დაბლოკილია Google Workspace-დან ან Microsoft 365 ადმინისტრატორის კონსოლიდან: DNS TXT აღება და აღდგენა¶

აღმოაჩენთ, რომ თქვენი კომპანია, იურიდიული ფირმა, სამედიცინო პრაქტიკა ან არაკომერციული ორგანიზაცია მთლიანად დაბლოკილია მისი Google Workspace (admin.google.com) ან Microsoft 365 / Entra ID (admin.microsoft.com) ღრუბლის ბინადარმა, რადგან ერთადერთმა Super Administrator ან Global Administrator დაკარგა სმარტფონი Microsoft/Google Authenticator MFA seeds-ით, დატოვა კომპანია მტრული პირობებით და შეცვალა პაროლი, ან მოულოდნელად გარდაიცვალა არის ეგზისტენციალური ბიზნესის უწყვეტობის კრიზისი. ადმინისტრაციული წვდომის გარეშე, თქვენ არ შეგიძლიათ დაამატოთ ან წაშალოთ თანამშრომლები, გადააყენოთ დაბლოკილი მომხმარებლის პაროლები, განაახლოთ ვადაგასული ბილინგის ბარათები თქვენი კომპანიის მთელ ელფოსტამდე (MX) და SharePoint/Google Drive ინფრასტრუქტურა შეჩერებულია, ან გააუქმეთ მოტყუებული ყოფილი ადმინისტრატორის სესიის ტოკენები. საბედნიეროდ, ორივე Google და Microsoft ამუშავებენ თავიანთ საწარმოთა იდენტიფიკაციის პლატფორმებს ფუნდამენტური კრიპტოგრაფიული ჭეშმარიტების ირგვლივ: **მორგებული დომენის ღრუბლის დამქირავებელზე საბოლოო კანონიერი საკუთრება ეკუთვნის იმ სუბიექტს, რომელიც აკონტროლებს დომენის ავტორიტეტულ საჯარო DNS ზონას დომენის რეგისტრატორში (როგორიცაა Cloudflare, AWS Route 53, ან GoDaddy.*) მაშინაც კი, თუ ადმინისტრატორებს არ შეუძლიათ შესვლა და ყველა აპარატურის YubiKey ან Authenticator აპი გაქრა, შეგიძლიათ განახორციელოთ გადაუდებელი DNS TXT ან CNAME Domain Ownership Takeover Challenge (Google-ის ავტომატიზირებული საშუალებით toolbox.googleapps.com/apps/recovery/form მილსადენი, Microsoft-ის შიდა ადმინისტრატორის აღება (Unmanaged Tenant) ნაკადი, ან Microsoft მონაცემთა დაცვის გუნდი (DPT) DNS Verification Ticket) MFA-ს ჩამორთმევა დაბლოკილი ადმინისტრატორის ანგარიშიდან ან არსებული სტანდარტული თანამშრომელი ანგარიშის სრულ სუპერ/გლობალურ ადმინისტრატორზე გადასაცემად. თუ მტრულად განწყობილი ყოფილი თანამშრომელი ან გამოსასყიდი პროგრამის თავდამსხმელი აქტიურად ახორციელებს კორპორატიული ბანკის სახსრებს ან პაციენტის მონაცემებს თქვენი დაბლოკვისას, დაურეკეთ ადგილობრივ გადაუდებელი ნომრები (911 შეერთებულ შტატებში და კანადაში, 999 გაერთიანებულ სამეფოში, 112 ევროკავშირში) ან დაუყოვნებლივ შეატყობინეთ შეჭრის შესახებ FBI IC3 / CISA-ს. დაკავშირებული დომენის, ანგარიშის და ორფაქტორიანი გადაუდებელი შემთხვევებისთვის იხილეთ ჩვენი სახელმძღვანელო დომენის სახელის გატაცება, ვადაგასული DNS და ვებსაიტის აღება, ღრუბლოვანი ანგარიშების აკრძალვა და მონაცემთა ამოღების აპელაციები, და ორი ფაქტორიანი ავთენტიფიკაციის ტელეფონის ნომრის გადამუშავება და SMS დაბლოკვა.

გააკეთე ეს ახლა¶

1. ** უპირველეს ყოვლისა, დაიცავით თქვენი საჯარო დომენის რეგისტრატორსა და ავტორიტეტულ DNS ჰოსტში შესვლის მყისიერი წვდომა.yourcompany.com). მოძებნეთ თქვენი აქტიური სახელების სერვერები (NS ჩანაწერები) გამოყენებით dig NS yourcompany.com +short ან whois yourcompany.com. თქვენი DNS მასპინძლობს Cloudflare-ზე, AWS Route 53-ზე, GoDaddy-ზე, Namecheap-ზე თუ Network Solutions-ზე, ვისაც შეუძლია ახალი გამოქვეყნება TXT ან CNAME ჩანაწერი ძირში (@) თქვენი დომენის ზონაში არის Google-ისა და Microsoft-ის კანონიერი საკუთრების დამადასტურებელი ძირითადი გასაღები.
2. ** აუდიტი, ნებისმიერი მეორადი ადმინისტრატორი თუ ღრუბლოვანი გადაწყვეტილებების პროვაიდერი (CSP / Reseller) ჯერ კიდევ აქვს ნაწილობრივი წვდომა.** ბევრი ორგანიზაცია თვლის, რომ მათ ჰყავთ მხოლოდ "ერთი" ადმინისტრატორი და ავიწყდებათ, რომ:
3. გარე მართული სერვისის პროვაიდერი (MSP) ან ** Cloud Solution Provider (CSP) გადამყიდველს** (როგორიცაა Pax8, Ingram Micro, CDW, Sherweb ან GoDaddy) ფლობს გრანულ დელეგირებული ადმინისტრატორის პრივილეგიებს (GDAP / DAP) თქვენს Microsoft 365-ში ან Google Workspace-ის დამქირავებელში და შეგიძლიათ გადატვირთოთ თქვენი გლობალური ადმინისტრატორის MFA 60 წამში; ან
4. მეორადი მენეჯერი ფლობს პრივილეგირებული ავტორიზაციის ადმინისტრატორის როლს Microsoft Entra ID-ში (რომელსაც აქვს სრული უფლება გადააყენოს MFA და პაროლები გლობალური ადმინისტრატორებისთვისაც კი).
5. თუ დაბლოკილია Google Workspace-ში (admin.google.com), გაუშვით ავტომატური DNS TXT/CNAME ადმინისტრატორის აღდგენის ოსტატი დაუყოვნებლივ. არ დაკარგოთ დღეები სამომხმარებლო Gmail-ის პაროლის გადაყენების მცდელობაში. გადადით admin.google.com, შეიყვანეთ ჩაკეტილი სუპერ ადმინისტრატორის ელფოსტის მისამართი, დააწკაპუნეთ „დაგავიწყდათ პაროლი?“, გადალახეთ საგარეო საქმეთა სამინისტროს მოთხოვნები, სანამ სისტემა არ შემოგთავაზებთ დომენის დადასტურების აღდგენას, ან გადადით პირდაპირ Google-ის გამოყოფილ Workspace Admin Console Recovery Form-ზე (toolbox.googleapps.com/apps/recovery/form). მიუთითეთ ხელმისაწვდომი მეორადი ელ.ფოსტის მისამართი და ჩასვით უნიკალური google-site-verification=... TXT ტოკენი თქვენი დომენის DNS ზონაში.
6. ** თუ დაბლოკილია Microsoft 365 (admin.microsoft.com), გახსენით "მონაცემთა დაცვის გუნდი (DPTდაუყოვნებლივ. ხელმისაწვდომია, მარშრუტი მონაცემთა დაცვის გუნდში"** და მიიღეთ 16-ციფრიანი მონაცემთა დაცვის საქმის ნომერი. გახსენით თქვენი DNS კონსოლი, რათა დაუყოვნებლივ გამოაქვეყნოთ დადასტურება TXT ჩაწერეთ მონაცემთა დაცვის ინჟინრის ელ.წერილი.
7. ** შეინახეთ თქვენი აქტიური ბილინგის საკრედიტო ბარათი და არასოდეს გასცეთ საბანკო გადასახადი, როდესაც დაბლოკილია.** თუ თქვენი კომპანიის ყოველთვიური Google Workspace ან Microsoft 365 ინვოისი მოხვდება თქვენს კორპორატიულ საკრედიტო ბარათზე, სანამ დაბლოკილი ხართ ადმინისტრატორის კონსოლიდან, არ დაბლოკოთ ბარათი და არ შეიტანოთ ჩარიცხვის დაბრუნება. აქტიური კომერციული მოიჯარეზე გადახდის შეურაცხყოფის ან დაბრუნების გამოწვევამ შეიძლება გამოიწვიოს თაღლითობის საწინააღმდეგო ავტომატური სისტემების შეჩერება მომხმარებლის ყველა საფოსტო ყუთში (550 5.1.1 User Unknown bounces) და დაგეგმეთ მოიჯარის SharePoint/Drive საცავი მუდმივი წაშლისთვის 30-დან 90 დღემდე.

გადაწყვეტილების ხე: დაბლოკილი Google Workspace ან Microsoft 365 მოიჯარეზე კონტროლის აღდგენა¶

flowchart TD
    A["ერთადერთი სუპერ ადმინისტრატორის (Google Workspace) ან გლობალური ადმინისტრატორის (Microsoft 365) სრული დაბლოკვა"] --> B{"იყიდეთ თქვენი ლიცენზიები Reseller / MSP-ის მეშვეობით (GoDaddy, Pax8, Ingram, CDW)?"}
    B -->|"დიახ: შეძენილია Reseller / CSP-ის მეშვეობით"| C["უსწრაფესი შესწორება (15 წთ): დაურეკეთ გადამყიდველს / MSP მხარდაჭერას, რომ გამოიყენოთ მათი დელეგირებული ადმინისტრატორი (GDAP) API ადმინისტრატორის MFA-ს გადატვირთვის ან მეორე მომხმარებლის დასაწინაურებლად"]
    B -->|"არა: შეძენილი პირდაპირ Google-დან ან Microsoft-დან"| D{"რომელი ღრუბლოვანი პლატფორმა არის ჩაკეტილი?"}
    D -->|"1. Google Workspace (admin.google.com)"| E["ნაბიჯი 1: სცადეთ ადმინისტრატორის აღდგენის ავტომატური ნაკადი მისამართზე: admin.google.com -> 'სცადეთ სხვა გზა' -> 'დაადასტურეთ დომენის ჰოსტთან'"]
    E --> F{"ავტომატურმა ნაკადმა გამოიწვია DNS გამოწვევა?"}
    F -->|"დიახ"| G["დაამატეთ უნიკალური 'google-site-verification=...' TXT ან CNAME ჩანაწერი დომენის რეგისტრატორში; Google აღადგენს სუპერ ადმინისტრატორს 24-72 საათის განმავლობაში"]
    F -->|"No / Form Loops"| H["გაგზავნეთ მხარდაჭერით ადმინისტრატორის აღდგენა მისამართზე toolbox.googleapps.com/apps/recovery/form + სტანდარტული მომხმარებლის დაწინაურება DNS TXT Proof-ით"]
    D -->|"2. Microsoft 365 / Entra ID (admin.microsoft.com)"| I{"არის ეს „ჩრდილოვანი/ვირუსული“ უმართავი მოიჯარე თუ სრული კომერციული მართული მოიჯარე?"}
    I -->|"Shadow / Viral Tenant (თანამშრომლები დარეგისტრირდნენ PowerBI/Teams უფასო საცდელი საშუალებით)"| J["შეასრულეთ თვითმომსახურების „შიდა ადმინისტრატორის აღება“ PowerShell / M365 ოსტატის საშუალებით, მყისიერი DNS TXT ვერიფიკაციის გამოყენებით"]
    I -->|"სრული კომერციული მართული მოიჯარე (ერთადერთი გლობალური ადმინისტრატორი დაკარგა საგარეო საქმეთა სამინისტრო / დარჩა / გარდაიცვალა)"| K["დარეკეთ Microsoft Commercial Support -> მოითხოვეთ „მონაცემთა დაცვის გუნდი (DPT)“ ესკალაცია -> გაიარეთ DNS TXT + ბიზნესის საკუთრების აუდიტი"]

Google Workspace Microsoft 365-ის წინააღმდეგ: როგორ განსხვავდება მოიჯარეების აღდგენის არქიტექტურა¶

მიუხედავად იმისა, რომ Google და Microsoft ეყრდნობა ** ავტორიტეტულ DNS-ს TXT გადამოწმება** იმის დასამტკიცებლად, თუ ვინ ფლობს დომენის სახელს, რომელიც მიმაგრებულია ღრუბლოვანი მფლობელთან, მათი ადმინისტრაციული აღდგენის სამუშაოები ძალიან განსხვავებულია. იმის ცოდნა, თუ რომელი ბერკეტები არსებობს თითოეულ პლატფორმაზე, დაზოგავთ ჩიხში მხარდაჭერის ბილეთებს:

სათამაშო წიგნი 1: ჩაკეტილი Google Workspace სუპერ ადმინისტრატორის გადარჩენა (admin.google.com)¶

თუ დაბლოკილი ხართ თქვენი ერთადერთი Google Workspace Super Admin ანგარიშიდან, იმის გამო, რომ თქვენი ტელეფონი Google Authenticator-ით გაფუჭდა, თქვენი FIDO2 ტექნიკის უსაფრთხოების გასაღები დაიკარგა, წასულმა IT კონტრაქტორმა შეცვალა პაროლი, ან თქვენ ჩართეთ "Enforce 2-Step Verification" ადმინისტრატორის ანგარიშის ჯერ რეგისტრაციის გარეშე, შეასრულეთ ეს სამი ნაბიჯი ზუსტი თანმიმდევრობით:

მეთოდი A: ავტომატიზირებული admin.google.com დომენის დადასტურების გამოწვევა (უსწრაფესი - 1-დან 24 საათამდე)¶

1. გახსენით ინკოგნიტო/პირადი ბრაუზერის ფანჯარა კომპიუტერზე, რომელიც მდებარეობს თქვენს ჩვეულებრივ ოფისში ან სახლის Wi-Fi ქსელში (Google-ის რისკის ძრავა ნაცნობ IP ქვექსელებს უფრო მაღალ ქულას ანიჭებს) და გადადით https://admin.google.com.
2. შეიყვანეთ ჩაკეტილი სუპერ ადმინისტრატორის ელფოსტის მისამართი (admin@yourcompany.com) და დააჭირეთ შემდეგი.
3. თუ იცით პაროლი, მაგრამ დაბლოკილია 2-ფაზიანი დადასტურება (MFA), შეიყვანეთ პაროლი, შემდეგ დააჭირეთ "სცადეთ სხვა გზა" 2FA ეკრანის ბოლოში, სანამ არ ამოწურავთ ყველა მიუწვდომელ მეთოდს. თუ პაროლი არ იცით, დააწკაპუნეთ "დაგავიწყდათ პაროლი?" და დააჭირეთ "სცადეთ სხვა გზა" ყოველი მიუწვდომელი მოთხოვნის შემდეგ.
4. მას შემდეგ, რაც ამოიწურება აღდგენის ყველა სტანდარტული ვარიანტი Google Workspace-ის ერთი ადმინისტრატორის დომენზე, Google-ის აღდგენის ავტომატური ძრავა წარმოგიდგენთ დომენის მფლობელობის დადასტურების ეკრანს:
5. ის მოგთხოვთ შეიყვანოთ საკონტაქტო ელფოსტის მისამართი, რომელიც ამჟამად შეგიძლიათ შეამოწმოთ (როგორიცაა პირადი @gmail.com მისამართი ან სამუშაო სტანდარტული თანამშრომლის ელექტრონული ფოსტის მისამართი).
6. Google აგზავნის ელ.წერილს უნიკალური **CNAME ან TXT გადამოწმების ჩანაწერი ** ინსტრუქციები.
7. შედით თქვენი დომენის რეგისტრატორის DNS მართვის პანელში (Cloudflare, Route 53, GoDaddy, Namecheap) და დაამატეთ ზუსტი TXT ან CNAME ჩანაწერი ძირში (@)-ის yourcompany.com TTL 300 წამით (5 წუთი).
8. პროფილური რჩევა Cloudflare-ის მომხმარებლებისთვის: თუ დაამატებთ ა CNAME გადამოწმების ჩანაწერი Cloudflare DNS-ში, ** დააწკაპუნეთ ნარინჯისფერი ღრუბლის ხატულაზე, რომ გახადოთ იგი ნაცრისფერი (DNS Only)**. თუ Cloudflare-ის ნარინჯისფერი ღრუბელი (Proxied) ჩართულია დადასტურებისას CNAME, Cloudflare წყვეტს მოთხოვნას და აბრუნებს Cloudflare-ის პროქსი IP-ებს Google-ის მოსალოდნელი CNAME სამიზნის ნაცვლად, რაც იწვევს დადასტურებას ყოველ ჯერზე.

მეთოდი B: მხარდაჭერით დამხმარე ადმინისტრატორის კონსოლის აღდგენის პორტალი (toolbox.googleapps.com/apps/recovery/form)¶

რა მოხდება, თუ ავტომატური შესვლის ციკლი უბრალოდ ამბობს "დახმარებისთვის დაუკავშირდით თქვენი დომენის ადმინისტრატორს" (ირონიულია, როდესაც **თქვენ ** დომენის ადმინისტრატორი ხართ) ან "Google-მა ვერ დაადასტურა, რომ ეს ანგარიში თქვენ გეკუთვნით"?

გამოიყენეთ Google-ის გამოყოფილი, არაავთენტიფიცირებული Workspace Admin ანგარიშის აღდგენის პორტალი: 1. გახსნა https://toolbox.googleapps.com/apps/recovery/form თქვენს ბრაუზერში. 2. შეიყვანეთ თქვენი Google Workspace-ის ძირითადი დომენის სახელი (მაგ. yourcompany.com) და შეავსეთ CAPTCHA. 3. აირჩიეთ ზუსტი გადაუდებელი ვარიანტი: - ან მოითხოვეთ პაროლი/2FA გადატვირთვა ჩაკეტილ Super Admin ანგარიშზე; ან - ** რეკომენდირებულია, თუ ყოფილი ადმინი არის მტრული/გარდაცვლილი:** აირჩიეთ ვარიანტი ** თქვენს დომენზე არსებული რეგულარული მომხმარებლის ანგარიშის პოპულარიზაციისთვის (you@yourcompany.com) სუპერ ადმინისტრატორს**. 4. მიუთითეთ სამუშაო მეორადი საკონტაქტო ელფოსტის მისამართი, სადაც შეგიძლიათ მიიღოთ ბილეთების განახლებები. 5. Google-ის სისტემა დაუყოვნებლივ ქმნის ბილეთის მითითების ნომერს და გამოგიგზავნით ელ.წერილს უნიკალურ TXT ჩანაწერის მნიშვნელობა (ფორმატირდება მსგავსი google-site-verification=rXOxyZ... ან google-workspace-recovery=...). 6. გამოაქვეყნეთ ეს TXT ჩაწერეთ თქვენი დომენის საჯარო DNS ზონაში, გადაამოწმეთ პირდაპირ ტერმინალიდან, რომ ის ცოცხალია მთელ მსოფლიოში გაშვებით:

dig TXT yourcompany.com @8.8.8.8 +short

სათამაშო წიგნი 2: ჩაკეტილი Microsoft 365 / Entra ID გლობალური ადმინისტრატორის გადარჩენა (admin.microsoft.com)¶

Microsoft 365-ის ჩაკეტვა უფრო რთულია, ვიდრე Google Workspace-ის ჩაკეტვა, თუ არ იცით ზუსტი ესკალაციის არხები, რადგან Microsoft-ის წინა ხაზის სატელეფონო სისტემა ცდილობს უთხრას აბონენტებს "შეხვიდეთ ადმინისტრაციულ ცენტრში მხარდაჭერის ბილეთის გასახსნელად", რაც ქმნის ციკლს, როდესაც თქვენ დაბლოკავთ ადმინისტრაციულ ცენტრს.

აქ მოცემულია 4 ზუსტი ტექნიკური და პროცედურული გზა Microsoft 365-ის გლობალური ადმინისტრატორის ჩაკეტვისგან თავის დასაღწევად:

გზა 1: "დამალული მეორადი ადმინისტრატორი" და .onmicrosoft.com შემოვლითი შემოწმება (შეამოწმეთ ეს ჯერ 5 წუთში)¶

სანამ Microsoft-ის მონაცემთა დაცვის გუნდთან შეჩერდებით, შეამოწმეთ სამი რამ, რაც ადგილზე გადაარჩენს M365-ის „ჩაკეტილი“ მოიჯარეების 40 პროცენტს: 1. ** გატეხილია SSO / ფედერაციის სერვერი (Okta, Duo, Cisco, ADFS) გამოგკეტავ?** - როცა ფედერაცია yourcompany.com მესამე მხარის პირადობის პროვაიდერთან (IdP) და რომ IdP-ის სერთიფიკატს ვადა გასდის ან დაბლოკავს თქვენ, შედით როგორც admin@yourcompany.com გადამისამართებთ გატეხილ IdP-ზე. - მყისიერი შესწორება: Microsoft 365-ის თითოეულ დამქირავებელს აქვს მხოლოდ ღრუბლოვანი სარეზერვო დომენი, რომელიც მთავრდება @yourtenant.onmicrosoft.com. გადადით https://entra.microsoft.com, აკრიფეთ admin@yourtenant.onmicrosoft.com (ან ნებისმიერი გლობალური ადმინისტრატორის მომხმარებლის სახელი არსებობს მასზე .onmicrosoft.com დომენი) და შედით. .onmicrosoft.com ანგარიშები ყოველთვის გვერდის ავლით მესამე მხარის SAML/WS-Fed ფედერაციას და ავთენტიფიკაციას უტარებენ პირდაპირ Microsoft Entra ID-ს. 2. ** აქვს თუ არა რომელიმე IT თანამშრომელს "პრივილეგირებული ავტორიზაციის ადმინისტრატორის" როლი?** - ბევრი კომპანია ანიჭებს IT მენეჯერს პრივილეგირებული ავტორიზაციის ადმინისტრატორის როლს ისე, რომ ისინი არ გახდნენ სრული გლობალური ადმინისტრატორი. Microsoft Entra ID-ში ** პრივილეგირებულ ავთენტიფიკაციის ადმინისტრატორს აქვს სრული იურიდიული ნებართვა, გადააყენოს პაროლები და გააუქმოს/ხელახლა მოითხოვოს MFA გლობალური ადმინისტრატორისთვის**. 3. ** იყიდეთ თუნდაც ერთი ლიცენზია CSP Reseller-ის მეშვეობით (GoDaddy, Pax8, Sherweb, Ingram, CDW, Rackspace)?** - შეხედეთ თქვენი საკრედიტო ბარათის განცხადებას. თუ თქვენი Microsoft 365 ანგარიში მოდის პარტნიორისგან და არა უშუალოდ MICROSOFT*G..., დაურეკეთ ამ პარტნიორის მხარდაჭერის მაგიდას ახლავე. მაშინაც კი, თუ მათ გაყიდეს მხოლოდ $6 Exchange Online ლიცენზია, თუ მათი GDAP (გრანულარული დელეგირებული ადმინისტრატორის პრივილეგიები) ურთიერთობა აქტიურია თქვენს პარტნიორ ცენტრში, მათ ინჟინერს შეუძლია გადააყენოს თქვენი გლობალური ადმინისტრატორის MFA 3 წუთზე ნაკლებ დროში.

გზა 2: როგორ მივაღწიოთ "Microsoft მონაცემთა დაცვის გუნდს (DPT)" როდესაც ნულოვანი ადმინისტრატორებს შეუძლიათ შესვლა¶

თუ თქვენ ყიდულობთ უშუალოდ Microsoft-ისგან და თქვენი ერთადერთი გლობალური ადმინისტრატორი მთლიანად დაბლოკილია (დაკარგულია Authenticator ტელეფონი, ან აღმოჩნდება წრეში, როდესაც Microsoft Authenticator გთხოვს დაადასტუროთ 2-ნიშნა ნომერი Microsoft Authenticator აპში, რომელშიც ამჟამად ცდილობთ შესვლას), თქვენ უნდა გყავდეთ ადამიანური Microsoft მონაცემთა დაცვის გუნდი (DPT) ინჟინერმა შეასრულა მოქირავნე საკუთრების და DNS-ის გადამოწმების გადატვირთვა.

როგორ გადავლახოთ Microsoft-ის ავტომატური AI ტელეფონის ხე (IVR) 2 წუთში: 1. დარეკეთ რეგიონალურ Microsoft Commercial Support ნომერზე (მაგ., 1-800-865-9408 ან 1-800-642-7676 აშშ/კანადაში; იხილეთ სრული გლობალური სია ქვემოთ). 2. ავტომატური ხმის ბოტი დაპროგრამებულია სტანდარტული პაროლის ზარების გადასატანად aka.ms/sspr. გამოიყენეთ ეს ზუსტი წარმოთქმული ფრაზები თითოეულ მოთხოვნაზე: - მოთხოვნა 1 ("რაზე გირეკავთ?"): მკაფიოდ თქვით: "გლობალური ადმინისტრატორის ანგარიშის დაბლოკვა." - მოთხოვნა 2 ("სცადეთ თუ არა თვითმომსახურების პაროლის აღდგენა?"): თქვით: "დიახ, მე ვარ ერთადერთი გლობალური ადმინისტრატორი კომერციული ბიზნესის დამქირავებელზე და არ არის სხვა ადმინისტრატორები." - მოთხოვნა 3 ("რა პროდუქტი?"): თქვით: "Microsoft 365 Business / Entra ID Commercial" და მოითხოვეთ "გადაცემა მონაცემთა დაცვის გუნდში." 3. ** რა მოხდება, თუ ტელეფონის ხე ისევ დაგიკიდათ? გამოიყენეთ "Trial Tenant Bridge Trick":** - ეს არის ცნობილი sysadmin გადაუდებელი შემოვლითი გზა, როდესაც Microsoft-ის ტელეფონის IVR უარს ამბობს თქვენთან დაკავშირებაზე: გადადით microsoft.com/microsoft-365/business, დაატრიალეთ უფასო 30-დღიანი საცდელი Microsoft 365 Tenant გადაყრის გამოყენებით temprescue-[yourcompany].onmicrosoft.com სახელი (3 წუთი სჭირდება, 30 დღე არ არის გადახდილი). - შედით სისტემაში admin.microsoft.com დროებითი საცდელი მაცხოვრებლის შიგნით დააწკაპუნეთ მხარდაჭერა > დახმარება და მხარდაჭერა ქვედა მარჯვენა კუთხეში და გახსენით Severity-A Admin Support Ticket სადაც ნათქვამია: > *"მონაცემთა დაცვის სასწრაფო ჯგუფის ესკალაცია: მე ვხსნი ამ ბილეთს დროებითი ხიდის დამქირავებლისგან, რადგან მე ვარ წარმოების დამქირავებლის ერთადერთი გლობალური ადმინისტრატორი [YOURREALDOMAIN.COM / Tenant ID] და სრულიად დაბლოკილი ვარ MFA-დან სხვა გლობალურ ადმინისტრატორებთან. გთხოვთ, დაუყოვნებლივ გადაიტანოთ ეს ბილეთი Microsoft-ის მონაცემთა დაცვის ჯგუფში."

გზა 3: Microsoft მონაცემთა დაცვის გუნდის გავლა (DPT) ვერიფიკაციის აუდიტი და DNS TXT გამოწვევა¶

მას შემდეგ, რაც Microsoft მონაცემთა დაცვის გუნდის ინჟინერი ამტკიცებს თქვენს საქმეს, ისინი მიჰყვებიან მკაცრ ნულოვანი ნდობის უსაფრთხოების პროტოკოლს, სანამ ისინი ჩამოართმევენ MFA-ს თქვენს გლობალურ ადმინისტრატორს ან დააწინაურებენ ახალ მომხმარებელს: 1. ბიზნესისა და ბილინგის საკუთრების დამადასტურებელი საბუთი: შეინახეთ ეს ოთხი ელემენტი მზად საქაღალდეში, რათა წაიკითხოთ ან ატვირთოთ ისინი პირველ ზარზე: - თქვენი დომენის სახელი (yourcompany.com) და onmicrosoft.com მოიჯარის სახელი (იპოვეთ თქვენი ზუსტი Tenant ID GUID ნებისმიერ დროს, სისტემაში შესვლის გარეშე, ეწვიეთ https://login.microsoftonline.com/yourcompany.com/v2.0/.well-known/openid-configuration); - საკრედიტო ბარათის ბოლო 4 ციფრი და ვადის გასვლის თარიღი ფაილში Microsoft-ის ბილინგისთვის (ან Microsoft-ის კომერციული ინვოისის ბოლო ნომრები G0...); - ზუსტი ბილინგის ქუჩის მისამართი და ტელეფონის ნომერი, რომელიც მითითებულია მოიჯარის ორგანიზაციის პროფილზე; და - ოფიციალური ** დაფუძნებული წესდება / ბიზნეს ლიცენზია / კომუნალური გადასახადი ** თუ ყოფილი ადმინი იყო თაღლითი თანამშრომელი, რომელმაც საკუთარი მობილური ტელეფონი დადო პროფილზე. 2. ** ავტორიტეტული DNS TXT ჩანაწერის მტკიცებულება:** - მონაცემთა დაცვის ინჟინერი მოგცემთ უნიკალურ გადამოწმების სტრიქონს (როგორიცაა MS=ms12345678 ან შემთხვევისთვის დამახასიათებელი ნიშანი) დასამატებლად, როგორც TXT ჩანაწერი ძირში (@)-ის yourcompany.com. - ერთხელ nslookup -type=TXT yourcompany.com ადასტურებს, რომ ჩანაწერი ცოცხალია, DPT ინჟინერი აღადგენს გლობალური ადმინისტრატორის მრავალფაქტორიანი ავთენტიფიკაციის რეგისტრაციას (Require Re-Register MFA) და გასცემს დროებით პაროლს, რათა შეხვიდეთ სისტემაში და დარეგისტრირდეთ ახალი Authenticator აპი და FIDO2 გასაღები.

გზა 4: თვითმომსახურება "შიდა ადმინისტრატორის აღება" (თუ თქვენი დომენი ჩაკეტილია "უმართავ / ვირუსულ" ჩრდილოვან ბინადარში)¶

რა მოხდება, თუ ცდილობთ Microsoft 365-ის დაყენებას yourcompany.comდა Microsoft აჩვენებს შეცდომას: "yourcompany.com is already being used with another Microsoft 365 organization", რადგან სამი წლის წინ შემთხვევითმა თანამშრომელმა დარეგისტრირდა უფასო Power BI, Microsoft Teams Exploratory ან Fabric თვითმომსახურების ანგარიშზე მათი გამოყენებით. @yourcompany.com სამუშაო ელფოსტა? - იმის გამო, რომ ამ "ჩრდილოვან" მოიჯარეს ჰყავს ნულოვანი გლობალური ადმინისტრატორები (ეს არის უმართავი ვირუსული ბინადარი), თქვენ ** საერთოდ არ გჭირდებათ ** Microsoft-ის მხარდაჭერაზე დარეკვა. - თქვენ შეგიძლიათ შეასრულოთ მყისიერი შიდა ადმინისტრატორის აღება: 1. შედით Microsoft 365-ში ნებისმიერი აქტიურის გამოყენებით @yourcompany.com მომხმარებლის ანგარიში, რომელიც არსებობს ამ ვირუსულ ბინადარში (ან შექმენით უფასო Power BI თვითმომსახურების ანგარიში admin@yourcompany.com). 2. ნავიგაცია https://portal.office.com/admintakeover (ან გაუშვით Microsoft Graph PowerShell takeover cmdlet). 3. Microsoft დაუყოვნებლივ აჩვენებს TXT დამადასტურებელი კოდი (MS=msXXXXXXXX). 4. ჩასვით ეს TXT ჩაწერეთ თქვენი დომენის რეგისტრატორის DNS-ში, დააწკაპუნეთ Verify და Microsoft მყისიერად დაგაწინაურებთ მთელს გლობალურ ადმინისტრატორად yourcompany.com მოიჯარე 60 წამში.

ნაბიჯ-ნაბიჯ აღდგენის შემდგომი უსაფრთხოების აუდიტი (თუ დაბლოკვა გამოწვეული იყო მტრული ყოფილი ადმინისტრატორით ან კომპრომისით)¶

თუ თქვენი დაბლოკვა მოხდა იმის გამო, რომ უკმაყოფილო ყოფილმა IT ადმინისტრატორმა, შეწყვეტილმა კონტრაქტორმა ან გარე თავდამსხმელმა განზრახ ჩამოართვა თქვენი პრივილეგიები ან გაიტაცა Super/Global Admin ანგარიში, მხოლოდ შესვლაზე წვდომის აღდგენა საკმარისი არ არის. მტრულად განწყობილი მსახიობი, რომელსაც ჰქონდა სუპერ ადმინისტრატორის ან გლობალური ადმინისტრატორის წვდომა თუნდაც 15 წუთის განმავლობაში, ხშირად აყენებს "მუდმივ უკანა კარებს", რათა მათ შეძლონ ჩუმად აღადგინონ კონტროლი მომავალ კვირას, მაშინაც კი, როცა მთავარ პაროლს შეცვლით.

შეასრულეთ ეს 5-პუნქტიანი მდგრადობის გაწმენდა თქვენს აღდგენილ კონსოლში შესვლიდან პირველი 30 წუთის განმავლობაში:

1. ** აუდიტი ახლად შექმნილი სერვისის პრინციპებს, Enterprise OAuth აპებს და აპის პაროლებს:**
2. ** Microsoft Entra ID-ში (entra.microsoft.com):** გადადით Identity > Applications > Enterprise applications და App registrations. დალაგება შექმნის თარიღის მიხედვით. დახვეწილი თაღლითი ადმინისტრატორი შექმნის ფარული აპლიკაციის რეგისტრაციას RoleManagement.ReadWrite.Directory ან Directory.ReadWrite.All Microsoft Graph API აპლიკაციის ნებართვები 24 თვიანი კლიენტის საიდუმლოებით. მაშინაც კი, თუ თქვენ წაშლით მოტყუებული ადმინისტრატორის მომხმარებლის ანგარიშს, მათ Python-ის სკრიპტს შეუძლია გამოიყენოს ეს Client Secret სახლიდან, რათა ამაღამ გლობალურ ადმინისტრატორში მოახდინოს ახალი backdoor მომხმარებლის პოპულარიზაცია. დაუყოვნებლივ წაშალეთ ნებისმიერი არაღიარებული აპლიკაციის რეგისტრაცია ან კლიენტის საიდუმლოებები.
3. ** Google Workspace-ში (admin.google.com):** გადადით Security > Access and data control > API controls > Manage Domain Wide Delegation. შეამოწმეთ ყველა Google Cloud Service ანგარიშის კლიენტის ID, რომელსაც მინიჭებული აქვს დომენის დელეგირება (https://www.googleapis.com/auth/admin.directory.user) და წაშალეთ Google Cloud-ის ნებისმიერი არაღიარებული პროექტი ან OAuth ჟეტონები.
4. ** შეამოწმეთ პარტნიორული ურთიერთობები (GDAP / DAP) და მოქირავნეთა წვდომის პარამეტრები:**
5. Microsoft 365 Admin Center-ში გადადით Settings > Partner relationships. გადაამოწმეთ, რომ თაღლითურმა კონტრაქტორმა არ დააკავშირა საკუთარი Microsoft-ის პარტნიორების ქსელი (MPN) ანგარიში, როგორც დელეგირებული Cloud Solution Provider GDAP გლობალური ადმინისტრატორის უფლებები.
6. Microsoft Entra ID-ში შეამოწმეთ External Identities > Cross-tenant access settings და Users > All users (გაფილტვრა ამისთვის User type == Guest მინიჭებული დირექტორიის როლებით) რათა დაადასტუროს გარე @gmail.com ან @outlook.com სტუმარ მომხმარებელს ჩუმად მიენიჭა გლობალური ადმინისტრატორის ან პრივილეგირებული როლის ადმინისტრატორის როლი.
7. ** გაწმინდეთ დამალული შემომავალი/გამავალი ფოსტის მარშრუტის წესები და ავტომატური გადამისამართება:**
8. შეამოწმეთ Exchange Admin Center > Mail flow > Rules (Microsoft 365-ში) ან Apps > Google Workspace > Gmail > Routing (Google Workspace-ში) ნებისმიერი მოიჯარეების ტრანსპორტირების წესებისთვის, რომლებიც ჩუმად BCC ან გადაამისამართეთ აღმასრულებელი ელფოსტა, პაროლის გადატვირთვის ბმულები, ან საბანკო გადარიცხვის ინვოისები გარე მისამართზე.
9. ** გააუქმეთ ყველა აქტიური განახლების ჟეტონები და სესიის ქუქიები მოიჯარეზე:**
10. მომხმარებლის პაროლის შეცვლა ღრუბლოვან გარემოში ყოველთვის არ კლავს აქტიურ OAuth განახლების ტოკენებს ან უწყვეტი წვდომის შეფასებას (CAE) სესიები უკვე ავთენტიფიცირებულ ლეპტოპებზე. აშკარად დააწკაპუნეთ "სესიების გაუქმება / ყველა სესიიდან გამოსვლა" გატეხილი ადმინისტრატორის ანგარიშზე და დაატრიალეთ krbtgt / Azure AD SSO Kerberos გაშიფვრის გასაღები თუ Azure AD Connect / Entra Connect ჰიბრიდული სინქრონიზაცია განლაგებულია შენობაში.
11. ** ჩართეთ "ადმინისტრატორის დამტკიცება / მრავალმხრივი დამტკიცება" და გაფრთხილება როლური დავალებების შესახებ:**
12. დაუყოვნებელი ელფოსტისა და SMS ვებჰუკის გაფრთხილების კონფიგურაცია Google Workspace Admin Audit Logs ან Microsoft Entra ID პრივილეგირებული პირადობის მენეჯმენტში (PIM) ისე, რომ ყოველი სუპერ/გლობალური ადმინისტრატორი იღებს მყისიერ გაფრთხილებას, როდესაც მომხმარებელი ემატება ადმინისტრაციულ როლს ან როდესაც შეიცვლება MFA პარამეტრები.

რეგიონული საგანგებო ნომრები და სააგენტოს პროტოკოლები¶

ხშირად დასმული კითხვები¶

რატომ სჭირდება Microsoft-ის მონაცემთა დაცვის გუნდს 5-დან 10 დღემდე გლობალური ადმინისტრატორის განბლოკვა, როდესაც მე შემიძლია დავამტკიცო, რომ ახლა მაქვს DNS-ის მფლობელი?¶

იმის გამო, რომ კომერციული Microsoft 365 მოიჯარეები ხშირად ფლობენ მილიარდობით დოლარის ინტელექტუალურ საკუთრებას, საბანკო მავთულხლართებს და HIPAA/GDPR მონაცემებს, სოციალური ინჟინერიის თავდამსხმელები ხშირად ცდილობენ მოატყუონ მხარდაჭერის აგენტები გლობალური ადმინისტრატორის MFA-ს გადატვირთვისთვის. შესაბამისად, Microsoft ზღუდავს არაავთენტიფიცირებულ გლობალური ადმინისტრატორის MFA გადატვირთვებს პატარა, სპეციალიზებულ Tier-3 ერთეულზე, სახელწოდებით **Data Protection Team (`DPT`)**. DPT რიგში ლოდინისას: (1) დარეკეთ დღეში ერთხელ თქვენი **16-ციფრიანი საქმის ნომრის მითითებით**, (2) სთხოვეთ წინა ხაზის აგენტს, მონიშნოს ბილეთი, როგორც **„ბიზნეს კრიტიკული - ადმინისტრატორის სრული დაბლოკვა ნულოვანი სარეზერვო ადმინისტრატორებით (სიმძიმე A)“** და (3) თუ გაქვთ Microsoft-ის პროვოცირებადი ანგარიშები (Socut Execut).`CSP`), ან ერთიანი მხარდაჭერის კონტრაქტი, სთხოვეთ მათ წარმოადგინონ შიდა **"CritSit" (კრიტიკული სიტუაცია)** ესკალაცია თქვენი საქმის ნომერზე, რაც, როგორც წესი, ამცირებს DPT-ის რეაგირების დროს 24 საათამდე.

რა მოხდება, თუ IT ყოფილი თანამშრომელი დაგვიბლოკავს როგორც Microsoft 365/Google Workspace-ს, ასევე დომენის რეგისტრატორს (GoDaddy / Cloudflare)?¶

თუ წასული თანამშრომელი ან კონტრაქტორი დარეგისტრირდა `yourcompany.com` საკუთარი შესვლის ქვეშ ან დაგიბლოკათ თქვენი დომენის რეგისტრატორი (GoDaddy, Namecheap, Cloudflare, Network Solutions), თქვენ **პირველ რიგში უნდა აღადგინოთ Domain Registrar ანგარიში**, რადგან არ შეგიძლიათ Google/Microsoft DNS-ის გამოქვეყნება `TXT` ჩანაწერი რეგისტრატორის წვდომის გარეშე. ICANN-ის მიერ აკრედიტებულ ყველა რეგისტრატორს აქვს გამოყოფილი **დომენის საკუთრების / ანგარიშის აღდგენის დავის პორტალი** (მაგალითად, GoDaddy's `Account Recovery & Change of Update Request`). წარმოადგინეთ: (1) თქვენი კომპანიის **საერთაშორისო წესდება / IRS EIN წერილი / ბიზნესის რეგისტრაცია**, (2) თქვენი **სახელმწიფო ფოტო ID**, როგორც კორპორატიული ოფიცერი, და (3) **კორპორატიული საკრედიტო ბარათი ან საბანკო ამონაწერი**, რომელიც აჩვენებს, რომ თქვენმა კომპანიამ გადაიხადა დომენის რეგისტრაციისა და განახლების საფასური. რეგისტრატორი გადასცემს დომენს ახალ კორპორატიულ ანგარიშზე 48-დან 96 საათამდე, რაც საშუალებას მოგცემთ გამოაქვეყნოთ DNS `TXT` ჩაწერეთ და დაიბრუნეთ Google Workspace ან Microsoft 365 მაშინვე.

როგორ ვიპოვო ჩემი Microsoft Entra ID "Tenant ID" (GUID), თუ თითოეული ადამიანი დაბლოკილია პორტალიდან?¶

როდესაც ურეკავთ Microsoft-ის მონაცემთა დაცვის გუნდს, გქონდეთ თქვენი ზუსტი 36-სიმბოლოიანი **Tenant ID GUID** (`xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx`) მკვეთრად აჩქარებს ბილეთების მარშრუტიზაციას. მაშინაც კი, თუ თქვენს კომპანიაში ვერავინ შეძლებს შესვლას, Microsoft-ის OpenID Connect მეტამონაცემების საბოლოო წერტილი საჯაროა მსოფლიოს ყველა დომენისთვის. გახსენით ნებისმიერი ვებ ბრაუზერი და გადადით შემდეგზე: `https://login.microsoftonline.com/YOURDOMAIN.COM/v2.0/.well-known/openid-configuration` (შეცვალა `YOURDOMAIN.COM` თქვენი კომპანიის დომენის სახელით). JSON ტექსტში, რომელიც გამოჩნდება ეკრანზე, შეხედეთ შემდეგ პირველ URL-ს `"token_endpoint"`: 36-სიმბოლოიანი ალფაციფრული კოდი ამის შემდეგ `login.microsoftonline.com/` არის თქვენი ზუსტი **Microsoft Entra Tenant ID**.

გადაიტვირთება გლობალური ადმინისტრატორი ან სუპერ ადმინისტრატორი DNS-ის საშუალებით TXT დადასტურებამ წაშალოს ნებისმიერი ელფოსტა, OneDrive ფაილი ან Google Drive დოკუმენტი?¶

არა. არც Google Workspace DNS Admin Recovery ნაკადი და არც Microsoft მონაცემთა დაცვის გუნდის MFA/პაროლის გადატვირთვა არ ეხება მომხმარებლის საფოსტო ყუთის მონაცემებს, SharePoint საიტებს, OneDrive საქაღალდეებს, Teams ჩეთებს ან Google Drive-ის დოკუმენტებს. ფაქტობრივად, თუ აირჩევთ ** არსებული სტანდარტული თანამშრომლის ანგარიშის სუპერ ადმინისტრატორს / გლობალურ ადმინისტრატორს** დაწინაურებას (გასული თანამშრომლის პაროლის გადაყენების ნაცვლად), წასული თანამშრომლის საფოსტო ყუთი და ფაილები რჩება სრულიად ხელუხლებელი და დაცული იურიდიული აღმოჩენისთვის, სანამ თქვენი ახლად დაწინაურებული ადმინისტრატორი მთლიანად აკონტროლებს კონსოლს.

რა მოხდება, თუ ჩვენ დავაყენებთ Microsoft Entra-ს პირობითი წვდომის პოლიტიკას, რომელმაც შემთხვევით დაბლოკა ყველა მომხმარებელი (გლობალური ადმინისტრატორების ჩათვლით) შესაბამისი Intune მოწყობილობის ან კონკრეტული IP მისამართის მოთხოვნით?¶

ამას ეწოდება **პირობითი წვდომის თვითდაბლოკვა**, მაგალითად, როდესაც ადმინისტრატორი ქმნის პირობით წვდომის პოლიტიკას `"All Users"` და `"All Cloud Apps"` კონტროლით, რომელიც არ არის დაკმაყოფილებული (როგორიცაა მოითხოვს Hybrid Azure AD Joined მოწყობილობას ან ვადაგასული VPN IP დიაპაზონს) და ავიწყდება შემოწმება `"Exclude Emergency Access Accounts"` ყუთი. იმის გამო, რომ პოლიტიკა ბლოკავს ყველა ადმინისტრატორს შესვლისას, თქვენი პაროლის ცოდნაც კი და თქვენი მოქმედი საგარეო საქმეთა სამინისტროს ტელეფონი არ შეგიშვებთ. თქვენი ერთადერთი სამაშველო გზაა დარეკოთ **Microsoft Commercial Support**, გადახვიდეთ **მონაცემთა დაცვის გუნდში**, გაიაროთ DNS `TXT` საკუთრების დადასტურება და სთხოვეთ DPT ინჟინერს, გაუშვას თავისი შიდა სარეზერვო ინსტრუმენტი, რათა ** გამორთოს შეურაცხმყოფელი პირობითი წვდომის პოლიტიკა** თქვენს მოიჯარეზე.

დაკავშირებული გიდები¶

• დომენის სახელის გატაცება, ვადაგასული DNS და ვებსაიტის აღება
• ღრუბლოვანი ანგარიშის აკრძალვა: Google, Apple და Microsoft-ის დაბლოკვის აპელაციები
• ორფაქტორიანი ავთენტიფიკაციის ტელეფონის ნომერი, გადამუშავებული ოპერატორის მიერ და SMS დაბლოკვით
• პაროლის მენეჯერის დაბლოკვა, ძირითადი პაროლის დაკარგვა და სარდაფის აღდგენა

წყაროები და ოფიციალური მითითებები¶

• Google Workspace ადმინისტრატორის დახმარება და უსაფრთხოების დოკუმენტაცია: აღადგინეთ ადმინისტრატორის წვდომა თქვენს Google Workspace ანგარიშზე (admin.google.com), მხარდაჭერით დამხმარე DNS TXT/CNAME დადასტურება (toolbox.googleapps.com/apps/recovery/form), და საუკეთესო პრაქტიკა სუპერ ადმინისტრატორის Break-Glass ანგარიშებისთვის.
• Microsoft Learn (Microsoft Entra ID/Microsoft 365 Documentation): მართეთ გადაუდებელი წვდომის ანგარიშები Microsoft Entra ID-ში, შეასრულეთ შიდა ადმინისტრაციული აღება უმართავ დირექტორიაზე DNS TXT ვერიფიკაციის საშუალებით და გლობალური ადმინისტრატორის MFA Lockout Escalation მონაცემთა დაცვის გუნდის მეშვეობით.
• კიბერუსაფრთხოების და ინფრასტრუქტურის უსაფრთხოების სააგენტო (CISA, შეერთებული შტატები): Cloud Security Technical Reference Architecture და CISA ScubaGear Baselines for Microsoft 365 and Google Workspace Tenant Resilience.
• სტანდარტებისა და ტექნოლოგიების ეროვნული ინსტიტუტი (NIST): Special Publication 800-63B (Digital Identity Guidelines: Authentication and Lifecycle Management, Multi-Factor Authenticator Recovery).
• მინიჭებული სახელებისა და ნომრების ინტერნეტ კორპორაცია (ICANN): რეგისტრატორის უფლებები და მოვალეობები და დომენის სახელების კონტროლის გადამოწმების პროტოკოლები.