Spærret ude af Google Workspace eller Microsoft 365 Admin Console: DNS TXT Overtagelse og Gendannelse¶

At opdage, at din virksomhed, advokatfirma, lægepraksis eller nonprofitorganisation er fuldstændig låst ude af deres Google Workspace (admin.google.com) eller Microsoft 365 / Entra ID (admin.microsoft.com) cloud-lejer, fordi den eneste superadministrator eller globale administrator mistede deres smartphone med deres Microsoft/Google Authenticator MFA-frø, forlod virksomheden på fjendtlige vilkår og ændrede adgangskoden, eller døde uventet, er en eksistentiel forretningskontinuitetskrise. Uden administrativ adgang kan du ikke tilføje eller fjerne medarbejdere, nulstille låste brugeradgangskoder, opdatere udløbende faktureringskort før hele din virksomheds e-mail (MX) og SharePoint/Google Drev-infrastruktur er suspenderet, eller tilbagekald en useriøs tidligere administrators sessionstokens. Heldigvis udvikler både Google og Microsoft deres virksomhedsidentitetsplatforme omkring en grundlæggende kryptografisk sandhed: Det ultimative juridiske ejerskab af en cloud-lejer med tilpasset domæne tilhører den enhed, der kontrollerer domænenavnets autoritative offentlige DNS-zone hos domæneregistratoren (såsom Cloudflare, AWS Route 53, GoDaddy). Selvom ingen administratorer kan logge ind, og hver hardware YubiKey eller Authenticator-app er væk, kan du udføre en nødsituation DNS TXT eller CNAME Domain Ownership Takeover Challenge (enten via Googles automatiserede toolbox.googleapps.com/apps/recovery/form pipeline, Microsofts Interne Admin Overtagelse (Unmanaged Tenant) flow eller et Microsoft Data Protection Team (DPT) DNS-bekræftelsesbillet) for at fjerne MFA fra den låste administratorkonto eller promovere en eksisterende standardmedarbejderkonto til fuld Super/Global Administrator. Hvis en fjendtlig tidligere medarbejder eller ransomware-angriber aktivt eksfiltrerer virksomhedsbankmidler eller patientdata, mens du låser dig ude, skal du ringe til din lokale alarmnumre (911 i USA og Canada, 999 i Det Forenede Kongerige, 112 i hele Den Europæiske Union) eller anmeld indtrængen til FBI IC3/CISA med det samme. For relaterede domæne-, konto- og to-faktor nødsituationer, se vores vejledninger om kapring af domænenavn, udløbet DNS og overtagelse af websteder, skykontoforbud og appeller om dataudtagning, og to-faktor autentificering genbrug af telefonnummer og sms lockout.

Gør dette nu¶

1. Sikre øjeblikkelig login-adgang til din offentlige domæneregistrator og autoritative DNS-vært først. Inden du trykker på Googles eller Microsofts gendannelsesformularer, skal du kontrollere, at du kan logge ind på den Autoritative DNS-zone for din virksomheds primære domæne (yourcompany.com). Slå dine aktive navneservere op (NS optegnelser) ved hjælp af dig NS yourcompany.com +short eller whois yourcompany.com. Uanset om din DNS er hostet hos Cloudflare, AWS Route 53, GoDaddy, Namecheap eller Network Solutions, hvem der kan udgive en ny TXT eller CNAME optage ved roden (@) i din domænezone har hovednøglen til at bevise juridisk ejerskab til Google og Microsoft.
2. Revider, om ENHVER sekundær administrator eller Cloud Solution Provider (CSP / Forhandler) har stadig delvis adgang. Mange organisationer mener, at de kun har "én" administrator, idet de glemmer at:
3. En ekstern administreret tjenesteudbyder (MSP) eller Cloud Solution Provider (CSP) forhandler (såsom Pax8, Ingram Micro, CDW, Sherweb eller GoDaddy) har Granular Delegated Admin Privileges (GDAP / DAP) ind i din Microsoft 365- eller Google Workspace-lejer og kan nulstille din globale administrators MFA på 60 sekunder; ELLER
4. En sekundær manager har rollen Privileged Authentication Administrator i Microsoft Entra ID (som har fuld magt til at nulstille MFA og adgangskoder selv for globale administratorer).
5. Hvis låst ude af Google Workspace (admin.google.com), start den automatiske DNS TXT/CNAME Admin Recovery Wizard med det samme. Spild ikke dage på at forsøge at nulstille forbrugernes Gmail-adgangskode. Gå til admin.google.com, indtast den låste Super Admins e-mailadresse, klik på "Glemt adgangskode?", gå forbi MFA-prompterne, indtil systemet tilbyder Gendannelse af domænebekræftelse, ELLER gå direkte til Googles dedikerede Workspace Admin Console-gendannelsesformular (toolbox.googleapps.com/apps/recovery/form). Angiv en tilgængelig sekundær e-mailadresse, og indsæt den unikke google-site-verification=... TXT token ind i dit domænes DNS-zone.
6. Hvis låst ude af Microsoft 365 (admin.microsoft.com), åbne et "Databeskyttelsesteam (DPT)" Severity-A Phone Ticket med det samme. I modsætning til Google leverer Microsoft ikke en offentlig selvbetjeningswebformular til at omgå MFA på en allerede administreret kommerciel lejers eneste globale administrator. Du skal ringe til Microsoft Commercial Support (numre angivet i vores regionale tabel nedenfor), navigere i AI-stemmemeddelelsen ved at sige "Locked out of Global Administrator, nul andre administratorer tilgængelige, rute til Data Protection Team" og få et 16-cifret databeskyttelsessagsnummer. Hav din DNS-konsol åben, så du straks kan offentliggøre bekræftelsen TXT optag databeskyttelsesingeniørens e-mails til dig.
7. Bevar dit aktive faktureringskreditkort og udstede aldrig en banktilbageførsel, mens du er låst ude. Hvis din virksomheds månedlige Google Workspace- eller Microsoft 365-faktura rammer dit virksomhedskreditkort, mens du er låst ude af administrationskonsollen, skal du ikke blokere kortet eller indgive en tilbageførsel. At udløse en betalingshæmning eller tilbageførsel på en aktiv kommerciel lejer kan få automatiserede anti-svindelsystemer til at suspendere alle brugerpostkasser (550 5.1.1 User Unknown afvisninger) og planlæg lejerens SharePoint/Drive-lager til permanent sletning inden for 30 til 90 dage.

Beslutningstræ: Genvinder kontrollen over en låst Google Workspace- eller Microsoft 365-lejer¶

flowchart TD
    A["Total lockout af eneste superadministrator (Google Workspace) eller global administrator (Microsoft 365)"] --> B{"Købte du dine licenser gennem en forhandler/MSP (GoDaddy, Pax8, Ingram, CDW)?"}
    B -->|"Ja: Købt via forhandler / CSP"| C["Hurtigste rettelse (15 minutter): Ring til forhandler/MSP-support for at bruge deres Delegated Admin (GDAP) API til at nulstille Admin MFA eller promovere en anden bruger"]
    B -->|"Nej: Købt direkte fra Google eller Microsoft"| D{"Hvilken cloudplatform er låst?"}
    D -->|"1. Google Workspace (admin.google.com)"| E["Trin 1: Prøv Automated Admin Recovery Flow på admin.google.com -> 'Prøv en anden måde' -> 'Bekræft med domænevært'"]
    E --> F{"Udløste Automated Flow DNS Challenge?"}
    F -->|"Ja"| G["Tilføj en unik 'google-site-verification=...' TXT- eller CNAME-post hos domæneregistrator; Google nulstiller Super Admin inden for 24-72 timer"]
    F -->|"Nej / Form Loops"| H["Indsend Support-Assisted Admin Recovery på toolbox.googleapps.com/apps/recovery/form + Fremme standardbruger via DNS TXT Proof"]
    D -->|"2. Microsoft 365 / Entra ID (admin.microsoft.com)"| I{"Er dette en 'Shadow / Viral' uadministreret lejer eller en fuldt kommercielt administreret lejer?"}
    I -->|"Shadow / Viral Lejer (Medarbejdere tilmeldte sig via PowerBI/Teams gratis prøveperiode)"| J["Udfør selvbetjening 'Intern Admin Takeover' via PowerShell / M365 Wizard ved hjælp af øjeblikkelig DNS TXT-bekræftelse"]
    I -->|"Fuld kommercielt administreret lejer (eneste globale administrator mistede MFA / venstre / døde)"| K["Ring til Microsoft Commercial Support -> Anmod om 'Data Protection Team (DPT)'-eskalering -> Bestå DNS TXT + Business Ownership Audit"]

Google Workspace vs. Microsoft 365: Hvordan lejergendannelsesarkitekturen adskiller sig¶

Mens både Google og Microsoft er afhængige af Autoritativ DNS TXT Bekræftelse For at bevise, hvem der lovligt ejer domænenavnet knyttet til cloud-lejeren, er deres administrative gendannelsesarbejdsgange meget forskellige. Ved at vide, hvilke håndtag der findes på hver platform, sparer du dage med blinde supportbilletter:

Playbook 1: Rescuing a låst Google Workspace Super Admin (admin.google.com)¶

Hvis du er låst ude af din eneste Google Workspace Super Admin-konto, uanset om din telefon med Google Authenticator gik i stykker, din FIDO2-hardwaresikkerhedsnøgle blev tabt, en forladt it-leverandør ændrede adgangskoden, eller du aktiverede "Enforce 2-Step Verification" Udfør disse tre trin i nøjagtig rækkefølge uden først at tilmelde administratorkontoen:

Metode A: Den automatiserede admin.google.com Domænebekræftelsesudfordring (hurtigste - 1 til 24 timer)¶

1. Åbn et inkognito-/privat browservindue på en computer placeret på dit normale kontor- eller hjemme-Wi-Fi-netværk (Googles risikomaskine scorer velkendte IP-undernet højere) og gå til https://admin.google.com.
2. Indtast den låste Super Admins e-mailadresse (admin@yourcompany.com) og klik på Næste.
3. Hvis du kender adgangskoden, men er blokeret af 2-trinsbekræftelse (MFA), skal du indtaste adgangskoden og derefter klikke på "Prøv en anden måde" nederst på 2FA-skærmen, indtil du har brugt alle utilgængelige metoder. Hvis du ikke kender adgangskoden, skal du klikke på "Glemt adgangskode?" og klikke på "Prøv på en anden måde" forbi hver utilgængelig prompt.
4. Når alle standardgendannelsesmuligheder er udtømt på et Google Workspace-domæne med én administrator, viser Googles automatiske gendannelsesmaskine skærmen Bekræftelse af domæneejerskab:
5. Den beder dig om at indtaste en kontakt-e-mailadresse, som du i øjeblikket kan tjekke (såsom en personlig @gmail.com adresse eller en fungerende standard medarbejder-e-mailadresse).
6. Google sender en e-mail med en unik CNAME eller TXT verifikationspost instruktioner.
7. Log ind på din domæneregistrators DNS-kontrolpanel (Cloudflare, Route 53, GoDaddy, Namecheap) og tilføj det nøjagtige TXT eller CNAME optage ved roden (@) af yourcompany.com med en TTL på 300 sekunder (5 minutter).
8. Pro-tip til Cloudflare-brugere: Hvis du tilføjer en CNAME bekræftelsespost i Cloudflare DNS, klik på Orange Cloud-ikonet for at gøre det gråt (DNS Only). Hvis Cloudflare's Orange Cloud (Proxied) efterlades aktiveret ved en verifikation CNAME, opsnapper Cloudflare forespørgslen og returnerer Cloudflare proxy-IP'er i stedet for Googles forventede CNAME-mål, hvilket får verifikationen til at mislykkes hver eneste gang.

Metode B: Den supportassisterede administratorkonsolgendannelsesportal (toolbox.googleapps.com/apps/recovery/form)¶

Hvad hvis den automatiske login-løkke bare siger "Kontakt din domæneadministrator for at få hjælp" (ironisk, når du er domæneadministratoren) eller "Google kunne ikke bekræfte, at denne konto tilhører dig"?

Brug Googles dedikerede, uautoriserede Workspace Admin Account Recovery Portal: 1. Åben https://toolbox.googleapps.com/apps/recovery/form i din browser. 2. Indtast dit Google Workspace primære domænenavn (f.eks. yourcompany.com) og fuldfør CAPTCHA. 3. Vælg den nøjagtige nødmulighed: - Anmod om en adgangskode/2FA-nulstilling på den låste Super Admin-konto; ELLER - Anbefales, hvis den tidligere administrator er fjendtlig/død: Vælg muligheden for at promovere en eksisterende almindelig brugerkonto på dit domæne (you@yourcompany.com) til superadministrator. 4. Angiv en fungerende sekundær kontakt-e-mailadresse, hvor du kan modtage billetopdateringer. 5. Googles system genererer straks et billetreferencenummer og sender dig en unik TXT rekordværdi (formateret som google-site-verification=rXOxyZ... eller google-workspace-recovery=...). 6. Udgiv det TXT optag i dit domænes offentlige DNS-zone, bekræft direkte fra en terminal, at den er live i hele verden ved at køre:

dig TXT yourcompany.com @8.8.8.8 +short

Playbook 2: Rescuing a låst Microsoft 365 / Entra ID Global Administrator (admin.microsoft.com)¶

Microsoft 365-lockouts er sværere end Google Workspace-lockouts, hvis du ikke kender de nøjagtige eskaleringskanaler, fordi Microsofts frontlinjetelefonsystem forsøger at bede opkaldere om at "logge ind på Admin Center for at åbne en supportbillet", hvilket skaber en løkke, når du bliver låst ude af Admin Center.

Her er de fire nøjagtige tekniske og proceduremæssige veje til at bryde ud af en Microsoft 365 Global Admin-lockout:

Sti 1: Den "skjulte sekundære administrator" & .onmicrosoft.com Bypass-tjek (tjek dette først om 5 minutter)¶

Før du sætter dig i venteposition med Microsofts databeskyttelsesteam, skal du tjekke tre ting, der redder 40 procent af "låste ude" M365-lejere på stedet: 1. Foretog en brudt SSO / Federation-server (Okta, Duo, Cisco, ADFS) låse dig ude? - Når du føder yourcompany.com til en tredjeparts identitetsudbyder (IdP), og at IdP's certifikat udløber eller låser dig ude ved at logge ind som admin@yourcompany.com omdirigerer dig til den ødelagte IdP. - Den øjeblikkelige rettelse: Hver Microsoft 365-lejer har et indbygget cloud-only fallback-domæne, der ender på @yourtenant.onmicrosoft.com. Gå til https://entra.microsoft.com, skriv admin@yourtenant.onmicrosoft.com (eller hvilket som helst Global Admin-brugernavn, der findes på .onmicrosoft.com domæne), og log ind. .onmicrosoft.com konti omgår ALTID tredjeparts SAML/WS-Fed federation og godkendes direkte mod Microsoft Entra ID. 2. Besidder nogen IT-medarbejder rollen "Privileged Authentication Administrator"? - Mange virksomheder tildeler en it-chef rollen Privileged Authentication Administrator uden at gøre dem til fuld global administrator. I Microsoft Entra ID har en Privileged Authentication Administrator fuld juridisk tilladelse til at nulstille adgangskoder OG tilbagekalde/genkræve MFA for en Global Administrator. 3. Købte du endda EN licens gennem en CSP-forhandler (GoDaddy, Pax8, Sherweb, Ingram, CDW, Rackspace)? - Se på dit kreditkortudtog. Hvis din Microsoft 365-regning kommer fra en partner i stedet for direkte fra MICROSOFT*G..., ring til partnerens supportdesk lige nu. Selvom de kun solgte dig en enkelt Exchange Online-licens på $6, hvis deres GDAP (Granular Delegated Admin Privileges)-forhold er aktivt i dit partnercenter, kan deres ingeniør nulstille din globale administrators MFA på under 3 minutter.

Sti 2: Sådan når du "Microsoft Data Protection Team (DPT)" Når Zero Admins kan logge ind¶

Hvis du køber direkte fra Microsoft, og din eneste globale administrator er fuldstændig låst ude (tabt Authenticator-telefon eller fanget i en løkke, hvor Microsoft Authenticator beder dig om at godkende et 2-cifret nummer inde i Microsoft Authenticator-appen, som du i øjeblikket forsøger at logge ind på), skal du have et menneskeligt Microsoft Data Protection Team (DPT) ingeniør udfører en Nulstilling af lejer-ejerskab og DNS-bekræftelse.

Sådan kommer du forbi Microsofts automatiserede AI-telefontræ (IVR) på 2 minutter: 1. Ring til det regionale Microsoft Commercial Support-nummer (f.eks. 1-800-865-9408 eller 1-800-642-7676 i USA/Canada; se den fulde globale liste nedenfor). 2. Den automatiserede stemme-bot er programmeret til at aflede standardadgangskodeopkald til aka.ms/sspr. Brug disse præcise talte sætninger ved hver prompt: - Spørg 1 ("Hvad ringer du om?"): Sig tydeligt: "Global administratorkontolås." - Prompt 2 ("Har du prøvet nulstilling af selvbetjeningsadgangskode?"): Sig: "Ja, jeg er den eneste globale administrator for en kommerciel virksomhedslejer, og der er ingen andre administratorer." - Spørgsmål 3 ("Hvilket produkt?"): Sig: "Microsoft 365 Business / Entra ID Commercial" og bed om "Overførsel til databeskyttelsesteamet." 3. Hvad hvis telefontræet stadig lægger røret på dig? Brug "Trial Tenant Bridge Trick": - Dette er den velkendte sysadmin-nødbypass, når Microsofts telefon-IVR nægter at forbinde dig: Gå til microsoft.com/microsoft-365/business, opret en gratis 30-dages prøveversion af Microsoft 365-lejer ved hjælp af en kassering temprescue-[yourcompany].onmicrosoft.com navn (tager 3 minutter, gratis i 30 dage). - Log ind admin.microsoft.com inde i den midlertidige prøvelejer skal du klikke på Support > Hjælp og support i nederste højre hjørne og åbne en Sverity-A Admin Support Ticket med angivelse af: > "HASTER DATABESKYTTELSESTEAM ESKALATION: Jeg åbner denne billet fra en midlertidig brolejer, fordi jeg er den eneste globale administrator af produktionslejer [YOURREALDOMAIN.COM / lejer-id], og jeg er fuldstændig låst ude af MFA med nul andre globale administratorer. Overfør venligst denne billet til Microsofts databeskyttelsesteam med det samme."

Sti 3: Bestå Microsoft Data Protection Team (DPT) Verifikationsrevision & DNS TXT Udfordring¶

Når en Microsoft Data Protection Team-ingeniør gør krav på din sag, følger de en streng nul-tillid sikkerhedsprotokol, før de fjerner MFA fra din globale administrator eller promoverer en ny bruger: 1. Bevis for virksomheds- og faktureringsejerskab: Hold disse fire elementer klar i en mappe, så du kan læse eller uploade dem ved det første opkald: - Dit domænenavn (yourcompany.com) og onmicrosoft.com Lejers navn (find dit nøjagtige lejer-id GUID når som helst uden at logge ind ved at besøge https://login.microsoftonline.com/yourcompany.com/v2.0/.well-known/openid-configuration); - De sidste 4 cifre og udløbsdatoen for kreditkortet, der er registreret for Microsoft-fakturering (eller nylige Microsoft Commercial Invoice-numre G0...); - Den nøjagtige faktureringsadresse og telefonnummer, der er angivet på lejers organisationsprofil; og - Officielle vedtægter/virksomhedslicens/forbrugslov, hvis den tidligere administrator var en useriøs medarbejder, der satte deres egen mobiltelefon på profilen. 2. Den autoritative DNS TXT Rekordbevis: - Databeskyttelsesingeniøren vil give dig en unik bekræftelsesstreng (f.eks MS=ms12345678 eller et sagsspecifikt token) for at tilføje som en TXT optag ved roden (@) af yourcompany.com. - En gang nslookup -type=TXT yourcompany.com bekræfter, at posten er live, nulstiller DPT-ingeniøren den globale administrators multi-faktor-godkendelsesregistrering (Require Re-Register MFA) og udsteder en midlertidig adgangskode, så du kan logge ind og tilmelde en ny Authenticator-app og FIDO2-nøgle.

Sti 4: Selvbetjening "intern administratorovertagelse" (hvis dit domæne er låst i en "uadministreret / viral" skyggelejer)¶

Hvad hvis du prøver at konfigurere Microsoft 365 til yourcompany.com, og Microsoft viser fejlen: "yourcompany.com is already being used with another Microsoft 365 organization", fordi en tilfældig medarbejder for tre år siden tilmeldte sig en gratis Power BI, Microsoft Teams Exploratory eller Fabric selvbetjeningskonto ved hjælp af deres @yourcompany.com arbejdsmail? - Fordi denne "skygge" lejer har nul globale administratorer (det er en uadministreret viral lejer), behøver du ikke overhovedet at ringe til Microsoft Support. - Du kan udføre en øjeblikkelig intern administratorovertagelse: 1. Log ind på Microsoft 365 med en aktiv @yourcompany.com brugerkonto, der findes i den virale lejer (eller opret en gratis Power BI selvbetjeningskonto med admin@yourcompany.com). 2. Naviger til https://portal.office.com/admintakeover (eller kør Microsoft Graph PowerShell-overtagelses-cmdlet). 3. Microsoft viser straks en TXT bekræftelseskode (MS=msXXXXXXXX). 4. Indsæt det TXT optag i din domæneregistrators DNS, klik på Bekræft, og Microsoft forfremmer dig øjeblikkeligt til fuld global administrator af hele yourcompany.com lejer på 60 sekunder.

Trin-for-trin sikkerhedsrevision efter gendannelse (hvis lockouten var forårsaget af en fjendtlig tidligere administrator eller kompromis)¶

Hvis din lockout skete, fordi en utilfreds tidligere IT-administrator, opsagt entreprenør eller ekstern angriber bevidst fratog dine privilegier eller kaprede Super/Global Admin-kontoen, er det ikke nok at genvinde login-adgang. En fjendtlig skuespiller, der havde Super Admin eller Global Admin-adgang i selv 15 minutter, planter ofte "vedholdenhedsbagdøre", så de stille kan genvinde kontrollen i næste uge, selv efter du har ændret hovedadgangskoden.

Udfør denne 5-punkts persistensrensning inden for de første 30 minutter, efter du logger tilbage på din gendannede konsol:

1. Revision af nyoprettede serviceprincipper, Enterprise OAuth-apps og app-adgangskoder:
2. I Microsoft Entra ID (entra.microsoft.com): Gå til Identity > Applications > Enterprise applications og App registrations. Sorter efter Oprettelsesdato. En sofistikeret useriøs administrator vil oprette en skjult app-registrering givet RoleManagement.ReadWrite.Directory eller Directory.ReadWrite.All Microsoft Graph API-applikationstilladelser med en 24-måneders klienthemmelighed. Selvom du sletter den useriøse administrators brugerkonto, kan deres Python-script bruge den klienthemmelighed hjemmefra til at promovere en ny bagdørsbruger til Global Admin i aften. Slet alle ugenkendte appregistreringer eller klienthemmeligheder med det samme.
3. I Google Workspace (admin.google.com): Gå til Security > Access and data control > API controls > Manage Domain Wide Delegation. Undersøg hvert Google Cloud Service Account Client ID, der er blevet tildelt Domæne-wide delegation (https://www.googleapis.com/auth/admin.directory.user) og slet ikke-genkendte Google Cloud-projekter eller OAuth-tokens.
4. Tjek partnerforhold (GDAP / DAP) og adgangsindstillinger for flere lejere:
5. I Microsoft 365 Admin Center skal du navigere til Settings > Partner relationships. Bekræft, at den useriøse kontrahent ikke linkede deres eget personlige Microsoft Partner-netværk (MPN) konto som delegeret Cloud Solution Provider hos GDAP Globale administratorrettigheder.
6. I Microsoft Entra ID skal du kontrollere External Identities > Cross-tenant access settings og Users > All users (filtrering efter User type == Guest med tildelte mapperoller) for at bekræfte, at der ikke er nogen eksterne @gmail.com eller @outlook.com gæstebruger blev stille og roligt tildelt rollen Global administrator eller privilegeret rolleadministrator.
7. Rensning af skjulte indgående/udgående e-mail-routingregler og automatisk videresendelse:
8. Tjek Exchange Admin Center > Mail flow > Rules (i Microsoft 365) eller Apps > Google Workspace > Gmail > Routing (i Google Workspace) for alle lejer-dækkende transportregler, der lydløst BCC eller omdirigere ledelses-e-mails, links til nulstilling af adgangskode eller bankoverførselsfakturaer til en ekstern adresse.
9. Tilbagekald alle aktive opdateringstokens og sessionscookies for hele lejer:
10. Ændring af en brugers adgangskode i skymiljøer dræber ikke altid aktive OAuth-opdateringstokens eller kontinuerlig adgangsevaluering med det samme (CAE) sessioner på allerede godkendte bærbare computere. Klik eksplicit på "Tilbagekald sessioner / Log ud af alle sessioner" på den kompromitterede administratorkonto og roter krbtgt / Azure AD SSO Kerberos dekrypteringsnøgle if Azure AD Connect / Entra Connect hybrid synkronisering er implementeret på stedet.
11. Aktiver "Administratorgodkendelse / Multi-Party Godkendelse" og advarsler om rolletildelinger:
12. Konfigurer en øjeblikkelig e-mail- og SMS-webhook-advarsel i Google Workspace Admin Audit Logs eller Microsoft Entra ID Privileged Identity Management (PIM), så enhver Super/Global Admin modtager en øjeblikkelig advarsel uden for båndet, hver gang en bruger føjes til en administrativ rolle, eller når MFA-indstillingerne ændres.

Regionale alarmnumre og agenturprotokoller¶

Ofte stillede spørgsmål¶

Hvorfor tager Microsofts databeskyttelsesteam nogle gange 5 til 10 dage at låse op for en global administrator, når jeg kan bevise, at jeg ejer DNS'en lige nu?¶

Fordi kommercielle Microsoft 365-lejere ofte besidder milliarder af dollars i intellektuel ejendomsret, bankoverførselsmyndigheder og HIPAA/GDPR-data, forsøger socialingeniørangribere ofte at narre supportagenter til at nulstille en global administrators MFA. Følgelig begrænser Microsoft uautentificerede Global Admin MFA-nulstillinger til en lille, specialiseret Tier-3-enhed kaldet **Data Protection Team (`DPT`)**. Mens du venter i DPT-køen: (1) ring tilbage én gang om dagen med henvisning til dit **16-cifrede sagsnummer**, (2) bed frontlinjeagenten om at markere billetten som **"Virksomhedskritisk - Total Admin Lockout med Zero Backup Admins (Sværhedsgrad A)"**, og (3) hvis du har en Microsoft Account Executive, Cloud Solution Provider`CSP`), eller Unified Support-kontrakt, bede dem om at indsende en intern **"CritSit" (Critical Situation)**-eskalering på dit sagsnummer, hvilket typisk reducerer DPT-svartiden ned til under 24 timer.

Hvad hvis den slyngelstatiske tidligere it-medarbejder låste os ude af BÅDE Microsoft 365/Google Workspace OG vores domæneregistrator (GoDaddy / Cloudflare)?¶

Hvis en afgået medarbejder eller entreprenør tilmeldte sig `yourcompany.com` under deres eget login eller låst dig ude af din domæneregistrator (GoDaddy, Namecheap, Cloudflare, Network Solutions), **skal du gendanne domæneregistratorkontoen først**, fordi du ikke kan udgive Google/Microsoft DNS. `TXT` registrere uden registratoradgang. Hver ICANN-akkrediteret registrator har en dedikeret **domæneejerskab / kontogendannelses-tvistportal** (f.eks. GoDaddy's `Account Recovery & Change of Update Request`). Indsend: (1) din virksomheds **vedtægter / IRS EIN-brev / virksomhedsregistrering**, (2) en kopi af dit **statsfoto-id** som virksomhedsleder og (3) **kreditkort- eller kontoudtog fra firmaet**, der viser, at din virksomhed har betalt for domæneregistrerings- og fornyelsesgebyrer. Registratoren vil overføre domænet til en ny virksomhedskonto inden for 48 til 96 timer, så du kan udgive DNS'en `TXT` optage og tage Google Workspace eller Microsoft 365 tilbage umiddelbart efter.

Hvordan finder jeg mit Microsoft Entra ID "Tenant ID" (GUID), hvis hver enkelt person er låst ude af portalen?¶

Når du ringer til Microsofts databeskyttelsesteam, har du dit nøjagtige **Lejer ID GUID** på 36 tegn (`xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx`) fremskynder billetrutingen dramatisk. Selvom ingen i din virksomhed kan logge ind, er Microsofts OpenID Connect-metadataendepunkt offentligt for alle domæner i verden. Åbn en hvilken som helst webbrowser og naviger til: `https://login.microsoftonline.com/YOURDOMAIN.COM/v2.0/.well-known/openid-configuration` (erstatter `YOURDOMAIN.COM` med din virksomheds domænenavn). I JSON-teksten, der vises på skærmen, skal du se på den allerførste URL efter `"token_endpoint"`: den alfanumeriske kode på 36 tegn lige efter `login.microsoftonline.com/` er dit nøjagtige **Microsoft Entra-lejer-id**.

Nulstiller Global Admin eller Super Admin via DNS TXT bekræftelse slette e-mails, OneDrive-filer eller Google Drev-dokumenter?¶

Nej. Hverken Google Workspace DNS Admin Recovery flow eller en Microsoft Data Protection Team MFA/nulstilling af adgangskode berører en enkelt byte af brugerpostkassedata, SharePoint-websteder, OneDrive-mapper, Teams-chats eller Google Drev-dokumenter. Faktisk, hvis du vælger muligheden for at **promovere en eksisterende standard medarbejderkonto til Super Admin/Global Admin** (i stedet for at nulstille den afgåede medarbejders adgangskode), forbliver den afgåede medarbejders postkasse og filer fuldstændig uberørte og bevares til juridisk opdagelse, mens din nyligt forfremmede administrator tager fuld kontrol over konsollen.

Hvad hvis vi opsætter en Microsoft Entra Conditional Access-politik, der ved et uheld blokerede ALLE brugere (inklusive globale administratorer) ved at kræve en kompatibel Intune-enhed eller specifik IP-adresse?¶

Dette kaldes en **selvlås med betinget adgang**, som f.eks. når en administrator opretter en politikmålretning med betinget adgang `"All Users"` og `"All Cloud Apps"` med en kontrol, der ikke kan opfyldes (som at kræve en Hybrid Azure AD Joined-enhed eller et udløbet VPN IP-område) og glemmer at kontrollere `"Exclude Emergency Access Accounts"` kasse. Fordi politikken blokerer enhver administrator ved login, vil selv det at kende din adgangskode og have din fungerende MFA-telefon ikke lukke dig ind. Din eneste redningsvej er at ringe til **Microsoft Commercial Support**, eskalere til **Databeskyttelsesteamet**, videregive DNS'en `TXT` ejerskabsbekræftelse, og bed DPT-ingeniøren om at køre deres interne backend-værktøj for at **deaktivere den stødende politik for betinget adgang** på din lejer.

Relaterede guider¶

• Domænenavnkapring, udløbet DNS og overtagelse af hjemmeside
• Skykontoforbud: Google, Apple og Microsoft lockout-appeller
• To-faktor autentificeringstelefonnummer genbrugt af mobilselskab og sms-lockout
• Lockout af adgangskodehåndtering, tab af hovedadgangskode og genoprettelse af vault

Kilder og officiel vejledning¶

• Google Workspace-administratorhjælp og sikkerhedsdokumentation: Gendan administratoradgang til din Google Workspace-konto (admin.google.com), Support-assisteret DNS TXT/CNAME Bekræftelse (toolbox.googleapps.com/apps/recovery/form), og bedste praksis for Super Administrator Break-Glass-konti.
• Microsoft Learn (Microsoft Entra ID / Microsoft 365-dokumentation): Administrer nødadgangskonti i Microsoft Entra ID, udfør en intern administratorovertagelse på en ikke-administreret adressebog via DNS TXT-bekræftelse og global administrator MFA-lockout-eskalering via databeskyttelsesteamet.
• Cybersecurity and Infrastructure Security Agency (CISA, USA): Cloud Security Technical Reference Architecture og CISA ScubaGear Baselines for Microsoft 365 og Google Workspace Tenant Resilience.
• National Institute of Standards and Technology (NIST): Særlig publikation 800-63B (Digital Identity Guidelines: Authentication and Lifecycle Management, Multi-Factor Authenticator Recovery).
• Internet Corporation for Assigned Names and Numbers (ICANN): Registrantrettigheder og -ansvar og verifikationsprotokoller til domænenavnekontrol.