Kan man ha Microsoft authenticator på ett konto som används av flera olika personer?

Hello Annika Lysell,

Tekniskt sett kan du ja konfigurera Microsoft Authenticator för ett enda konto på flera enheter, men funktionaliteten beror helt på vilken autentiseringsmetod du väljer. Om du förlitar dig på tidsbaserade engångslösenord (TOTP), de sexsiffriga rullande koderna, kan du uppnå detta genom att låta alla användare skanna samma QR-kod vid exakt samma startpunkt. När du konfigurerar Multi-Factor Authentication (MFA) för kontot genererar systemet en delad hemlig nyckel som representeras av den QR-koden. Om flera användare skannar in den specifika bilden i sina respektive autentiseringsappar innan du slutför installationsguiden, kommer varje enhet att lagra samma seed och generera identiska koder synkront. Detta gör att vilken användare som helst kan logga in med koden som genereras på deras egen enhet.

Men om du försöker använda pushnotifikationsfunktionen "Godkänn inloggning" (lösenordslös eller standard Push MFA) blir denna uppsättning betydligt mer instabil och stöds inte för samtidig användning med flera användare. Pushnotiser bygger på specifik enhetsregistrering med Azure Active Directory (Entra ID). Även om du kan registrera upp till 5 enheter för Microsoft Authenticator på en och samma identitet, går pushnotiserna ofta automatiskt till den senast tillagda enheten eller sändningarna på ett sätt som skapar race-situationer där en användare triggar en inloggning och en annan användare omedvetet godkänner eller nekar den. Dessutom kommer frekventa platsändringar och samtidiga åtkomstförsök från olika IP-adresser sannolikt att utlösa riskpolicyer för identitetsskydd, vilket gör att kontot blockeras eller kräver frekventa lösenordsåterställningar.

Ur ett systemingenjörs- och säkerhetsarkitekturperspektiv är det ett kritiskt anti-mönster att dela en enda behörighetsuppsättning mellan flera mänskliga användare som bryter mot principen om icke-förnekelse. Du förlorar möjligheten att granska vem som specifikt har fått tillgång till kontot eller utfört en specifik åtgärd, vilket är ett efterlevnadsbrott i nästan alla regelverk (GDPR, ISO 27001, SOC2). Om detta är ett e-postkrav är den korrekta tekniska lösningen att använda en delad brevlåda (som inte kräver någon licens och inte har direktinloggning) och ge "Full åtkomst" och "Skicka som"-behörigheter till de individuella licensierade användarkontona. Om detta gäller för att komma åt en specifik applikation bör du använda Azure AD Group-tilldelning eller Entra ID B2B-samarbetsfunktioner för att ge tillgång till individuella identiteter istället för att dela en enda nyckel.

Jag hoppas att du har hittat något användbart här. Om det hjälper dig att få mer insikt i problemet uppskattas det att acceptera svaret. Om du har fler frågor, lämna gärna ett meddelande. Ha en trevlig dag!

VP