Użytkownik nie może skonfigurować MFA

Niemożność skonfigurowania MFA przez użytkownika oznacza brak dostępu do wymaganej metody weryfikacji (aplikacja uwierzytelniająca, telefon zarejestrowany w organizacji) lub politykę blokującą samodzielną rejestrację.

Użytkownik nie może skonfigurować MFA – co oznacza ten problem

Komunikat „Użytkownik nie może skonfigurować MFA” oznacza, że nie da się ukończyć rejestracji wieloskładnikowego uwierzytelniania, czyli mechanizmu wymagającego dodatkowego potwierdzenia tożsamości poza samym hasłem. Do takiego potwierdzenia może służyć aplikacja uwierzytelniająca, kod wysyłany wiadomością SMS, połączenie telefoniczne, klucz bezpieczeństwa albo inna metoda dopuszczona przez administratora. Problem pojawia się wtedy, gdy proces dodawania metody zostaje zablokowany, nie wyświetla kodu QR, odrzuca kod jednorazowy lub kończy się komunikatem o braku uprawnień.

Nie oznacza to automatycznie, że konto jest uszkodzone. Przyczyną może być niepełna rejestracja, nieaktualny numer telefonu, brak dostępu do aplikacji uwierzytelniającej, niewłaściwa data i godzina na urządzeniu albo reguła bezpieczeństwa wymagająca zatwierdzenia przez administratora. Czasem problem dotyczy wyłącznie konkretnej przeglądarki, profilu użytkownika lub urządzenia, a sama usługa logowania działa prawidłowo.

MFA ma ograniczać ryzyko przejęcia konta po wycieku hasła. Z tego powodu rejestracja dodatkowej metody bywa celowo obwarowana ograniczeniami. Zablokowanie samodzielnego dodawania urządzeń, wymóg użycia określonej aplikacji, konieczność pozostawania w zaufanej sieci albo obowiązek uzyskania zatwierdzenia może być zamierzonym elementem konfiguracji bezpieczeństwa.

Jak działa konfiguracja MFA i gdzie może wystąpić różnica

Typowy proces rozpoczyna się od zalogowania do panelu konta, przejścia do ustawień zabezpieczeń i wybrania opcji dodania metody uwierzytelniania. Przy aplikacji mobilnej wyświetlany jest zwykle kod QR lub klucz tekstowy. Aplikacja generuje następnie zmienne kody, a jeden z nich trzeba wpisać w formularzu rejestracyjnym. Po pomyślnej weryfikacji metoda zostaje przypisana do konta. W przypadku wiadomości SMS lub połączenia telefonicznego kod trafia na wcześniej wskazany numer.

Różne sposoby MFA nie są równoważne pod względem wygody i odporności na nadużycia. Kod z aplikacji może działać bez zasięgu sieci komórkowej, ale wymaga prawidłowej synchronizacji czasu. Wiadomość SMS jest łatwa do użycia, lecz zależy od dostępności telefonu i sieci. Klucz sprzętowy może zapewniać wysoki poziom ochrony, jednak musi być zgodny z obsługiwanym standardem i dostępny podczas logowania. Wybór metody może być ograniczony ustawieniami konta.

Warto odróżnić błąd konfiguracji MFA od problemu z późniejszym logowaniem. Jeżeli nie da się dodać metody, należy sprawdzić uprawnienia i przebieg rejestracji. Jeżeli metoda została dodana, lecz kod jest odrzucany, większe znaczenie mogą mieć: błędna godzina systemowa, użycie kodu po upływie jego ważności, pomylenie kont w aplikacji albo próba wpisania kodu odzyskiwania w polu przeznaczonym dla kodu jednorazowego.

Na komputerze stacjonarnym i laptopie proces może wyglądać podobnie, lecz różne będą źródła problemu. Laptop może korzystać z połączenia Wi-Fi, przeglądarki z zapisanym profilem i aplikacji mobilnej, natomiast komputer stacjonarny może mieć ograniczony dostęp do urządzeń bezprzewodowych, telefonu lub kamery potrzebnej do zeskanowania kodu. Nie należy jednak zakładać, że brak kamery uniemożliwia konfigurację, ponieważ kod można w wielu przypadkach przepisać ręcznie.

Typowe problemy, błędy i sposoby wstępnej weryfikacji - Użytkownik nie może skonfigurować MFA

Jednym z częstszych powodów jest nieprawidłowo ustawiona data, godzina lub strefa czasowa. Aplikacje generujące kody czasowe opierają się na synchronizacji z zegarem urządzenia. Nawet niewielka rozbieżność może spowodować odrzucanie kolejnych kodów. Należy włączyć automatyczne ustawianie czasu, sprawdzić strefę czasową i ponownie uruchomić aplikację, zanim zostanie rozpoczęta kolejna próba.

Inny problem stanowi wcześniejsze przypisanie urządzenia do tego samego konta. Ponowne skanowanie kodu QR może utworzyć kilka wpisów o podobnych nazwach, przez co wybierany jest kod pochodzący z nieaktualnej rejestracji. Pomocne bywa usunięcie nieużywanych wpisów z aplikacji, rozpoczęcie rejestracji od początku oraz nadanie nowemu wpisowi czytelnej nazwy wskazującej konto lub usługę.

Konfiguracja może zostać zablokowana przez brak wymaganych uprawnień. W takim przypadku formularz może być widoczny, ale przycisk zatwierdzenia pozostanie nieaktywny albo pojawi się komunikat o konieczności kontaktu z administratorem. Samodzielne obchodzenie takiej blokady nie jest właściwym rozwiązaniem. Należy ustalić, czy konto ma otrzymać zgodę na rejestrację, czy też trzeba zastosować wskazaną metodę i procedurę.

Problemy powodują również rozszerzenia przeglądarki, blokowanie skryptów, uszkodzone pliki cookie i nieaktualny profil przeglądarkowy. Wstępnie można otworzyć stronę w trybie prywatnym, użyć innej aktualnej przeglądarki, wyłączyć dodatki związane z blokowaniem treści oraz wyczyścić dane witryny dotyczące panelu logowania. Jeżeli w trybie prywatnym pojawia się ten sam komunikat, bardziej prawdopodobna staje się przyczyna związana z kontem lub polityką dostępu.

Do błędów należą także: brak odebrania wiadomości SMS, wpisywanie nieaktualnego kodu, pomijanie pola wymagającego potwierdzenia, użycie numeru telefonu niedopuszczonego dla danego konta oraz utrata dostępu do wcześniej zarejestrowanej aplikacji. Warto zachować kody odzyskiwania w bezpiecznym miejscu, ale nie należy przesyłać ich osobom postronnym ani publikować na zrzutach ekranu.

Przed usunięciem konfiguracji MFA należy upewnić się, że istnieje alternatywna metoda logowania. Skasowanie jedynego działającego urządzenia może doprowadzić do zablokowania dostępu. Jeżeli konto jest używane na kilku urządzeniach, trzeba sprawdzić, czy problem występuje wszędzie, czy tylko na jednym komputerze. Takie porównanie pomaga oddzielić awarię lokalną od problemu dotyczącego samego konta.

Kiedy warto poprosić o ocenę stanu sprzętu - Użytkownik nie może skonfigurować MFA

Zgłoszenie do serwisu jest uzasadnione, gdy nie można ustalić, czy błąd wynika z komputera, przeglądarki, aplikacji mobilnej czy ustawień konta. Szczególnej uwagi wymaga sytuacja, w której inne strony działają prawidłowo, ale panel zabezpieczeń stale odrzuca poprawne dane, nie pozwala wyświetlić kodu QR albo przerywa proces po wybraniu metody uwierzytelniania. Wtedy potrzebne może być sprawdzenie systemu, połączenia sieciowego, certyfikatów, ustawień czasu oraz zachowania przeglądarki.

Pomoc techniczna może obejmować uporządkowanie profilu przeglądarki, sprawdzenie aktualizacji, weryfikację synchronizacji zegara, kontrolę aplikacji zabezpieczających i przygotowanie urządzenia do ponownej rejestracji. Jeżeli komunikat wskazuje na brak uprawnień po stronie konta, należy jasno rozdzielić czynności wykonywane na komputerze od czynności, które może wykonać wyłącznie administrator usługi. Serwis może pomóc ustalić źródło problemu, lecz nie powinien otrzymywać hasła, kodów jednorazowych ani kodów odzyskiwania.

W Warszawie zgłoszenia dotyczące problemów z laptopami i komputerami PC można przekazać do Warszawskiego Pogotowia Komputerowego 24/7 pod numerem +48 22 100 48 29. Przy kontakcie warto opisać dokładną treść komunikatu, wskazać moment zatrzymania konfiguracji i podać, czy używana jest aplikacja z kodami, wiadomości SMS czy klucz bezpieczeństwa. Nie należy przekazywać w opisie poufnych kodów dostępu.

Przed wizytą dobrze przygotować podstawowe informacje: nazwę używanej przeglądarki, rodzaj urządzenia, sposób połączenia z internetem, datę pojawienia się problemu oraz informację, czy logowanie na innym urządzeniu przebiega poprawnie. Pomocne może być także wykonanie zrzutu ekranu samego komunikatu, po wcześniejszym ukryciu adresu poczty, numeru telefonu, kodu QR i innych danych wrażliwych. Tak przygotowane zgłoszenie ułatwia odróżnienie usterki technicznej od ograniczenia ustawionego dla konta.

Jeżeli problem występuje tylko na laptopie, przed rozpoczęciem naprawy sprzętowej można skorzystać z opcji „darmowa diagnoza LAPTOPA”. Pozwala to sprawdzić, czy przyczyną jest konfiguracja systemu, przeglądarka lub sposób komunikacji z usługą, a nie sama metoda uwierzytelniania.