[Access Control] 使用 Microsoft Graph Powershell 切斷 Microsoft Entra ID 新式驗證

對象

在 Microsoft 365 使用 HENNGE Access Control 進行身分識別同盟 (Federation) 的客戶。

目的

管理員切斷 Microsoft 365（ Microsoft Entra ID ）新式驗證的工作階段 (Session) 後，使用者將會需要重新經過驗證，才能登入 Microsoft 365。
常用於在執行串接後，統一強制讓使用者透過 HENNGE Access Control 重新登入 Microsoft 365的情況。

注意事項

1. 本文基於2024年 4 月時點的 Microsoft 產品內容撰寫，未來可能會因更新或規格變更而不經預告地進行更改。

2. 此步驟使用 onmicrosoft.com 網域的使用者進行操作。

3. 如有需要，建議提前通知使用者。

詳細步驟説明

事前確認事項

1. 需要在 PowerShell 中安裝 Microsoft Graph PowerShell SDK 模組。請確保以下步驟已經完成。

安裝 Microsoft Graph PowerShell SDK

1. 連接 Microsoft Graph 

使用 Windows PowerShell 管理者權限執行下列指令。

Connect-MgGraph -Scopes "Domain.ReadWrite.All","Directory.AccessAsUser.All" -ErrorAction Stop

出現登入提示時，請使用具有 [全網域管理者] 權限的 Microsoft 365 帳號登入。

2. 切斷個別使用者的新式驗證 Session

為了切斷個別使用者的新式驗證 Session，請執行下列指令。
※ 執行指令後，需花費一段時間待系統反應。

Revoke-MgUserSignInSession -UserId "使用者名稱"

執行範例 : 

使用者為 "user@example.com" 的情況，指令範例如下。

Revoke-MgUserSignInSession -UserId user@example.com

3. 切斷域內全部所有使用者的新式驗證 Session

為了切斷域內所有使用者的新式驗證 Session，請執行以下命令。
※ 執行指令後，需花費一段時間待系統反應。

foreach($user in Get-mguser -ALL | where { ($_.userprincipalname-like"*@域名")} ){Revoke-MgUserSignInSession -UserId $user.id}foreach($user in Get-mguser -ALL | where { ($_.userprincipalname-like"*@域名")} ){Revoke-MgUserSignInSession -UserId $user.id} 

執行範例 : 

如果目標域是 "example.com"，則命令如下：

foreach($user in Get-mguser -ALL | where { ($_.userprincipalname-like"*@example.com")} ){Revoke-MgUserSignInSession -UserId $user.id} 

4. 切斷租戶內全部所有使用者的新式驗證 Session

為了切斷租戶內所有使用者的新式驗證 Session，請執行以下命令。

※ 執行指令後，需花費一段時間待系統反應。

foreach($user in Get-MgUser -ALL){Revoke-MgUserSignInSession -UserId $user.id}

5.切斷 Microsoft Graph 的連線

執行下方指令將和 Microsoft Graph 的連線切斷。

Disconnect-MgGraph

※使用 [Connect-MgGraph] 指令時，下次啟動時將不需要再要求登入，前次驗證過的資格證將被保留。

為確保完全斷開登入，請務必執行 [Disconnect-MgGraph] 命令。