Terkunci di Google Workspace atau Konsol Admin Microsoft 365: Pengambilalihan dan Pemulihan DNS TXT¶

Mengetahui bahwa perusahaan, firma hukum, praktik medis, atau lembaga nonprofit Anda sepenuhnya terkunci dari Google Workspace (admin.google.com) atau Microsoft 365 / ID Entra (admin.microsoft.com) penyewa cloud karena satu-satunya Administrator Super atau Administrator Global kehilangan ponsel cerdas mereka dengan benih MFA Microsoft/Google Authenticator, meninggalkan perusahaan dengan cara yang tidak bersahabat dan mengubah kata sandi, atau meninggal secara tidak terduga merupakan krisis kelangsungan bisnis yang eksistensial. Tanpa akses administratif, Anda tidak dapat menambah atau menghapus karyawan, menyetel ulang sandi pengguna yang terkunci, memperbarui kartu penagihan yang kedaluwarsa sebelum seluruh email perusahaan Anda (MX) dan infrastruktur SharePoint/Google Drive ditangguhkan, atau mencabut token sesi mantan admin nakal. Untungnya, Google dan Microsoft merekayasa platform identitas perusahaan mereka berdasarkan kebenaran kriptografi yang mendasar: kepemilikan hukum tertinggi atas penyewa cloud domain khusus adalah milik entitas yang mengontrol zona DNS Publik otoritatif nama domain di Pendaftar Domain (seperti Cloudflare, AWS Route 53, GoDaddy, atau Namecheap). Meskipun tidak ada admin yang dapat masuk dan semua perangkat keras aplikasi YubiKey atau Authenticator hilang, Anda dapat menjalankan DNS darurat TXT atau CNAME Tantangan Pengambilalihan Kepemilikan Domain (baik melalui sistem otomatis Google toolbox.googleapps.com/apps/recovery/form pipeline, Pengambilalihan Admin Internal Microsoft (Unmanaged Tenant) aliran, atau Tim Perlindungan Data Microsoft (DPT) Tiket Verifikasi DNS) untuk menghapus MFA dari akun admin yang terkunci atau mempromosikan akun karyawan standar yang ada menjadi Administrator Super/Global penuh. Jika mantan karyawan yang bermusuhan atau penyerang ransomware secara aktif mengambil dana bank perusahaan atau data pasien sambil mengunci Anda, hubungi kantor setempat Anda. nomor darurat (911 di Amerika Serikat dan Kanada, 999 di Inggris, 112 di seluruh Uni Eropa) atau segera laporkan penyusupan tersebut ke FBI IC3/CISA. Untuk keadaan darurat domain, akun, dan dua faktor terkait, lihat panduan kami di pembajakan nama domain, DNS kadaluwarsa, dan pengambilalihan situs web, larangan akun cloud dan pengajuan banding data, Dan daur ulang nomor telepon otentikasi dua faktor dan penguncian SMS.

Lakukan ini sekarang¶

1. Amankan akses masuk langsung ke Pencatat Domain Publik dan Host DNS Resmi Anda terlebih dahulu. Sebelum menyentuh formulir pemulihan Google atau Microsoft, verifikasi bahwa Anda dapat masuk ke zona DNS Resmi untuk domain utama perusahaan Anda (yourcompany.com). Cari Server Nama aktif Anda (NS catatan) menggunakan dig NS yourcompany.com +short atau whois yourcompany.com. Baik DNS Anda dihosting di Cloudflare, AWS Route 53, GoDaddy, Namecheap, atau Network Solutions, siapa pun yang dapat memublikasikan yang baru TXT atau CNAME rekam di root (@) zona domain Anda memegang kunci utama untuk membuktikan kepemilikan sah kepada Google dan Microsoft.
2. Audit apakah ada admin sekunder atau Penyedia Solusi Cloud (CSP / Pengecer) masih memiliki akses sebagian. Banyak organisasi percaya bahwa mereka hanya memiliki "satu" admin, dan lupa bahwa:
3. Penyedia Layanan Terkelola eksternal (MSP) atau Penyedia Solusi Cloud (CSP) pengecer (seperti Pax8, Ingram Micro, CDW, Sherweb, atau GoDaddy) memiliki Hak Istimewa Admin yang Didelegasikan Secara Granular (GDAP / DAP) ke penyewa Microsoft 365 atau Google Workspace Anda dan dapat menyetel ulang MFA Admin Global Anda dalam 60 detik; ATAU
4. Manajer sekunder memegang peran Administrator Otentikasi Istimewa di Microsoft Entra ID (yang memiliki wewenang penuh untuk mengatur ulang MFA dan kata sandi bahkan untuk Admin Global).
5. Jika terkunci dari Google Workspace (admin.google.com), luncurkan DNS Otomatis TXT/CNAME Wizard Pemulihan Admin segera. Jangan buang waktu berhari-hari untuk mencoba menyetel ulang sandi Gmail konsumen. Pergi ke admin.google.com, masukkan alamat email Admin Super yang terkunci, klik "Lupa kata sandi?", lewati perintah MFA hingga sistem menawarkan Pemulihan Verifikasi Domain, ATAU langsung buka Formulir Pemulihan Konsol Admin Workspace khusus Google (toolbox.googleapps.com/apps/recovery/form). Berikan alamat email sekunder yang dapat diakses dan tempelkan yang unik google-site-verification=... TXT token ke zona DNS domain Anda.
6. Jika terkunci dari Microsoft 365 (admin.microsoft.com), buka "Tim Perlindungan Data (DPT)" Tiket Telepon Tingkat Keparahan-A segera. Tidak seperti Google, Microsoft tidak menyediakan formulir web layanan mandiri publik untuk melewati MFA pada satu-satunya Admin Global milik penyewa komersial yang sudah dikelola. Anda harus menghubungi Dukungan Komersial Microsoft (nomor yang tercantum dalam Tabel Regional kami di bawah), menavigasi perintah suara AI dengan mengatakan "Terkunci dari Administrator Global, tidak ada admin lain yang tersedia, arahkan ke Tim Perlindungan Data", dan dapatkan 16 digit Nomor Kasus Perlindungan Data. Buka konsol DNS Anda sehingga Anda dapat segera memublikasikan verifikasi TXT catat email teknisi Perlindungan Data kepada Anda.
7. Pertahankan kartu kredit penagihan aktif Anda dan jangan pernah melakukan tagihan balik bank saat terkunci. Jika invoice bulanan Google Workspace atau Microsoft 365 perusahaan Anda masuk ke kartu kredit perusahaan Anda saat Anda tidak dapat mengakses konsol Admin, jangan memblokir kartu atau mengajukan tagihan balik. Memicu penolakan pembayaran atau penagihan balik pada penyewa komersial yang aktif dapat menyebabkan sistem anti-penipuan otomatis menangguhkan semua kotak surat pengguna (550 5.1.1 User Unknown terpental) dan menjadwalkan penyimpanan SharePoint/Drive penyewa untuk dihapus secara permanen dalam waktu 30 hingga 90 hari.

Pohon keputusan: Mendapatkan kembali kendali atas penyewa Google Workspace atau Microsoft 365 yang terkunci¶

flowchart TD
    A["Penguncian Total Admin Super Tunggal (Google Workspace) atau Admin Global (Microsoft 365)"] --> B{"Apakah Anda membeli lisensi melalui Reseller/MSP (GoDaddy, Pax8, Ingram, CDW)?"}
    B -->|"Ya: Dibeli melalui Reseller / CSP"| C["Perbaikan Tercepat (15 Menit): Hubungi Dukungan Pengecer/MSP untuk Menggunakan API Admin Terdelegasi (GDAP) untuk Menyetel Ulang Admin MFA atau Mempromosikan Pengguna Kedua"]
    B -->|"Tidak: Dibeli Langsung dari Google atau Microsoft"| D{"Platform Cloud Mana yang Terkunci?"}
    D -->|"1. Google Workspace (admin.google.com)"| E["Langkah 1: Coba Alur Pemulihan Admin Otomatis di admin.google.com -> 'Coba cara lain' -> 'Verifikasi dengan Host Domain'"]
    E --> F{"Apakah Aliran Otomatis Memicu Tantangan DNS?"}
    F -->|"Ya"| G["Tambahkan Catatan TXT atau CNAME unik 'google-site-verification=...' di Pendaftar Domain; Google Menyetel Ulang Admin Super Dalam 24-72 Jam"]
    F -->|"Tanpa / Bentuk Loop"| H["Kirim Pemulihan Admin Berbantuan Dukungan di toolbox.googleapps.com/apps/recovery/form + Promosikan Pengguna Standar melalui Bukti TXT DNS"]
    D -->|"2. Microsoft 365 / ID Masuk (admin.microsoft.com)"| I{"Apakah ini Penyewa Tidak Terkelola 'Bayangan / Viral' atau Penyewa Terkelola Komersial Penuh?"}
    I -->|"Penyewa Bayangan / Viral (Karyawan mendaftar melalui uji coba gratis PowerBI/Teams)"| J["Jalankan 'Pengambilalihan Admin Internal' Layanan Mandiri melalui PowerShell / M365 Wizard Menggunakan Verifikasi TXT DNS Instan"]
    I -->|"Penyewa Terkelola Komersial Penuh (Admin Global Tunggal kehilangan MFA / kiri / meninggal)"| K["Hubungi Dukungan Komersial Microsoft -> Minta Eskalasi 'Tim Perlindungan Data (DPT)' -> Lulus DNS TXT + Audit Kepemilikan Bisnis"]

Google Workspace vs. Microsoft 365: Perbedaan arsitektur pemulihan penyewa¶

Meskipun Google dan Microsoft mengandalkan DNS Resmi TXT Verifikasi untuk membuktikan siapa yang secara sah memiliki nama domain yang melekat pada penyewa cloud, alur kerja pemulihan administratifnya sangat berbeda. Mengetahui tuas mana yang ada di setiap platform akan menghemat waktu Anda untuk mendapatkan tiket dukungan yang buntu:

Playbook 1: Menyelamatkan Admin Super Google Workspace yang terkunci (admin.google.com)¶

Jika satu-satunya akun Admin Super Google Workspace Anda terkunci, baik karena ponsel yang dilengkapi Google Authenticator rusak, kunci keamanan hardware FIDO2 Anda hilang, kontraktor IT yang sudah berangkat mengubah sandi, atau Anda mengaktifkannya "Enforce 2-Step Verification" tanpa mendaftarkan akun admin terlebih dahulu, jalankan tiga langkah berikut dengan urutan yang tepat:

Metode A: Otomatis admin.google.com Tantangan Verifikasi Domain (Tercepat - 1 hingga 24 Jam)¶

1. Buka jendela browser Penyamaran / Pribadi di komputer yang terletak di jaringan Wi-Fi kantor atau rumah biasa (mesin risiko Google mendapat skor subnet IP familiar lebih tinggi) dan buka https://admin.google.com.
2. Masukkan alamat email Super Admin yang terkunci (admin@yourcompany.com) dan klik Berikutnya.
3. Jika Anda mengetahui kata sandinya tetapi diblokir oleh Verifikasi 2 Langkah (MFA), masukkan kata sandi, lalu klik "Coba cara lain" di bagian bawah layar 2FA hingga Anda menghabiskan semua metode yang tidak tersedia. Jika Anda tidak mengetahui kata sandinya, klik "Lupa kata sandi?" dan klik "Coba cara lain" melewati setiap perintah yang tidak tersedia.
4. Setelah semua opsi pemulihan standar pada domain Google Workspace admin tunggal habis, mesin pemulihan otomatis Google menampilkan layar Verifikasi Kepemilikan Domain:
5. Ini meminta Anda untuk memasukkan alamat email kontak yang saat ini dapat Anda periksa (seperti alamat pribadi @gmail.com alamat atau alamat email karyawan standar kerja).
6. Google mengirimkan email dengan ** unikCNAME atau TXT catatan verifikasi** instruksi.
7. Masuk ke panel kontrol DNS pendaftar domain Anda (Cloudflare, Route 53, GoDaddy, Namecheap) dan tambahkan yang tepat TXT atau CNAME rekam di root (@) dari yourcompany.com dengan TTL 300 detik (5 menit).
8. Tips Pro untuk Pengguna Cloudflare: Jika menambahkan a CNAME catatan verifikasi di dalam Cloudflare DNS, klik ikon Orange Cloud untuk mengubahnya menjadi Abu-abu (DNS Only). Jika Cloudflare adalah Awan Oranye (Proxied) dibiarkan diaktifkan pada verifikasi CNAME, Cloudflare mencegat kueri dan mengembalikan IP proxy Cloudflare, bukan target CNAME yang diharapkan Google, sehingga menyebabkan verifikasi gagal setiap saat.

Metode B: Portal Pemulihan Konsol Admin Berbantuan Dukungan (toolbox.googleapps.com/apps/recovery/form)¶

Bagaimana jika loop masuk otomatis hanya mengatakan "Hubungi administrator domain Anda untuk mendapatkan bantuan" (ironisnya ketika Anda adalah administrator domain) atau "Google tidak dapat memverifikasi akun ini milik Anda"?

Gunakan Portal Pemulihan Akun Admin Workspace khusus dan tidak diautentikasi dari Google: 1. Buka https://toolbox.googleapps.com/apps/recovery/form di peramban Anda. 2. Masukkan nama domain utama Google Workspace Anda (misalnya, yourcompany.com) dan lengkapi CAPTCHA. 3. Pilih opsi darurat yang tepat: - Mintalah pengaturan ulang kata sandi/2FA pada akun Admin Super yang terkunci; ATAU - Direkomendasikan jika mantan admin bermusuhan/meninggal: Pilih opsi untuk mempromosikan akun pengguna reguler yang ada di domain Anda (you@yourcompany.com) ke Administrator Super. 4. Berikan alamat email kontak sekunder yang berfungsi di mana Anda dapat menerima pembaruan tiket. 5. Sistem Google segera membuat Nomor Referensi Tiket dan mengirimkan email unik kepada Anda TXT nilai rekaman (diformat seperti google-site-verification=rXOxyZ... atau google-workspace-recovery=...). 6. Publikasikan itu TXT rekam di zona DNS publik domain Anda, verifikasi langsung dari terminal bahwa zona tersebut aktif di seluruh dunia dengan menjalankan:

dig TXT yourcompany.com @8.8.8.8 +short

Playbook 2: Menyelamatkan Administrator Global Microsoft 365 / Entra ID yang terkunci (admin.microsoft.com)¶

Penguncian Microsoft 365 lebih sulit dibandingkan penguncian Google Workspace jika Anda tidak mengetahui saluran eskalasi yang tepat, karena sistem telepon garis depan Microsoft mencoba memberi tahu penelepon untuk "masuk ke Pusat Admin untuk membuka tiket dukungan", sehingga menimbulkan pengulangan saat Anda tidak dapat mengakses Pusat Admin.

Berikut ini empat jalur teknis dan prosedural yang tepat untuk keluar dari penguncian Admin Global Microsoft 365:

Jalur 1: "Admin Sekunder Tersembunyi" & .onmicrosoft.com Bypass Check (Periksa Ini Pertama dalam 5 Menit)¶

Sebelum menunggu bersama Tim Perlindungan Data Microsoft, periksa tiga hal yang dapat menyelamatkan 40 persen penyewa M365 yang "terkunci" saat itu juga: 1. Apakah server SSO/Federasi rusak (Okta, Duo, Cisco, ADFS) menguncimu? - Saat Anda melakukan federasi yourcompany.com ke Penyedia Identitas pihak ketiga (IdP) dan sertifikat IdP tersebut kedaluwarsa atau mengunci Anda, masuk sebagai admin@yourcompany.com mengarahkan Anda ke IdP yang rusak. - Perbaikan Instan: Setiap penyewa Microsoft 365 memiliki domain cadangan asli khusus cloud yang diakhiri dengan @yourtenant.onmicrosoft.com. Pergi ke https://entra.microsoft.com, ketik admin@yourtenant.onmicrosoft.com (atau nama pengguna Admin Global apa pun yang ada di .onmicrosoft.com domain), dan masuk. .onmicrosoft.com akun SELALU melewati federasi SAML/WS-Fed pihak ketiga dan mengautentikasi langsung dengan Microsoft Entra ID. 2. Apakah ada staf TI yang memegang peran "Administrator Otentikasi Istimewa"? - Banyak perusahaan menugaskan manajer TI peran Administrator Otentikasi Istimewa tanpa menjadikan mereka sebagai Admin Global penuh. Di Microsoft Entra ID, Administrator Otentikasi Istimewa memiliki izin hukum penuh untuk mengatur ulang kata sandi DAN mencabut/mewajibkan ulang MFA untuk Administrator Global. 3. Apakah Anda membeli SATU lisensi melalui Pengecer CSP (GoDaddy, Pax8, Sherweb, Ingram, CDW, Rackspace)? - Lihatlah laporan kartu kredit Anda. Jika tagihan Microsoft 365 Anda berasal dari mitra dan bukan langsung dari MICROSOFT*G..., hubungi meja dukungan mitra tersebut sekarang juga. Meskipun mereka hanya menjual satu lisensi Exchange Online senilai $6 kepada Anda, jika hubungan GDAP (Hak Istimewa Admin Terdelegasi Granular) mereka aktif di Pusat Mitra Anda, teknisi mereka dapat menyetel ulang MFA Admin Global Anda dalam waktu kurang dari 3 menit.

Jalur 2: Cara Menjangkau "Tim Perlindungan Data Microsoft (DPT)" Ketika Nol Admin Dapat Masuk¶

Jika Anda membeli langsung dari Microsoft dan satu-satunya Administrator Global Anda terkunci sepenuhnya (ponsel Authenticator hilang, atau terjebak dalam lingkaran di mana Microsoft Authenticator meminta Anda untuk menyetujui nomor 2 digit di dalam aplikasi Microsoft Authenticator yang saat ini Anda coba masuk), Anda harus memiliki Tim Perlindungan Data Microsoft (DPT) teknisi melakukan Kepemilikan Penyewa & Penyetelan Ulang Verifikasi DNS.

Cara melewati pohon telepon AI otomatis Microsoft (IVR) dalam 2 menit: 1. Hubungi nomor regional Dukungan Komersial Microsoft (misalnya, 1-800-865-9408 atau 1-800-642-7676 di AS/Kanada; lihat daftar global lengkap di bawah). 2. Bot suara otomatis diprogram untuk mengalihkan panggilan kata sandi standar aka.ms/sspr. Gunakan frasa yang diucapkan dengan tepat ini pada setiap perintah: - Permintaan 1 ("Apa yang Anda telepon?"): Ucapkan dengan jelas: "Penguncian akun Administrator Global." - Permintaan 2 ("Sudahkah Anda mencoba Reset Kata Sandi Layanan Mandiri?"): Katakan: "Ya, saya satu-satunya Administrator Global di penyewa bisnis komersial dan tidak ada administrator lain." - Perintah 3 ("Produk apa?"): Ucapkan: "Microsoft 365 Business / Entra ID Commercial" dan minta "Transfer ke Tim Perlindungan Data." 3. Bagaimana jika pohon telepon masih menutup telepon Anda? Gunakan "Trik Trial Tenant Bridge": - Ini adalah bypass darurat sysadmin yang terkenal ketika IVR ponsel Microsoft menolak menghubungkan Anda: Buka microsoft.com/microsoft-365/business, dapatkan Uji Coba Penyewa Microsoft 365 gratis selama 30 hari menggunakan sekali pakai temprescue-[yourcompany].onmicrosoft.com nama (membutuhkan waktu 3 menit, tanpa biaya selama 30 hari). - Masuk ke admin.microsoft.com di dalam penyewa uji coba sementara itu, klik Dukungan > Bantuan & Dukungan di sudut kanan bawah, dan buka Tiket Dukungan Admin Tingkat Keparahan-A yang menyatakan: > "ESkalasi TIM PERLINDUNGAN DATA MENDESAK: Saya membuka tiket ini dari penyewa jembatan sementara karena saya satu-satunya Administrator Global dari penyewa produksi [YOURREALDOMAIN.COM / ID Penyewa] dan saya benar-benar terkunci dari MFA tanpa ada Admin Global lainnya. Harap segera transfer tiket ini ke Tim Perlindungan Data Microsoft."

Jalur 3: Lolos dari Tim Perlindungan Data Microsoft (DPT) Audit Verifikasi & DNS TXT Tantangan¶

Setelah teknisi Tim Perlindungan Data Microsoft mengklaim kasus Anda, mereka mengikuti protokol keamanan zero-trust yang ketat sebelum menghapus MFA dari Admin Global Anda atau mempromosikan pengguna baru: 1. Bukti Kepemilikan Bisnis & Penagihan: Siapkan keempat item berikut dalam satu folder sehingga Anda dapat membaca atau mengunggahnya pada panggilan pertama: - Nama Domain Anda (yourcompany.com) dan onmicrosoft.com Nama Penyewa (temukan GUID ID Penyewa Anda yang sebenarnya kapan saja tanpa masuk dengan mengunjungi https://login.microsoftonline.com/yourcompany.com/v2.0/.well-known/openid-configuration); - 4 digit terakhir dan tanggal habis masa berlaku kartu kredit yang tercatat untuk penagihan Microsoft (atau nomor Faktur Komersial Microsoft terbaru G0...); - Alamat penagihan dan nomor telepon yang tepat tercantum di Profil Organisasi penyewa; dan - Resmi Angka Pendirian / Izin Usaha / Tagihan Utilitas jika mantan admin adalah karyawan nakal yang memasang ponselnya sendiri di profil. 2. DNS Resmi TXT Bukti Rekam: - Insinyur Perlindungan Data akan memberi Anda string verifikasi unik (seperti MS=ms12345678 atau token khusus kasus) untuk ditambahkan sebagai TXT catatan di akar (@) dari yourcompany.com. - Sekali nslookup -type=TXT yourcompany.com mengonfirmasi bahwa catatan tersebut aktif, teknisi DPT menyetel ulang pendaftaran Otentikasi Multi-Faktor Admin Global (Require Re-Register MFA) dan mengeluarkan kata sandi sementara sehingga Anda dapat masuk dan mendaftarkan aplikasi Authenticator baru dan kunci FIDO2.

Jalur 4: "Pengambilalihan Admin Internal" Layanan Mandiri (Jika Domain Anda Terkunci di Penyewa Bayangan "Tidak Terkelola/Viral")¶

Bagaimana jika Anda mencoba menyiapkan Microsoft 365 untuk yourcompany.com, dan Microsoft menampilkan kesalahan: "yourcompany.com is already being used with another Microsoft 365 organization", karena tiga tahun lalu seorang karyawan secara acak mendaftar untuk mendapatkan akun layanan mandiri Power BI, Microsoft Teams Exploratory, atau Fabric gratis menggunakan @yourcompany.com email kantor? - Karena penyewa "bayangan" tersebut memiliki tidak ada Administrator Global (ini adalah Penyewa Viral Tidak Terkelola), Anda tidak perlu menghubungi Dukungan Microsoft sama sekali. - Anda dapat menjalankan Pengambilalihan Admin Internal secara instan: 1. Masuk ke Microsoft 365 menggunakan apa pun yang aktif @yourcompany.com akun pengguna yang ada di penyewa viral tersebut (atau buat akun layanan mandiri Power BI gratis dengan admin@yourcompany.com). 2. Navigasi ke https://portal.office.com/admintakeover (atau jalankan cmdlet pengambilalihan Microsoft Graph PowerShell). 3. Microsoft segera menampilkan TXT kode verifikasi (MS=msXXXXXXXX). 4. Tempel itu TXT rekam ke DNS pendaftar domain Anda, klik Verifikasi, dan Microsoft langsung mempromosikan Anda menjadi Administrator Global penuh dari seluruh yourcompany.com penyewa dalam 60 detik.

Audit keamanan pasca-pemulihan langkah demi langkah (Jika penguncian disebabkan oleh mantan admin yang bermusuhan atau kompromi)¶

Jika penguncian Anda terjadi karena mantan administrator TI, kontraktor yang diberhentikan, atau penyerang eksternal yang tidak puas dengan sengaja mencabut hak istimewa Anda atau membajak akun Admin Super/Global, mendapatkan kembali akses masuk saja tidak cukup. Aktor bermusuhan yang memiliki akses Admin Super atau Admin Global bahkan selama 15 menit sering kali memasang "pintu belakang persistensi" sehingga mereka dapat memperoleh kembali kendali secara diam-diam minggu depan bahkan setelah Anda mengubah sandi utama.

Jalankan pembersihan persistensi 5 poin ini dalam 30 menit pertama setelah masuk kembali ke konsol Anda yang dipulihkan:

1. Audit Perwakilan Layanan, Aplikasi OAuth Perusahaan, dan Kata Sandi Aplikasi yang Baru Dibuat:
2. Dalam ID Entra Microsoft (entra.microsoft.com): Pergi ke Identity > Applications > Enterprise applications Dan App registrations. Urutkan berdasarkan Tanggal Pembuatan. Admin nakal yang canggih akan membuat Pendaftaran Aplikasi tersembunyi diberikan RoleManagement.ReadWrite.Directory atau Directory.ReadWrite.All Izin aplikasi Microsoft Graph API dengan Rahasia Klien 24 bulan. Bahkan jika Anda menghapus akun pengguna admin nakal, skrip Python mereka dapat menggunakan Rahasia Klien tersebut dari rumah untuk mempromosikan pengguna pintu belakang baru ke Admin Global malam ini. Hapus segera Pendaftaran Aplikasi atau Rahasia Klien yang tidak dikenal.
3. Di Google Workspace (admin.google.com): Pergi ke Security > Access and data control > API controls > Manage Domain Wide Delegation. Periksa setiap ID Klien Akun Layanan Google Cloud yang telah diberikan Delegasi Seluruh Domain (https://www.googleapis.com/auth/admin.directory.user) dan hapus project Google Cloud atau token OAuth yang tidak dikenal.
4. Periksa Hubungan Mitra (GDAP / DAP) dan Pengaturan Akses Lintas Penyewa:
5. Di Pusat Admin Microsoft 365, navigasikan ke Settings > Partner relationships. Verifikasi bahwa kontraktor jahat tidak menghubungkan Jaringan Mitra Microsoft pribadinya (MPN) akun sebagai Penyedia Solusi Cloud yang didelegasikan dengan GDAP Hak Admin Global.
6. Di Microsoft Entra ID, periksa External Identities > Cross-tenant access settings Dan Users > All users (menyaring untuk User type == Guest dengan Peran Direktori yang ditetapkan) untuk memverifikasi tidak ada pihak eksternal @gmail.com atau @outlook.com pengguna tamu secara diam-diam diberi peran Administrator Global atau Administrator Peran Istimewa.
7. Membersihkan Aturan Perutean Email Masuk/Keluar Tersembunyi dan Penerusan Otomatis:
8. Periksa Exchange Admin Center > Mail flow > Rules (di Microsoft 365) atau Apps > Google Workspace > Gmail > Routing (di Google Workspace) untuk aturan transportasi seluruh penyewa yang dilakukan secara diam-diam BCC atau mengalihkan email eksekutif, tautan pengaturan ulang kata sandi, atau faktur transfer kawat ke alamat eksternal.
9. Cabut Semua Token Penyegaran Aktif dan Cookie Sesi di Seluruh Penyewa:
10. Mengubah kata sandi pengguna di lingkungan cloud tidak selalu langsung mematikan token penyegaran OAuth yang aktif atau Evaluasi Akses Berkelanjutan (CAE) sesi pada laptop yang sudah diautentikasi. Klik secara eksplisit "Cabut sesi / Keluar dari semua sesi" pada akun admin yang disusupi dan putar krbtgt /Kunci dekripsi Kerberos SSO Microsoft Azure Active Directory jika Azure AD Connect / Entra Connect sinkronisasi hibrid diterapkan secara lokal.
11. Aktifkan "Persetujuan Admin / Persetujuan Multi-Pihak" dan Peringatan tentang Penetapan Peran:
12. Konfigurasikan peringatan webhook email dan SMS langsung di dalam Log Audit Admin Google Workspace atau Manajemen Identitas Istimewa Microsoft Entra ID (PIM) sehingga setiap Admin Super/Global menerima peringatan out-of-band secara instan setiap kali pengguna ditambahkan ke peran administratif atau setiap kali pengaturan MFA diubah.

Nomor darurat regional dan protokol lembaga¶

Pertanyaan yang sering diajukan¶

Mengapa Tim Perlindungan Data Microsoft terkadang memerlukan waktu 5 hingga 10 hari untuk membuka kunci Admin Global padahal saya dapat membuktikan bahwa saya pemilik DNS saat ini?¶

Karena penyewa komersial Microsoft 365 sering kali memiliki kekayaan intelektual, otoritas transfer bank, dan data HIPAA/GDPR senilai miliaran dolar, penyerang rekayasa sosial sering kali berupaya mengelabui agen dukungan agar menyetel ulang MFA Admin Global. Oleh karena itu, Microsoft membatasi pengaturan ulang MFA Admin Global yang tidak diautentikasi ke unit Tingkat-3 kecil khusus yang disebut **Tim Perlindungan Data (`DPT`)**. Sambil menunggu dalam antrean DPT: (1) menelepon kembali sekali sehari dengan merujuk pada **16 digit Nomor Kasus** Anda, (2) meminta agen garis depan untuk menandai tiket sebagai **"Kritis Bisnis - Penguncian Admin Total dengan Admin Tanpa Cadangan (Keparahan A)"**, dan (3) jika Anda memiliki Eksekutif Akun Microsoft, Penyedia Solusi Cloud (`CSP`), atau kontrak Dukungan Terpadu, minta mereka untuk mengirimkan eskalasi **"CritSit" (Situasi Kritis)** internal pada nomor kasus Anda, yang biasanya mengurangi waktu respons DPT hingga di bawah 24 jam.

Bagaimana jika mantan karyawan TI nakal itu mengunci kita dari KEDUA Microsoft 365/Google Workspace DAN Pencatat Domain (GoDaddy / Cloudflare)?¶

Jika karyawan atau kontraktor yang berangkat mendaftar `yourcompany.com` di bawah login mereka sendiri atau mengunci Anda dari Pendaftar Domain Anda (GoDaddy, Namecheap, Cloudflare, Network Solutions), Anda **harus memulihkan akun Pendaftar Domain terlebih dahulu**, karena Anda tidak dapat mempublikasikan DNS Google/Microsoft `TXT` catatan tanpa akses registrar. Setiap registrar terakreditasi ICANN memiliki **Portal Sengketa Kepemilikan Domain / Pemulihan Akun** khusus (misalnya, GoDaddy's `Account Recovery & Change of Update Request`). Kirimkan: (1) **Anggaran Dasar / Surat IRS EIN / Pendaftaran Bisnis** perusahaan Anda, (2) salinan **Kartu Identitas Foto Pemerintah** Anda sebagai pejabat perusahaan, dan (3) **kartu kredit perusahaan atau laporan bank** yang menunjukkan bahwa perusahaan Anda membayar biaya pendaftaran dan perpanjangan domain. Pendaftar akan mentransfer domain ke akun perusahaan baru dalam waktu 48 hingga 96 jam, memungkinkan Anda mempublikasikan DNS `TXT` rekam dan segera ambil kembali Google Workspace atau Microsoft 365 setelahnya.

Bagaimana cara menemukan ID Microsoft Entra "ID Penyewa" (GUID) saya jika setiap orang terkunci di luar portal?¶

Saat Anda menghubungi Tim Perlindungan Data Microsoft, dengan memiliki 36 karakter **GUID ID Penyewa** (`xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx`) mempercepat perutean tiket secara dramatis. Meskipun tidak ada seorang pun di perusahaan Anda yang dapat masuk, titik akhir metadata OpenID Connect Microsoft bersifat publik untuk setiap domain di dunia. Buka browser web apa pun dan navigasikan ke: `https://login.microsoftonline.com/YOURDOMAIN.COM/v2.0/.well-known/openid-configuration` (mengganti `YOURDOMAIN.COM` dengan nama domain perusahaan Anda). Pada teks JSON yang muncul di layar, lihat URL pertama setelahnya `"token_endpoint"`: kode alfanumerik 36 karakter tepat setelahnya `login.microsoftonline.com/` adalah **ID Penyewa Microsoft Entra** Anda yang sebenarnya.

Akan mereset Admin Global atau Super Admin melalui DNS TXT verifikasi menghapus email, file OneDrive, atau dokumen Google Drive?¶

Tidak. Alur Pemulihan Admin DNS Google Workspace maupun MFA/reset kata sandi Tim Perlindungan Data Microsoft tidak menyentuh satu byte pun data kotak surat pengguna, situs SharePoint, folder OneDrive, obrolan Teams, atau dokumen Google Drive. Faktanya, jika Anda memilih opsi untuk **mempromosikan akun karyawan standar yang ada menjadi Admin Super / Admin Global** (daripada menyetel ulang kata sandi karyawan yang keluar), kotak surat dan file karyawan yang keluar tersebut tetap tidak tersentuh dan disimpan untuk penemuan hukum sementara admin Anda yang baru dipromosikan mengambil kendali penuh atas konsol tersebut.

Bagaimana jika kita menyiapkan kebijakan Akses Bersyarat Microsoft Entra yang secara tidak sengaja memblokir SEMUA pengguna (termasuk Admin Global) dengan memerlukan perangkat Intune yang sesuai atau alamat IP tertentu?¶

Hal ini disebut **Penguncian Mandiri Akses Bersyarat**, misalnya saat admin membuat penargetan kebijakan Akses Bersyarat `"All Users"` Dan `"All Cloud Apps"` dengan kontrol yang tidak dapat dipenuhi (seperti memerlukan perangkat Bergabung dengan Azure Active Directory Hibrida atau rentang IP VPN yang kedaluwarsa) dan lupa memeriksa `"Exclude Emergency Access Accounts"` kotak. Karena kebijakan memblokir setiap admin saat masuk, bahkan mengetahui kata sandi Anda dan memiliki telepon MFA yang berfungsi tidak akan mengizinkan Anda masuk. Satu-satunya jalur penyelamatan Anda adalah dengan menghubungi **Dukungan Komersial Microsoft**, tingkatkan ke **Tim Perlindungan Data**, teruskan DNS `TXT` verifikasi kepemilikan, dan minta teknisi DPT menjalankan alat backend internal mereka untuk **menonaktifkan kebijakan Akses Bersyarat yang melanggar** pada penyewa Anda.

Panduan terkait¶

• Pembajakan nama domain, DNS kadaluwarsa, dan pengambilalihan situs web
• Larangan akun cloud: Banding penguncian Google, Apple, dan Microsoft
• Nomor telepon autentikasi dua faktor didaur ulang oleh operator dan penguncian SMS
• Penguncian pengelola kata sandi, kehilangan kata sandi utama, dan pemulihan brankas

Sumber dan panduan resmi¶

• Dokumentasi Bantuan & Keamanan Administrator Google Workspace: Pulihkan Akses Administrator ke Akun Google Workspace Anda (admin.google.com), DNS Bantuan Dukungan TXT/CNAME Verifikasi (toolbox.googleapps.com/apps/recovery/form), dan Praktik Terbaik untuk Akun Super Administrator Break-Glass.
• Microsoft Learn (Microsoft Entra ID / Dokumentasi Microsoft 365): Kelola Akun Akses Darurat di Microsoft Entra ID, Lakukan Pengambilalihan Admin Internal pada Direktori Tidak Terkelola melalui Verifikasi DNS TXT, dan Eskalasi Penguncian MFA Administrator Global melalui Tim Perlindungan Data.
• Badan Keamanan Siber dan Infrastruktur (CISA, Amerika Serikat): Arsitektur Referensi Teknis Keamanan Cloud dan Garis Dasar ScubaGear CISA untuk Ketahanan Penyewa Microsoft 365 dan Google Workspace.
• Institut Standar dan Teknologi Nasional (NIST): Publikasi Khusus 800-63B (Pedoman Identitas Digital: Otentikasi dan Manajemen Siklus Hidup, Pemulihan Autentikator Multi-Faktor).
• Perusahaan Internet untuk Nama dan Nomor yang Ditugaskan (ICANN): Hak dan Kewajiban Pendaftar serta Protokol Verifikasi Kontrol Nama Domain.