昨天我們透過 PIM 的 JIT 限時魔法，成功守住了 IT 騎士團最高權限帳號的安全。但是，如果我們的騎士每天都忙著處理村民最基本的操作問題，哪還有時間去前線抵禦暗黑勢力？
在所有的 IT 任務看板（工單）裡，能永遠霸佔排行榜第一名的，絕對是這句話：「IT 大哥，我連假打怪回來忘記密碼了，可以幫我重設嗎？」
為了解放 IT 騎士團的雙手，同時大幅提升公會整體的安全性，今天我們要來啟用微軟 Entra ID 裡極度實用的功能：自助密碼重設 (Self-Service Password Reset，簡稱 SSPR)。

• 為什麼IT人工重設密碼很危險？
  很多村民以為打電話找 IT 騎士團幫忙重設密碼很方便，但在資安防禦的視角裡，這其實是個巨大的漏洞，現代的攻擊者非常善用「社交工程 (Social Engineering)」或者「語音釣魚 (Vishing)」。
  想像一下這個情境：暗影神偷可以輕易地在 冒險者公會佈告欄（LinkedIn）上查到你們公會高階主管（例如騎士團會長或副會長）的名字。然後，假冒主管打電話給 IT 騎士團前線：「我是副會長，我現在在海外遠征，急著看公會的機密財報，但我忘記密碼了！我現在立刻就要，馬上幫我重設然後唸給我聽！」
  如果接電話的 IT 騎士經驗不足，或者扛不住「高階主管」施加的權威壓力，乖乖把密碼交了出去……那麼暗影神偷連系統防火牆都不用駭，就直接拿到了最高機密！這就是社交工程可怕的地方，他們不攻擊系統漏洞，他們直接攻擊「人性的弱點」。
• SSPR 的零信任魔法：讓證據說話，而不是看面子
  一但啟用了 SSPR，當村民忘記密碼時，他不再需要打電話求救，而是必須自己透過系統，利用他原本就綁定好的防禦法寶——例如手機簡訊驗證碼、備用信箱，或是 Authenticator App——來「證明你真的是你本人」。
  這種基於 零信任 (Zero Trust) 核心精神的多因素驗證機制，不看頭銜、不吃人情壓力，完全只認系統核發的憑證，這不僅能防禦暗影神偷的幻術欺騙，比電話裡那種容易被偽裝的「人工確認」可靠上幾百倍，還能讓 IT 騎士團把精力專注在更有價值的資安防禦上！

實作

1. 啟用自助式密碼重設
   • 無：預設
   • 選取的：只有特定群組可以使用
   • 全部：全公會都可以使用

這邊範例使用選取前幾天創建的群組SEC_IT_Department做示範。


2. 設定驗證方法

• 重設所需的方法數目，通常為1。
  • 2：員工得同時收到信又收簡訊
    
• 使用者可用的方法
  • 建議Microsoft Authenticator、簡訊、電子郵件 OTP
    

3. 強制註冊

• 建議務必選「是」，避免員工懶惰，有時候不強迫，部分人絕對不會去填寫相關資訊，開啟這個功能後，員工下次登入信箱，系統會強制要求他把資訊填好。
  

• 設定完成後，當村民在登入畫面輸入完帳號，看著密碼欄位卻腦袋一片空白——簡直就像打怪時中了「遺忘魔法」或「混亂狀態」一樣——他再也不用驚慌失措地打電話去煩 IT 騎士團。
  他只需要優雅地點擊下方的「忘記密碼？ (Forgot my password)」，系統就會自動引導他進行身分查驗，無論是接收手機簡訊的驗證碼，還是查看 Authenticator App 的推播確認，只要這道基於零信任的驗證手續通過，他就能立刻解除鎖定，自己敲入全新的密碼。