关于A1/A1P的一点经验
浏览 10086 | 评论 27 | 字数 4542
卖女孩的小火柴 - 搬砖中
2021年03月22日
最近也算是手工薅了不少A1/A1P，虽然和脚本大佬比不起来，但也算是略有经验。
更新
经日下部詩指正，勘误帖，更新修改和补充，特此感谢!
同时也欢迎各位大佬斧正！
A1/A1P介绍
A1和A1P都是微软给学校下发的教育Office 365许可，最大的区别是A1不带有A1P的桌面Office客户端，但每个号都带有5T的OneDrive。
教育Tag
这是微软给有资格享受教育优惠的全局下发的Tag，这个Tag可以用来购买150w的A1许可，也就是无限A1，也可以用来偷渡许可。但问题来了，微软怎么知道能不能享受教育优惠？
教育全局
指的是不通过域名的方式，向微软人工客服提交学校等等的资料，达到拥有教育Tag的目的，可以不绑定域名即只有onmicrosoft域，看过一些大佬在卖。
教育域名
也就是所谓的白名单域名，非edu的白名单域名主要是在先前很多国家没有专属的教育域名后缀(如edu.cn这种)，学校不得不自行注册域名(如com org)，并通过微软审核进入白名单。这里的白名单详细来讲分三种：
- 白名单A1P域名，分全域(*.test.com)和主域(仅test.com)，符合要求即可偷渡A1P许可
- 白名单A1域名，同上
- 各国的官方edu教育域名，有传闻是微软为了加快审核，给不少国家的教育域名开了绿灯，绑定上去就认可你是合法的学校，有资格购买或偷渡A1，这种域名即使解绑也不会丢失教育资格，不过显然是不好搞
引用勘誤1
目前已知的A1白域名: .edu、.edu.cn、.edu.tw、.edu.mn、.ac.jp、.edu.ph、.edu.in、.edu.pk、.edu.kz、.edu.af、.edu.sa、.edu.bh、.edu.qa、.ac.ae、.edu.by、.edu.md、.edu.ro、.edu.al、.edu.me、.edu.ba、.edu.gt、.edu.bz、.edu.jm、.edu.tt、.edu.co、.edu.ve、.edu.bo、.edu.ar、.edu.uy、.edu.ly、.edu.dz、.edu.et
目前已知的A1P白域名: .yale.edu、.cicschool.org、laurelschools.com
edu.rs/edu.hk/edu.pl 在2015年時也在白名單，後來因為太好申請，薅羊毛的人太多，就被移出白名單了
还有一些是因为未知原因如英国的ac.uk域等，虽然并非个人可注册，但也不在白名单内
剩下的別想了，現在還留在白名單的都是不好申請的，已知列表裡面的能弄到任何一個算你厲害
還有就是靠掃的，各憑本事吧。.com/.org好像基本被掃光，我是掃不到
偷渡/账单
大家一般听的最多的就是偷渡了。偷渡是微软为无许可的教育域下发的较少数量的许可，现在都是500+500一共1k的许可数量，但用光了还可以继续叠加300许可，同时，现在A1P也只能通过偷渡的方式来获取许可。账单就是拿着教育Tag正儿八经去购买教育许可，免费的只能购买A1的150w，也就是正儿八经学校采用的方法，但大家的教育域一般都是名不正言不顺，也很容易就会触发微软风控，到时候封了订阅也只能重新走回偷渡的老路
偷渡
- 注册一个A1/A5试用，确保在注册的最后一步不会出现什么报错或者请联系支持部门什么的，并且进入后台后有可分配的试用许可，如果没有那恭喜你你被风控了，更换邮箱更换手机更换IP再重新来过吧。
- 绑定上自己的教育域，直到出现您有资格享受教育优惠(确定来讲也有其他方法，毕竟偷渡只看域名，但我们的宗旨是尽可能符合一个正规学校该有的样子，因此我的A1从不偷渡，都是购买，A1P才会进行偷渡，这点因人而异，具体关于这点说明请看: 其實不需要等到出現「您有资格享受教育优惠」。)
- 禁用并删掉自己的试用订阅，开两个非管理员的子号，任何许可都不分配，后缀用自己的教育域(不是onmicrosoft)
- 更换浏览器或者开无痕访问 https://signup.microsoft.com/signup?sku=Education 用自己的子号登录
- 通过接码验证后，一路下一步成功偷渡，两个号学生和老师都整一次，即有500+500的订阅，A1还是A1P由自己的域决定
风控
- IP 注册国家 接码手机号 不符合 有风险或者使用次数太多，试用授权可能都过不了
- 购买无限授权可能会有人工验证，请务必做好网站和风控准备
- 偷渡也可能会翻车
- 最轻的风控是封订阅，重新偷渡就是
- 其次是封所有的全局管理员，现在来看已经非常少见了
- 封禁全部的管理员，包括特权之类的
- 还有掉教育Tag
- 以及目前完全不可解的SPO=0，SPO可以理解为OneDrive的上传下载的限制，为全局共享和个人账户两个，被使用的太厉害就会限制访问，比较相似的是OneDrive的API限制，用多了也无法访问API，过段时间则会重置，访问OD则需要账户的SPO大于一定值，如果SPO被永久封到0，则OD完全不可访问，A1就废了，倒是A1P还能用来激活一下客户端
- 如果还有的话之后再补充吧
提权
提权指的是将一个普通用户提升到全局管理员，但很显然这一步自己是肯定做不到的，需要联系微软，一般发生在管理员都翻车了或者买到域名后发现已经被绑定了另外一个全局。
当然，如果是后一种情况，域已经绑了另外一个全局，也可以自己开个邮局然后走自助注册变子号，但终究不太稳妥，也可能出现被管理员删掉这个域的情况，如果删了后没掉教育域名资格那自然恭喜，如果掉了...。当然，严格来讲这种不算叫做提权，应该叫做夺权，微软是会验证原管理员的信息的。
提权
言归正传，如果非要走提权，可以先开另外一个域注册E5，然后开工单联系微软，一般会有微软的人打电话回访给你，要求添加并验证TXT记录，可以把你提供的一个子号提权到全局管理。
需要注意的是，如果是自己管理员都翻车的情况，则微软不一定会乐意提到管理，最好全程别提自己订阅管理员什么之类的情况，就只说自己学校IT部门换人了，之前管理员干的事情不知情也与我无关，没有原管理员的账户密码绑定的邮箱信息之类的(希望微软能相信你的鬼话)，要求提权，根据微软需要提供信息，要啥给啥，不要啥都不说。
夺权
如果是夺权...则一般有两个选择，如果你能忽悠微软，提供那个全局里管理员的信息，包括手机号啊，邮箱啊之类的，一般也是可以的，但显然是太难了点，不仅如此，现在微软还会以各种方式尝试联系原全局管理员，包括发邮件之类的，原管理员只要干预则失败，你辛辛苦苦开的子号显然也会被收回，并且关闭自助注册。大部分都是验证域后要求微软把那个全局的域解绑下来，那又可能会遇到解绑掉教育域名资格的问题，得不偿失...
PS
这东西需要和微软客服打交道，得灵活变通，根据自己情况和掌握的信息选择合适的策略，提权和夺权也是共通的，目的都是保证教育优惠资格的情况下拿到全局，提交工单前，一定要做好反代什么的...祝幸运，因为确实不好整。
数据中心
有些人还是比较关注自己OneDrive的物理数据中心位置的，最简单判断的方式就是用ipip.net里面的各地区Azure节点追踪*-my.sharepoint.com路由来查看，Azure使用的DNS可以解析出真实的数据中心的IP而非Anycast-CDN的IP。当然，如果你的OneDrive才生效(比如刚刚注册拿到A1试用授权)，则在CDN生效前，都是物理数据中心的IP，OneDrive会在一定时间后将*-my.sharepoint.com解析到Anycast-CDN的IP。
不同数据中心区别
一般来讲，不同的数据中心在微软Anycast的CDN加持下，使用体验较为相近，但从常理角度考虑，显然是越接近物理数据中心速度越快越稳定。不过国内到OneDrive的速度主要取决于到那个Anycast的IP(spo-0004.spo-msedge.net 13.107.136.9)的速度，这时候是不是就可以认为不同数据中心都是无所谓的呢？
其实不然，因为实际上你可以通过写hosts 劫持DNS等等方式，让你的*-my.sharepoint.com指向你真实的数据中心IP，在部分地区部分运营商部分情况下有奇效，这时候显然HK区的数据中心就占极大的优势了...
Q/A
Q: 风控后还能解除吗?
A: 基本是不可解的，微软对自己的风控水平非常有自信，一般顶多通融给你48小时让你取回数据，所以一定不要把重要数据只放在一个OD里面！！！封订阅什么的还能自己再翻回来，封全局就用特权管理员救，封全部管理员就用提前开好的API救，教育Tag掉了和SPO=0比较无解，大侠请重新来过吧。但无论如何，已经翻过车的全局或多或少都可能被微软继续惦记着，原学校向微软抗议解救的除外...
Q: OD的区域在哪里?
A: 一般在自己注册的时候，选择的国家对应的数据中心，不过也有例外，如亚太地区的国家会随机分配香港 新加坡 日本三个数据中心，一般香港的是最快的，也是最难随机到的。
Q: 教育域名可以激活几个全局?
A: 现在来说，一般是一个，因为解绑就会掉教育域名资格，当然也有例外，比如全域的A1P，每个子域名都可以激活，当然，激活越多翻车概率就越大。
Q: 怎么判断自己域名是A1还是A1P?
A: 抱歉，这个我也不会。
Q: 怎么薅Azure?
A: 教育域名不一定能薅Azure，https://signup.azure.com/studentverification?offerType=1 用教育域后缀的子号登录。不过，就算没有100刀，A1P域的子号也可以免手机试用一个月的200刀，且薅且珍惜吧，风控严格的很(可能已经没了)。
Q: 和世纪互联啥区别?
A: 国内速度没世纪互联快，好处是API限制好些，基本上没审核。
剩下的有人问再补充吧，直接发评论即可。
本文作者：卖女孩的小火柴 - 搬砖中
本文链接：https://www.shinenet.cn/archives/169.html
最后修改时间：2021-03-25 23:50:29
本站未注明转载的文章均为原创，并采用 CC BY-NC-SA 4.0 授权协议，转载请注明来源，谢谢！
评论
如果可能，请填写真实邮箱，有回复会送至邮箱。请不要水评论，谢谢。
评论列表
已有 27 条评论
2023-01-11 21:42
Yes you can bind the domain name to the commercial subscription global. But this poses unnecessary risks and I have not tried it. Just bind it directly. Accounts registered with signup will still get A1 subscriptions automatically, even if there is already an E5 subscription. I haven't tried it though, not too sure.you can bind the main domain and various subdomains on different globalizations. But experience shows that this can be easily blocked, not sure about Microsoft's threshold. Anyway, the less the better.
，不知道怎么回事 
when i visit https://signup.azure.com/studentverification?offerType=1&correlationId=4d9252d2bd1944cab65ba2a8e55307aa the email ([email protected]) and ([email protected]) both can pass the verificationi ve read that binding and unbiding a domain from an education global will lost it elegibility, but binding/unbind from a business global will not affect the elegibility of the domain (at least for a couple of times), what i want to know is1 - if i want to bind the domain to a business global, how can i do that? and what type of subscription i can get at the end ? is it A1 or a business subscription like E5 ...2 - can i bind the main domain to an A1 global and use the sub domains to activate other globals?