nou daardie vennoot se ondersteuningstoonbank. Selfs as hulle net 'n enkele $6 Exchange Online-lisensie aan jou verkoop het, as hul GDAP (Granular Delegated Admin Privileges)-verhouding aktief is in jou Vennootsentrum, kan hul ingenieur jou Global Admin se MFA in minder as 3 minute terugstel.

Pad 2: Hoe om die "Microsoft Data Protection Team" te bereik (DPT)" Wanneer Zero Admins kan aanmeld¶

As jy direk by Microsoft koop en jou enigste Global Administrateur is heeltemal uitgesluit (verlore Authenticator-foon, of vasgevang in 'n lus waar Microsoft Authenticator jou vra om 'n 2-syfernommer binne die Microsoft Authenticator-toepassing goed te keur waarby jy tans probeer aanmeld), moet jy 'n menslike Microsoft Data Protection Team hê (DPT) ingenieur voer 'n Huurdereienaarskap en DNS-verifikasieterugstelling uit.

Hoe om verby Microsoft se outomatiese AI-foonboom te kom (IVR) binne 2 minute: 1. Bel die plaaslike Microsoft Commercial Support-nommer (bv. 1-800-865-9408 of 1-800-642-7676 in die VSA/Kanada; sien volledige globale lys hieronder). 2. Die outomatiese stem-bot is geprogrammeer om standaard wagwoord oproepe af te lei aka.ms/sspr. Gebruik hierdie presiese gesproke frases by elke opdrag: - Prompt 1 ("Waaroor bel jy?"): Sê duidelik: "Global Administrator-rekeninguitsluiting." - Prompt 2 ("Het jy selfdienswagwoordherstel probeer?"): Sê: "Ja, ek is die enigste globale administrateur op 'n kommersiële besigheidshuurder en daar is geen ander administrateurs nie." - Vraag 3 ("Watter produk?"): Sê: "Microsoft 365 Business / Entra ID Commercial" en vra vir "Oordrag na die Databeskermingspan." 3. Wat as die foonboom jou steeds ophang? Gebruik die "Trial Tenant Bridge Trick": - Dit is die bekende sysadmin-noodomleiding wanneer Microsoft se foon IVR weier om jou te verbind: Gaan na microsoft.com/microsoft-365/business, skep 'n gratis 30-dae proef Microsoft 365-huurder met 'n weggooi temprescue-[yourcompany].onmicrosoft.com naam (neem 3 minute, geen koste vir 30 dae). - Meld aan admin.microsoft.com binne daardie tydelike proefhuurder, klik Ondersteuning > Hulp en Ondersteuning in die onderste regterhoek, en maak 'n Severity-A Admin Support Ticket oop wat sê: > "DRINGENDE DATABESKERMINGSSPAN ESKALASIE: Ek maak hierdie kaartjie oop vanaf 'n tydelike brughuurder, want ek is die enigste Globale Administrateur van produksiehuurder [YOURREALDOMAIN.COM / Huurder-ID] en ek is heeltemal uitgesluit van MFA met geen ander Globale Admins nie. Dra asseblief hierdie kaartjie onmiddellik na die Microsoft Databeskermingspan oor."

Pad 3: Gaan die Microsoft-databeskermingspan verby (DPT) Verifikasie Oudit & DNS TXT Uitdaging¶

Sodra 'n Microsoft Data Protection Team-ingenieur jou saak eis, volg hulle 'n streng nul-trust-sekuriteitsprotokol voordat hulle MFA van jou Global Admin sal stroop of 'n nuwe gebruiker sal bevorder: 1. Besigheid- en faktuureienaarskapbewys: Hou hierdie vier items gereed in 'n gids sodat jy dit met die eerste oproep kan lees of oplaai: - Jou domeinnaam (yourcompany.com) en onmicrosoft.com Huurder Naam (vind jou presiese Huurder ID GUID enige tyd sonder om aan te meld deur te besoek https://login.microsoftonline.com/yourcompany.com/v2.0/.well-known/openid-configuration); - Die laaste 4 syfers en vervaldatum van die kredietkaart op lêer vir Microsoft-fakturering (of onlangse Microsoft-kommersiële faktuurnommers G0...); - Die presiese faktureringsstraatadres en telefoonnommer wat op die huurder se organisasieprofiel gelys word; en - Amptelike Artikels / Besigheidslisensie / Nutswetsontwerp as die voormalige admin 'n skelm werknemer was wat hul eie selfoon op die profiel geplaas het. 2. Die gesaghebbende DNS TXT Rekordbewys: - Die Databeskermingsingenieur sal vir jou 'n unieke verifikasiestring gee (soos MS=ms12345678 of 'n gevalspesifieke teken) om by te voeg as 'n TXT rekord by die wortel (@) van yourcompany.com. - Een keer nslookup -type=TXT yourcompany.com bevestig dat die rekord regstreeks is, stel die DPT-ingenieur die Global Admin se Multi-Factor Authentication-registrasie terug (Require Re-Register MFA) en reik 'n tydelike wagwoord uit sodat jy kan aanmeld en 'n nuwe Authenticator-toepassing en FIDO2-sleutel kan inskryf.

Pad 4: Selfdiens "Interne Admin Oorname" (As jou domein in 'n "Onbestuurde / Virale" Skadu Huurder toegesluit is)¶

Wat as jy Microsoft 365 probeer opstel vir yourcompany.com, en Microsoft wys die fout: "yourcompany.com is already being used with another Microsoft 365 organization", want drie jaar gelede het 'n ewekansige werknemer aangemeld vir 'n gratis Power BI-, Microsoft Teams Exploratory- of Fabric-selfdiensrekening deur hul @yourcompany.com werk e-pos? - Omdat daardie "skadu"-huurder nul Global Administrators het nie (dit is 'n Onbestuurde Virale Huurder), hoef jy nie Microsoft-ondersteuning te bel nie. - Jy kan 'n onmiddellike Interne Admin Oorname uitvoer: 1. Meld aan by Microsoft 365 met enige aktiewe @yourcompany.com gebruikersrekening wat in daardie virale huurder bestaan (of skep 'n gratis Power BI-selfdiensrekening met admin@yourcompany.com). 2. Navigeer na https://portal.office.com/admintakeover (of hardloop die Microsoft Graph PowerShell-oorname-cmdlet). 3. Microsoft wys onmiddellik 'n TXT verifikasie kode (MS=msXXXXXXXX). 4. Plak dit TXT teken in jou domeinregistrateur se DNS op, klik Verifieer, en Microsoft bevorder jou onmiddellik tot volle globale administrateur van die hele yourcompany.com huurder binne 60 sekondes.

Stap-vir-stap na-herwinning sekuriteitsoudit (As die uitsluiting veroorsaak is deur 'n vyandige oud-administrateur of kompromie)¶

As jou uitsluiting gebeur het omdat 'n ontevrede voormalige IT-administrateur, beëindigde kontrakteur of eksterne aanvaller jou voorregte doelbewus gestroop het of die Super/Global Admin-rekening gekaap het, is dit nie genoeg om bloot aanmeldtoegang te herwin nie. 'n Vyandige akteur wat Super Admin- of Global Admin-toegang vir selfs 15 minute gehad het, plant dikwels "volhardingsagterdeure" sodat hulle volgende week stilweg beheer kan herwin, selfs nadat jy die hoofwagwoord verander het.

Voer hierdie 5-punt volhardingssuiwering uit binne die eerste 30 minute nadat jy weer by jou herstelde konsole aangemeld het:

1. Oorgaan nuutgeskepte dienshoofde, ondernemings OAuth-toepassings en toepassingwagwoorde:
2. In Microsoft Entra ID (entra.microsoft.com): Gaan na Identity > Applications > Enterprise applications en App registrations. Sorteer volgens Geskepdatum. 'n Gesofistikeerde skelm admin sal 'n versteekte toepassingsregistrasie skep wat toegestaan is RoleManagement.ReadWrite.Directory of Directory.ReadWrite.All Microsoft Graph API-toepassingstoestemmings met 'n 24-maande kliëntgeheim. Selfs as jy die skelm admin se gebruikersrekening uitvee, kan hul Python-skrip daardie kliëntgeheim van die huis af gebruik om vanaand 'n nuwe agterdeurgebruiker na Global Admin te bevorder. Vee onmiddellik enige onherkende toepassingsregistrasies of kliëntgeheime uit.
3. In Google Workspace (admin.google.com): Gaan na Security > Access and data control > API controls > Manage Domain Wide Delegation. Inspekteer elke Google Wolkdiensrekeningkliënt-ID wat Domainwye delegering toegestaan is (https://www.googleapis.com/auth/admin.directory.user) en vee enige onherkende Google Wolk-projekte of OAuth-tokens uit.
4. ** Gaan vennootverhoudings na (GDAP / DAP) en Kruishuurtoeganginstellings:**
5. In Microsoft 365 Admin Center, gaan na Settings > Partner relationships. Verifieer dat die skelm kontrakteur nie hul eie persoonlike Microsoft Partner Network gekoppel het nie (MPN) rekening as 'n gedelegeerde Wolk Oplossing Verskaffer met GDAP Globale Admin regte.
6. Kontroleer in Microsoft Entra ID External Identities > Cross-tenant access settings en Users > All users (filtreer vir User type == Guest met toegewysde gidsrolle) om geen eksterne te verifieer nie @gmail.com of @outlook.com gasgebruiker is stilweg die rol van Global Administrateur of Privileged Rol Administrateur toegewys.
7. Suiwer verborge inkomende/uitgaande posroeteringreëls en outo-aanstuur uit:
8. Kontroleer Exchange Admin Center > Mail flow > Rules (in Microsoft 365) of Apps > Google Workspace > Gmail > Routing (in Google Workspace) vir enige huurderwye vervoerreëls wat stilweg BCC of herlei bestuurs-e-posse, wagwoord-terugstelskakels, of bank-oorplasingsfakture na 'n eksterne adres.
9. Herroep alle aktiewe herlaai-tokens en sessiekoekies Huurderwyd:
10. Om 'n gebruiker se wagwoord in wolkomgewings te verander, maak nie altyd aktiewe OAuth-verversingtokens of deurlopende toegangsevaluering onmiddellik dood nie (CAE) sessies op reeds-geverifieerde skootrekenaars. Klik eksplisiet op "Herroep sessies / Meld af van alle sessies" op die gekompromitteerde administrasierekening en draai die krbtgt / Azure AD SSO Kerberos-dekripsiesleutel as Azure AD Connect / Entra Connect hibriede sinkronisering word op die perseel ontplooi.
11. Aktiveer "Admin-goedkeuring / multi-party-goedkeuring" en waarskuwing oor roltoewysings:
12. Stel 'n onmiddellike e-pos- en SMS-webhaakwaarskuwing op binne Google Workspace Admin Ouditloglêers of Microsoft Entra ID Privileged Identity Management (PIM) sodat elke Super/Globale Admin 'n onmiddellike buitebandwaarskuwing ontvang wanneer 'n gebruiker by 'n administratiewe rol gevoeg word of wanneer MFA-instellings gewysig word.

Streeksnoodnommers en agentskapprotokolle¶

Gereelde vrae¶

Waarom neem Microsoft se Databeskermingspan soms 5 tot 10 dae om 'n globale administrateur te ontsluit wanneer ek kan bewys dat ek die DNS nou besit?¶

Omdat kommersiële Microsoft 365-huurders dikwels miljarde dollars aan intellektuele eiendom, bankbedrae-owerheid en HIPAA/GDPR-data besit, poog aanvallers van sosiale ingenieurswese gereeld om ondersteuningsagente te mislei om 'n Global Admin se MFA terug te stel. Gevolglik beperk Microsoft ongeverifieerde Global Admin MFA-terugstellings tot 'n klein, gespesialiseerde Tier-3-eenheid genaamd die **Databeskermingspan (`DPT`)**. Terwyl jy in die DPT-tou wag: (1) bel een keer per dag terug en verwys na jou **16-syfer-saaknommer**, (2) vra die voorlynagent om die kaartjie te merk as **"Besigheidskritiese - Totale Admin-uitsluiting met Zero Backup Admins (Erns A)"**, en (3) as jy 'n Microsoft-rekening (Executive, Cloud Solution Provider) het.`CSP`), of Unified Support-kontrak, vra hulle om 'n interne **"CritSit" (Kritiese Situasie)**-eskalasie op jou saaknommer in te dien, wat tipies DPT-reaksietyd tot minder as 24 uur verminder.

Wat as die skelm voormalige IT-werknemer ons uit BEIDE Microsoft 365/Google Workspace EN ons domeinregistrateur (GoDaddy / Cloudflare) uitgesluit het?¶

Indien 'n afgestorwe werknemer of kontrakteur geregistreer het `yourcompany.com` onder hul eie aanmelding of jou uitgesluit het by jou Domeinregistrateur (GoDaddy, Namecheap, Cloudflare, Network Solutions), **moet jy eers die Domeinregistreerder-rekening herwin**, want jy kan nie die Google/Microsoft DNS publiseer nie `TXT` rekord sonder registrateur toegang. Elke ICANN-geakkrediteerde registrateur het 'n toegewyde **domeineienaarskap / rekeningherwinning-dispuutportaal** (byvoorbeeld GoDaddy's `Account Recovery & Change of Update Request`). Dien in: (1) jou maatskappy se **Artikels van Oprigting / IRS EIN-brief / Besigheidsregistrasie**, (2) 'n afskrif van jou **Staatsfoto-ID** as 'n korporatiewe beampte, en (3) **korporatiewe kredietkaart- of bankstate** wat wys dat jou maatskappy vir die domeinregistrasie- en hernuwingsfooie betaal het. Die registrateur sal die domein binne 48 tot 96 uur na 'n nuwe korporatiewe rekening oordra, sodat jy die DNS kan publiseer `TXT` teken en neem Google Workspace of Microsoft 365 onmiddellik daarna terug.

Hoe vind ek my Microsoft Entra ID "Tenant ID" (GUID) as elke enkele persoon uit die portaal gesluit is?¶

Wanneer jy Microsoft se Databeskermingspan bel, met jou presiese 36-karakter **Tenant ID GUID** (`xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx`) versnel kaartjieroetering dramaties. Selfs as niemand in jou maatskappy kan aanmeld nie, is Microsoft se OpenID Connect-metadata-eindpunt publiek vir elke domein in die wêreld. Maak enige webblaaier oop en gaan na: `https://login.microsoftonline.com/YOURDOMAIN.COM/v2.0/.well-known/openid-configuration` (vervang `YOURDOMAIN.COM` met jou maatskappy se domeinnaam). In die JSON-teks wat op die skerm verskyn, kyk na die heel eerste URL daarna `"token_endpoint"`: die 36-karakter alfanumeriese kode direk daarna `login.microsoftonline.com/` is jou presiese **Microsoft Entra-huurder-ID**.

Sal die Global Admin of Super Admin via DNS terugstel TXT verifikasie enige e-posse, OneDrive-lêers of Google Drive-dokumente uitvee?¶

Nee. Nóg die Google Workspace DNS Admin Herstel-vloei nóg 'n Microsoft Data Protection Team MFA/wagwoordterugstelling raak 'n enkele greep gebruikerposbusdata, SharePoint-werwe, OneDrive-vouers, Teams-kletse of Google Drive-dokumente. Trouens, as jy die opsie kies om **'n bestaande standaardwerknemerrekening na Super Admin / Global Admin te bevorder** (eerder as om die ontslape werknemer se wagwoord terug te stel), bly die ontslape werknemer se posbus en lêers heeltemal onaangeraak en bewaar vir wettige ontdekking terwyl jou nuutgepromote admin volle beheer oor die konsole neem.

Wat as ons 'n Microsoft Entra Conditional Access-beleid opstel wat per ongeluk ALLE gebruikers (insluitend Global Admins) geblokkeer het deur 'n voldoenende Intune-toestel of spesifieke IP-adres te vereis?¶

Dit word 'n **Selfuitsluiting vir Voorwaardelike Toegang** genoem, soos wanneer 'n administrateur 'n Voorwaardelike Toegang-beleidteikening skep `"All Users"` en `"All Cloud Apps"` met 'n beheer wat nie bevredig kan word nie (soos om 'n Hybrid Azure AD Joined-toestel of 'n verstreke VPN IP-reeks te vereis) en vergeet om die `"Exclude Emergency Access Accounts"` boks. Omdat die beleid elke administrateur blokkeer by aanmelding, sal selfs om jou wagwoord te ken en jou MFA-foon wat werk, jou nie inlaat nie. Jou enigste reddingspad is om **Microsoft Kommersiële Ondersteuning** te bel, te eskaleer na die **Databeskermingspan**, die DNS deur te gee. `TXT` eienaarskapverifikasie, en vra die DPT-ingenieur om hul interne backend-nutsding te laat loop om ** die gewraakte voorwaardelike toegang-beleid** op jou huurder te deaktiveer.

Verwante gidse¶

• Domeinnaamkaping, verval DNS en webwerf-oorname
• Wolkrekeningverbod: Google-, Apple- en Microsoft-uitsluitingsappèlle
• Twee-faktor verifikasie telefoonnommer herwin deur diensverskaffer en SMS-uitsluiting
• Wagwoordbestuurder-uitsluiting, hoofwagwoordverlies en kluisherstel

Bronne en amptelike leiding¶

• Google Workspace-administrateurhulp en sekuriteitsdokumentasie: Herwin administrateurtoegang tot jou Google Workspace-rekening (admin.google.com), Ondersteunde DNS TXT/CNAME Verifikasie (toolbox.googleapps.com/apps/recovery/form), en Beste Praktyke vir Super Administrateur Break-Glass Rekeninge.
• Microsoft Learn (Microsoft Entra ID / Microsoft 365-dokumentasie): Bestuur noodtoegangsrekeninge in Microsoft Entra ID, voer 'n interne administrasieoorname op 'n onbestuurde gids uit via DNS TXT-verifikasie, en globale administrateur MFA-uitsluiting-eskalasie via die databeskermingspan.
• Cybersekuriteit en Infrastruktuur-sekuriteitsagentskap (CISA, Verenigde State): Wolksekuriteit Tegniese Verwysingsargitektuur en CISA ScubaGear-basislyne vir Microsoft 365 en Google Workspace Tenant Veerkragtigheid.
• Nasionale Instituut vir Standaarde en Tegnologie (NIST): Spesiale publikasie 800-63B (Digital Identity Guidelines: Authentication and Lifecycle Management, Multi-Factor Authenticator Recovery).
• Internet Corporation for Assigned Names and Numbers (ICANN): Registreerderregte en -verantwoordelikhede en domeinnaambeheerverifikasieprotokolle.