# 如何正確地替 Azure Active Directory 使用者啟用多因素驗證 (MFA) 我們上周有同事帳號被駭客入侵，在 30 分鐘內被建立了上百台虛擬機器(VM)，還好他有設定消費限制，所以他的訂用帳戶(Subscription)一下子就被停用了，然而我到了隔天深夜才收到訂用帳戶停用的通知，如果沒設定消費限制的話，那真的就慘了！同事覺得納悶的點是，他明明有設定**多因素驗證** (MFA) (Multi-Factor Authentication) 驗證方法(Authentication methods)，怎麼駭客還可以從**烏茲別克**(Uzbekistan)用他的帳號密碼登入 Azure Portal 呢？這篇文章我就來說說我這兩天對 Microsoft 365 / Azure AD 在 MFA 的研究心得，超重要！🔥 ![MFA](https://stwillblogassets.blob.core.windows.net/files/images/external/user-images.githubusercontent.com/108e0780f32313dd2fcc-209612353-e875c9a6-57d1-45ef-9ea7-f1193065e5ef.png) 這篇文章我會介紹幾個跟 MFA 相關的幾個重要網站： 1. [Azure Active Directory admin center](https://aad.portal.azure.com/) ([aad.portal.azure.com](https://aad.portal.azure.com)) 主要給 **Azure AD 管理者**使用的介面，管理者必須從這裡啟用使用者的 MFA 設定，否則使用者無法使用 MFA 進行驗證。 2. [My Account](https://myaccount.microsoft.com/) ([myaccount.microsoft.com](https://myaccount.microsoft.com)) 主要給 **Azure AD 使用者**使用的介面，可以說是關於「帳號」的入口網站，可以從這裡開啟所有跟帳號相關的設定。 3. [My Sign-Ins](https://mysignins.microsoft.com/) ([mysignins.microsoft.com](https://mysignins.microsoft.com)) 主要給 **Azure AD 使用者**使用的介面，這裡會顯示你最近的帳戶活動記錄(Recent activity)，可以得知從哪個 IP 登入你的帳號。另外也可以讓你設定 [Security info](https://mysignins.microsoft.com/security-info) (安全性資訊)，提供 MFA 必要的驗證方法(Authentication methods)！ 4. [Microsoft Online Password Reset](https://passwordreset.microsoftonline.com/) ([passwordreset.microsoftonline.com](https://passwordreset.microsoftonline.com/)) 主要給 **Azure AD 使用者**使用的介面，這裡可以讓你申請**重置密碼**(Password reset)！ ### 為什麼大家會誤以為已經啟用 MFA 呢？ 老實說，連我自己都認為，公司內的所有人應該都可以隨意啟用 MFA 才對，管理者怎麼會需要做什麼事呢？我錯了！ 這件事要說說 Azure AD 的發展歷史，其實 Azure AD 很早就有提供 MFA 機制，但主要是用在「密碼重置」的功能，讓安全性需求較高的功能透過 MFA 強化安全性。後來應該是在「登入」時也加入了 MFA 機制，但兩個功能可能是由不同組的開發人員設計的，這導致使用者要維護兩份 MFA 驗證方法(Authentication methods)，這樣的設計不但會讓使用者覺得困擾且混淆，而且也有可能設定不一致的情況。近幾年，微軟開始對這個功能進行重整，把兩個不同目的的 MFA 驗證方法合併為一個，也就是「密碼重置」與「登入」會共用一組驗證方法(Authentication methods)，你只要設定一遍 MFA 驗證方法即可！但其實這個歷史故事沒多少人清楚，反正網站叫我要設定 MFA 驗證方法時，輸入就對了！ 雖然新的設計看起來好像不錯，但卻讓人產生了一種錯覺：「設定好 MFA 驗證方法之後，就等於啟用了 MFA 了對吧？」我同事就是這樣想的，而我自己也是這樣想的，大家覺得呢？ 我以前就會懷疑，為什麼我都看不到啟用 MFA 的選項？應該是設定了 MFA 就會啟用吧？不去特別研究背後的原理，真的太容易被誤會了！🔥 > 我之前就常說 Azure Active Directory 是宇宙最複雜的 Identity Management 解決方案，功能繁多又強大，大到不會用真的就是常態！😅 ### 正確的啟用多因素驗證 (MFA) 原來根據不同的目的性，需要使用 MFA 的情境也有所不同： 1. **密碼重置** Azure AD 管理者可以在 [Azure Active Directory admin center](https://aad.portal.azure.com/) 設定使用者是否可以自己重置密碼，如果該功能啟用的話，意味著這些人都必須先設定好 MFA 驗證方法，才能自行重置密碼！ 以下是啟用的方法： ![Password reset | Properties](https://stwillblogassets.blob.core.windows.net/files/images/external/user-images.githubusercontent.com/aa96783ed60fa636d4ed-209540892-63d24d7d-7acf-4cd9-975c-8ca36b21f513.png) 在我公司，這個 **Password reset** 功能是對全員啟用的，所以大家如果有重置密碼的需求，就會被提示要設定輸入 MFA 驗證方法資訊！ 然而，你可以在 `Password reset | Authentication methods` 設定要給密碼重置用的 MFA 驗證方法有哪些，還可以設定至少要答對幾個才能重設密碼！ ![Password reset | Authentication methods](https://stwillblogassets.blob.core.windows.net/files/images/external/user-images.githubusercontent.com/56e37d10aeb9ca5a156a-209568564-4572d88f-fd24-4566-bda0-c01c1d6b89e5.png) 2. **登入** Azure AD 管理者可以在 [Azure Active Directory admin center](https://aad.portal.azure.com/) 透過 `Per-user MFA` 功能幫使用者設定是否該啟用 MFA 功能： ![Azure Active Directory admin center > Per-user MFA](https://stwillblogassets.blob.core.windows.net/files/images/external/user-images.githubusercontent.com/61613d471928cea6aca8-209541358-59cf0ce9-1f9f-4a3e-8ad0-9d32b1d72595.png) 設定時有三種選項，分別是 `Disabled`、`Enabled`、`Enforced`： ![multi-factor authentication](https://stwillblogassets.blob.core.windows.net/files/images/external/user-images.githubusercontent.com/f5c64029ff5ef84d4e51-209541726-317c01a6-19e6-4498-9bfa-8a5a07d9373f.png) 如果你要讓使用者強制用 MFA 登入，就要把使用者設定為 `Enabled` 或 `Enforced` 才會在「登入」時啟用 MFA 機制！ > 注意: 當你設定 `Enabled` 之後，使用者要在 14 天內設定好 MFA 驗證方法資訊，否則就無法登入了！另外，如果你先前就已經設定好 MFA 驗證方法資訊的話，啟用的當下就會立刻生效，而且現有的帳號都會立刻被登出，必須進行一次 MFA 驗證才能登入。其中包含先前設定好的 Power Automate 連線，也都需要重新驗證過才能執行。 所以無論是在「密碼重置」或「登入」時啟用 MFA，整件事原來都是「管理者」的工作，跟「使用者」無關，使用者無法自行啟用此功能！ ### 啟用 MFA 之後「使用者」可以做什麼事 當「管理者」啟用「密碼重置」或「登入」的 MFA 要求後，使用者第一件要做的事情，當然就是去[設定自己的 MFA 驗證方法](https://mysignins.microsoft.com/security-info)！ 短網址：[https://aka.ms/MFASetup](https://aka.ms/MFASetup) 請設定至少兩個驗證方法，以免帳號無法登入，且建議使用 `Microsoft Authenticator` 設定為**預設登入方法**(Default sign-in method)。 ![Security info](https://stwillblogassets.blob.core.windows.net/files/images/external/user-images.githubusercontent.com/d009604a385f30f8d1a8-209543763-3c93096b-77d5-481a-97e4-4f6780d79731.png) 如果你**忘記密碼**的話，就可以到 [Microsoft Online Password Reset](https://passwordreset.microsoftonline.com/) 來重置密碼！ ### 更多 MFA 進階設定 在 [Azure Active Directory admin center](https://aad.portal.azure.com/) 透過 `Per-user MFA` 設定時，可以切換到一個不太顯眼的 `service settings` 頁籤，裡面可以調整 4 個進階的 MFA 設定。 ![service settings > app passwords](https://stwillblogassets.blob.core.windows.net/files/images/external/user-images.githubusercontent.com/5f1e8441840b10d6595f-209550887-5693136e-57e4-442f-a8d6-5dea83745798.png) 以下我做出大致說明： 1. app passwords ([learn more](https://learn.microsoft.com/en-us/entra/identity/authentication/howto-mfa-app-passwords)) 有些早期的**非瀏覽器**的應用程式，像是 Office 2010 之前的版本，或是 Apple Mail 在 iOS 11 之前的版本，這些都不支援 MFA 驗證機制，這會導致你在啟用 MFA 之後，這些應用程式就無法登入了。如此一來，你就有可能需要額外建立所謂的 `app passwords` 來登入這些應用程式。 詳情請見 [Use app passwords](https://learn.microsoft.com/en-us/azure/active-directory/authentication/howto-mfa-app-passwords?WT.mc_id=DT-MVP-4015686) 與 [Create app passwords from the Security info (preview) page](https://support.microsoft.com/en-us/account-billing/create-app-passwords-from-the-security-info-preview-page-d8bc744a-ce3f-4d4d-89c9-eb38ab9d4137?WT.mc_id=DT-MVP-4015686) 文件。 2. trusted ips ([learn more](https://learn.microsoft.com/en-us/entra/identity/authentication/howto-mfa-mfasettings#trusted-ips)) 你可以設定一些來「信任的 IP 來源」來關閉 MFA 要求，例如你人在公司上班，理論上是在一個較為受信任的環境，在這樣的環境下可以有條件的關閉 MFA 要求，簡化登入流程。 ![trusted ips](https://stwillblogassets.blob.core.windows.net/files/images/external/user-images.githubusercontent.com/7b8da961c96d6be7649a-209550792-34c80fe5-1cfe-4c67-b98b-5a88bf5d0e0a.png) 3. verification options ([learn more](https://msdn.microsoft.com/library/azure/dn394289.aspx)) 這裡可以讓你設定有哪些資訊可以當成**驗證方法**： - Call to phone (打電話到手機) - Text message to phone (發簡訊到手機) - Notification through mobile app (透過 Authenticator 驗證) - Verification code from mobile app or hardware token (透過 Authenticator 驗證或硬體權杖) ![verification options](https://stwillblogassets.blob.core.windows.net/files/images/external/user-images.githubusercontent.com/ff9c6b84a1dde8cc6f99-209550820-0345cc09-4c52-4aa2-8119-e401cc38ddc0.png) > 這塊設定屬於 `legacy MFA policy` 部分，從 January 2024 開始就無效了，建議改用 [Azure Active Directory admin center](https://aad.portal.azure.com/) 的 `Password reset | Authentication methods` 與 `Authentication methods | Policies` 的設定為主。 4. remember multi-factor authentication on trusted device ([learn more](https://go.microsoft.com/fwlink/?linkid=2142804)) 勾選這個選項可以讓使用者成功使用 MFA 登入的裝置，在指定天數以內不用再進行 MFA 驗證： ![remember multi-factor authentication on trusted device](https://stwillblogassets.blob.core.windows.net/files/images/external/user-images.githubusercontent.com/861b12dd21e3c8d8f080-209550837-610aa241-61b1-423c-ab4b-374936b3ca47.png) 這個設定啟用後，使用者會在登入時看到以下選項： ![Approve sign in request](https://stwillblogassets.blob.core.windows.net/files/images/external/user-images.githubusercontent.com/1f8b172ec4c928cc176c-209552003-3ac2e662-419b-4cc1-b853-bc2bd77531df.png) 另外，在 [Azure Active Directory admin center](https://aad.portal.azure.com/) 的 `Security` > `Multifactor authentication` 也有好幾項關於 MFA 的設定可以調整。 - Account lockout 如果你是用 Google Authenticator 這種需要輸入 PIN Code 的 Mobile App 進行 MFA 驗證，你就可以在這裡設定鎖定的規則，連續輸入幾次就要封鎖幾分鐘。 ![Multifactor authentication | Block/unblock users](https://stwillblogassets.blob.core.windows.net/files/images/external/user-images.githubusercontent.com/d7d223d693c77b4edb7b-209560277-2bd10e6a-18b3-420c-b826-77e429cefe41.png) > 此設定不適用 [Microsoft Authenticator](https://aka.ms/MicrosoftAuthenticator) 驗證器！ - Block/unblock users 由於我們公司大多數同仁都已經有先設定過 MFA 安全性資訊，如果你先前就已經設定好 MFA 安全性資訊的話，啟用 MFA 的當下就會立刻生效，而且現有的帳號都會立刻被登出。我們有位同事，在我啟用 MFA 的當下，手機就開始跳出驗證通知，他果斷的按下「拒絕」，結果導致他再也無法使用 Mobile App 進行驗證，真的是悲劇！ 😅 老實說我不知道他看到的是什麼訊息，但從下圖的 Reason 看來，應該是使用者自己「封鎖」了他自己的帳號，導致該帳號 90 天內再也無法登入。身為管理者，要知道來這裡查看是否有帳號被封鎖的紀錄，必要時可以按下 `Unblock` 解鎖帳號！👍 ![Multifactor authentication | Block/unblock users](https://stwillblogassets.blob.core.windows.net/files/images/external/user-images.githubusercontent.com/a9be9814124219e5a4b1-209560606-1f583805-eff3-40dc-8f06-9c67a4fa0879.png) 當然，你也可以在這裡新增帳號鎖定，如果有帳號疑似被入侵，就可以手動加入清單！ > Video: [How to block or unblock multi-factor authentication (MFA) for users in your tenant](https://www.youtube.com/watch?v=WdeE1On4S1o&ab_channel=MicrosoftSecurity) - Fraud alert 如果使用者莫名的收到驗證通知，你如果非常確定不是你，那麼你可以在 [Microsoft Authenticator](https://aka.ms/MicrosoftAuthenticator) 回報詐騙通知，而且可以自動設定封鎖帳號。 這裡有個 `Code to report fraud during initial greeting` 設定，是說當你接收到 `Call to phone` 的打電話 MFA 驗證時，要在電話上輸入什麼碼來代表「詐騙」登入，這裡的預設值為 `0`。預設來說，如果是正常的驗證，輸入 `#` 就可以通過 MFA 驗證。如果要回報詐騙登入，就可以輸入 `0#` 就會立刻封鎖帳號，非常方便。 你可以改成 `9` 或其他數字，但請記得到 `Phone call settings` 上傳自定義的語音提示，當然也可以故意說一個假的，這樣當你有人身安全問題時，就可以透過這個方式立刻封鎖帳號。😅 ![Multifactor authentication | Fraud alert](https://stwillblogassets.blob.core.windows.net/files/images/external/user-images.githubusercontent.com/fc21dcd5470756552ac9-209565661-151ff8ca-4f20-4cb3-8bce-2ce01c06d4d7.png) - Notifications 你可以在這裡設定，當使用者發出「詐騙」回報時，要把這份通知寄給誰： ![Multifactor authentication | Notifications](https://stwillblogassets.blob.core.windows.net/files/images/external/user-images.githubusercontent.com/2c477506b3d2271cd2be-209565796-d7159e89-351e-4baa-b0ef-f20f45547af5.png) - OATH tokens Azure AD 支援 OATH TOTP SHA-1 tokens 的驗證方式，他是一種硬體的 OTP 產生器，內建高精度時鐘，他會在 30 ~ 60 秒之間動態產生一個 OTP Code，然後當成 MFA 的驗證方法之一。你可以從受信任的廠商購買這些裝置，並取得 Token 的一些參數設定，並匯入到這邊來即可。 ![Multifactor authentication | OATH tokens](https://stwillblogassets.blob.core.windows.net/files/images/external/user-images.githubusercontent.com/951647f6aeca4ae30409-209566008-b6437f56-6225-4df5-8598-1c88044c2e6b.png) - Phone call settings 當你想要使用 `Call to phone` 這種打電話的 MFA 驗證時，可以在這邊設定 `Greeting` 聲音檔，蠻酷的！😃 ![Multifactor authentication | Phone call settings](https://stwillblogassets.blob.core.windows.net/files/images/external/user-images.githubusercontent.com/ed513c5d9cf3e240302b-209566095-227671a4-4293-4f99-ba47-da0b3670f26c.png) 完整的設定說明請見 [Configure Azure AD Multi-Factor Authentication settings](https://learn.microsoft.com/en-us/azure/active-directory/authentication/howto-mfa-mfasettings?WT.mc_id=DT-MVP-4015686) 說明。 ### 如何檢查帳號登入活動 (從使用者的角度) 如果真的不幸帳號被駭客入侵，「使用者」可以怎樣處理呢？以下幾點建議提供參考： 1. 到 [My Sign-Ins](https://mysignins.microsoft.com/) 網站查詢最近的登入活動紀錄，這裡詳盡的記錄了你自己每次的登入紀錄，包含**所在地點**(Location)、**作業系統**(Operating System)、**瀏覽器**(Browser)、IP、**應用程式**(App)、**登入帳號**(Account)等資訊！ ![My Sign-Ins](https://stwillblogassets.blob.core.windows.net/files/images/external/user-images.githubusercontent.com/27eb52505bf391e028b7-209605801-225269db-f41f-4ddc-9ff9-1dcbf3c93bdf.png) 2. 如果你心裡覺得怪怪的，感覺好像被入侵之類的，立刻到 [My Account](https://myaccount.microsoft.com/) 網站，按下 `Sign out everywhere` 按鈕，將自己所有的**登入工作階段**(Sign-in sessions)登出！ ![My Account > Sign out everywhere](https://stwillblogassets.blob.core.windows.net/files/images/external/user-images.githubusercontent.com/70c2f9da2caa3bea2ff2-209562129-c7740a9e-8e0f-4f2d-8efb-6165a9b1dfb5.png) 3. 到 [My Account](https://myaccount.microsoft.com/) 查看 [Devices](https://myaccount.microsoft.com/device-list) (裝置清單)，只要是你未曾看過的設備，都可以從這裡停用裝置。 ![My Account > Devices](https://stwillblogassets.blob.core.windows.net/files/images/external/user-images.githubusercontent.com/475c73cf2e3af041a267-209605442-aa874c68-6f76-4cf7-8218-b675b91b4d87.png) > 注意: 裝置停用之後，只有「管理者」可以協助重新啟用。 ### 如何檢查帳號登入活動 (從管理者的角度) 如果真的不幸帳號被駭客入侵，「管理者」可以怎樣處理呢？基本上你都可以從 [Azure Active Directory admin center](https://aad.portal.azure.com/) 找出以下功能： 1. 第一層選單的 `Sign-in logs` 可以查詢**整個組織**(Tenant)**最近一個月**的**登入紀錄**，可以下載 CSV 檔案，方便用 Excel 進行分析。 ![Sign-in logs](https://stwillblogassets.blob.core.windows.net/files/images/external/user-images.githubusercontent.com/fb0df9e201d1319f72f7-209566728-e9e4d749-aa0f-49d2-9660-b0c778526e7a.png) 2. 在 `Sign-in logs` 的 `Export Data Settings` 功能，可以設定將這些**登入紀錄**傳送到 Azure Log Analytics workspace、Storage account、Event Hub 或其他[第三方的服務](https://learn.microsoft.com/en-us/azure/partner-solutions/overview?WT.mc_id=DT-MVP-4015686)，若搭配 Azure Functions 就可以做到自動告警機制！ ![Diagnostic setting](https://stwillblogassets.blob.core.windows.net/files/images/external/user-images.githubusercontent.com/184fafcdcd282eea2fdb-209566835-439128bc-0a32-47f7-ba4c-eed32fdf5570.png) 3. 第一層選單的 `Security` 可以查詢**整個組織**(Tenant)最近**高風險**的**使用者**與**登入紀錄**有哪些，我覺得非常具有參考價值！我們這次被駭客入侵的帳號，兩次的登入紀錄都有出現在這裡！ ![Security | Risky users](https://stwillblogassets.blob.core.windows.net/files/images/external/user-images.githubusercontent.com/8cbb5cdbcfa1f7489738-209567075-f622c1ee-c162-4500-8dbd-be34f0b6ca91.png) 4. 第一層選單的 `Devices` 可以查詢**整個組織**(Tenant)所有的裝置清單，你可以透過 Activity 欄位，得知這些裝置最後一次的活動時間，有些太久沒登入的裝置就可以刪除掉！ ![All devices](https://stwillblogassets.blob.core.windows.net/files/images/external/user-images.githubusercontent.com/e5e0950c9b9ae47db484-209609996-ca50dcdc-a064-461b-8e51-26d2cc59632a.png) ### 相關連結 - Self-service password reset - [How it works: Azure AD self-service password reset](https://learn.microsoft.com/en-us/azure/active-directory/authentication/concept-sspr-howitworks?WT.mc_id=DT-MVP-4015686) - [How does self-service password reset writeback work in Azure Active Directory?](https://learn.microsoft.com/en-us/azure/active-directory/authentication/concept-sspr-writeback?WT.mc_id=DT-MVP-4015686) - [Password policies and account restrictions in Azure Active Directory](https://learn.microsoft.com/en-us/azure/active-directory/authentication/concept-sspr-policy?WT.mc_id=DT-MVP-4015686#administrator-password-policy-differences) - [Licensing requirements for Azure Active Directory self-service password reset](https://learn.microsoft.com/en-us/azure/active-directory/authentication/concept-sspr-licensing?WT.mc_id=DT-MVP-4015686) - Multi-Factor Authentication - [How it works: Azure AD Multi-Factor Authentication](https://learn.microsoft.com/en-us/azure/active-directory/authentication/concept-mfa-howitworks?WT.mc_id=DT-MVP-4015686) - [Protecting authentication methods in Azure Active Directory](https://learn.microsoft.com/en-us/azure/active-directory/authentication/concept-authentication-default-enablement?WT.mc_id=DT-MVP-4015686) - [Optimize reauthentication prompts and understand session lifetime for Azure AD Multi-Factor Authentication](https://learn.microsoft.com/en-us/azure/active-directory/authentication/concepts-azure-multi-factor-authentication-prompts-session-lifetime?WT.mc_id=DT-MVP-4015686) - [Data residency and customer data for Azure AD multifactor authentication](https://learn.microsoft.com/en-us/azure/active-directory/authentication/concept-mfa-data-residency?WT.mc_id=DT-MVP-4015686) - [Features and licenses for Azure AD Multi-Factor Authentication](https://learn.microsoft.com/en-us/azure/active-directory/authentication/concept-mfa-licensing?WT.mc_id=DT-MVP-4015686) - [Set up multifactor authentication for Microsoft 365](https://learn.microsoft.com/en-us/microsoft-365/admin/security-and-compliance/set-up-multi-factor-authentication?view=o365-worldwide&WT.mc_id=DT-MVP-4015686) - [Frequently asked questions about Azure AD Multi-Factor Authentication](https://learn.microsoft.com/en-us/azure/active-directory/authentication/multi-factor-authentication-faq?WT.mc_id=DT-MVP-4015686) - [How to enable and disable operator assistance](https://learn.microsoft.com/en-us/azure/active-directory/authentication/concept-authentication-operator-assistance?WT.mc_id=DT-MVP-4015686) - Azure AD Multi-Factor Authentication - [Plan an Azure Active Directory Multi-Factor Authentication deployment](https://learn.microsoft.com/en-us/azure/active-directory/authentication/howto-mfa-getstarted?WT.mc_id=DT-MVP-4015686) - [Configure Azure AD Multi-Factor Authentication settings](https://learn.microsoft.com/en-us/azure/active-directory/authentication/howto-mfa-mfasettings?WT.mc_id=DT-MVP-4015686) - [Manage user authentication methods for Azure AD Multi-Factor Authentication](https://learn.microsoft.com/en-us/azure/active-directory/authentication/howto-mfa-userdevicesettings?WT.mc_id=DT-MVP-4015686) - [Find and address gaps in strong authentication coverage for your administrators](https://learn.microsoft.com/en-us/azure/active-directory/authentication/how-to-authentication-find-coverage-gaps?WT.mc_id=DT-MVP-4015686) - [Enable per-user Azure AD Multi-Factor Authentication to secure sign-in events](https://learn.microsoft.com/en-us/azure/active-directory/authentication/howto-mfa-userstates?WT.mc_id=DT-MVP-4015686) - [When to use an Azure AD Multi-Factor Authentication provider](https://learn.microsoft.com/en-us/azure/active-directory/authentication/concept-mfa-authprovider?WT.mc_id=DT-MVP-4015686) - [Enforce Azure AD Multi-Factor Authentication with legacy applications using app passwords](https://learn.microsoft.com/en-us/azure/active-directory/authentication/howto-mfa-app-passwords?WT.mc_id=DT-MVP-4015686) - [How to migrate MFA and SSPR policy settings to the Authentication methods policy for Azure AD (preview)](https://learn.microsoft.com/en-us/azure/active-directory/authentication/how-to-authentication-methods-manage?WT.mc_id=DT-MVP-4015686)