Azure Error AADSTS50079: The user is required to use multi-factor authentication

พอลองทำ LAB เกี่ยวกับ M365 / Entra Id ตอน Run Command สำหรับ Force Sync

Get-ADSyncScheduler

จะเจอ Error ตามนี้ครับ

Get-ADSyncScheduler : System.InvalidOperationException: There was an issue obtaining cloud sync intervals --->
Microsoft.Identity.Client.MsalUiRequiredException: AADSTS50079: Due to a configuration change made by your
administrator, or because you moved to a new location, you must enroll in multi-factor authentication to access
'00000002-0000-0000-c000-000000000000'. Trace ID: 363cad9a-90a3-42f0-9fdb-efdc9d1e6a00 Correlation ID:
3088943f-d66e-4962-ac86-c5d42eac4590 Timestamp: 2024-12-23 05:42:42Z
   at Microsoft.Online.Deployment.Client.Framework.MSALAuthenticationProvider.AuthenticateMSAL(AzureService
azureService, String userName, SecureString password, Boolean useCachedToken, String& accessToken, String& errorCode,
String& additionalDetails, Boolean throwOnException, Boolean throwExceptionOnMFAError)
   at Microsoft.Online.Deployment.Client.Framework.MSALAuthenticationProvider.AcquireServiceToken(

ที่นี้ผมเลยต้องลองตรวจดู Entra Connect Health จะพบว่า เจอ Warning

จากนั้นลองแวะมาเครื่องที่ Run ตัว Azure AD Connect / Microsoft Entra Connect โดยการไปที่ตัว Synchronization Service พบว่าช่วง 11:33 มี log ทำงาน แต่หลังจากน้้นหายไปเลย

หรือ ถ้ามี Activity อื่นๆ เช่น มีการลองเปลี่ยน Password จาก On-Premises อาจจะเจอ The server encountered an unexpected error while processing a password change notification ได้

นอกจากการตรวจสอบ Exception แล้ว ถ้าใช้ windows ที On-Premises เรายังสามารถตรวจสอบจากตัว Event Viewer ได้ครับ โดยจะมีตัว

• Event Id 906 - Directory Synchronization (MFA Accidently Enabled)
• Event Id 6900 - The ADSync service is not allowed to interact with the desktop to authenticate .. มันไม่มีปุ่มให้กดนะ)

และมีลองถาม Copilot เพิ่มว่าอะไรที่มันตอบมาตามนี้ครับ

Solution

- หาก่อน Entra Connect Sync มันใช้ Identity ตัวไหนในการทำงาน

การที่จะแก้ไขได้ เราต้องรู้ก่อน ว่า Entra Connect Sync มันใช้ Identity ตัวไหนในการทำงาน โดยดูจากเปิดโปรแกรม Synchronization Service และเข้าตามรูป

พอเข้ามาที่ properties จะเอา Identity ที่ใช้ Sync ครับ

- Exclude Identity จากตัว Entra Id

จริงแล้ว ตอนที่เราเปิดใช้งาน Condition Access

• ตัว Entra Id มันให้ Policy Default มา 3-4 ตัวตามรูปครับ (Microsoft-managed Policy)

• เข้าไปที่ Multifactor Authentication for all-users ลองดู Exclude Identities ยังไม่มีนะ

• กด Edit แล้วเพิ่ม Identities ที่ใช้ในตัว Entra Connect Sync

• จากนั้นกด Select + Save ที่แก้ไขครับ รอสักพัก 10-15 นาทีรอมัน Apply

แล้วกลับไปดูผลที่เครื่อง Entra Connect Sync จากนั้นลอง Run Command PowerShell อีกรอบครับ สำเร็จครับ

งานที่ติดปัญหาไว้ Client Join เข้ามาแล้ว

และก็ทำได้ทั้งขา M365 / Azure เลยนะ จริงๆ M365 มันก็ Redirect ไปเปิดหน้า Azure ครับ

สำหรับขา App อื่นๆ ต้องตกลงกันก่อนว่าจะให้ user MFA หรือ ถ้าเป็น user ของ system อาจจะเลือกทางนี้ก็ได้ แต่มีความเสี่ยง Security

Reference

• Azure AD – Don’t forget to exclude the directory synchronization accounts from conditional access - cubesys
• Azure AD Connect (ADSync) Event 6900 | Chris's Blog — It's called thinking... go with it!
• c# - Login to Azure Web Application fails with 'AADSTS50079: The user is required to use multi-factor authentication' - Stack Overflow