Microsoft 365 / Configurare MFA: impostazioni predefinite di sicurezza o accesso condizionale?

Quando si applica l'autenticazione multifattoriale (MFA) in Microsoft 365, se è necessaria una protezione di base semplice a livello organizzativo, consultare impostazioni predefinite di sicurezza. Se è necessario definire politiche condizionali basate su utenti, app, posizioni o dispositivi, consultare accesso condizionale. I due metodi non sono destinati a essere abilitati contemporaneamente. L'accesso condizionale richiede licenze Microsoft Entra appropriate e la progettazione delle policy.

Differenze tra impostazioni predefinite di sicurezza e accesso condizionale

Secondo le linee guida sui impostazioni predefinite di sicurezza di Microsoft e il piano di distribuzione dell’accesso condizionale, i default di sicurezza e l'accesso condizionale non vengono utilizzati simultaneamente. Per le licenze specifiche del prodotto, controllare le condizioni più recenti a informazioni sulle licenze di Microsoft Entra.

La registrazione MFA, i requisiti e il completamento sono differenti

L'autenticazione multifattoriale (MFA) verifica l'identità utilizzando due o più fattori di autenticazione distinti. Una password è un fattore possibile; i metodi supportati senza password possono soddisfare anche i requisiti MFA. È necessario controllare separatamente il fatto che un'app di autenticazione sia stata registrata, che la MFA fosse richiesta per un accesso specifico e che tale requisito sia stato effettivamente soddisfatto. Se la si registra solo senza applicare la politica, la protezione prevista potrebbe non essere raggiunta.

Al contrario, l'assenza di prompt di autenticazione ogni volta non significa che l'MFA sia disattivata. Lo stato di autenticazione della sessione o del token esistente potrebbe essere stato riconosciuto, pertanto viene determinato dal record di accesso. Anche se la schermata MFA per utente legacy mostra "Disabilitato", l'MFA potrebbe essere applicata tramite impostazioni di sicurezza predefinite o accesso condizionale. Non abilitare la MFA per utente legacy basandoti esclusivamente su questa indicazione.

Domande da verificare prima di prendere una decisione

• Quali criteri di autenticazione sono già abilitati nel tenant attuale? Un nuovo tenant potrebbe avere impostazioni di sicurezza predefinite attivate.
• Quali metodi di autenticazione hanno registrato gli amministratori e gli utenti normali? Potrebbe essere necessaria una guida di preparazione prima della distribuzione.
• Ci sono vecchie app o dispositivi che utilizzano l'autenticazione legacy? È necessario controllare la possibilità di interruzione del lavoro se bloccati.
• Hai un account amministratore di emergenza e procedure di recupero preparate? Tutti gli amministratori potrebbero essere bloccati a causa di politiche di accesso condizionale errate.
• L'utente ha una licenza per utilizzare le funzionalità richieste?

Procedura per la revisione delle impostazioni di sicurezza predefinite

1. Accedi al centro di amministrazione Microsoft Entra con le autorizzazioni richieste.
2. [Entra ID] → [Panoramica] → [Proprietà] per trovare la posizione per gestire le impostazioni di sicurezza predefinite. Se la struttura del menu è cambiata, cerca “Impostazioni di sicurezza predefinite” nella ricerca del centro di amministrazione.

3. Registra lo stato attuale e indaga sugli amministratori, gli utenti e le app interessati. Notifica l'organizzazione e prepara la registrazione dell'autenticazione, quindi decidi se applicarla.
4. Se selezioni le impostazioni di sicurezza predefinite, applicale tramite Gestisci le impostazioni predefinite per la sicurezza → Abilitata → Salva. Configurare le impostazioni di sicurezza predefinite richiede almeno il ruolo di Amministratore dell’accesso condizionale. Guida gli utenti nel processo di registrazione per i metodi di autenticazione supportati.
5. Verifica il nuovo flusso di accesso per amministratori e utenti generali e controlla i registri di autenticazione, registrazione e accesso. Includi nel piano di deployment se le sessioni di login esistenti verranno mantenute. Revocare le sessioni di accesso esistenti influenza il lavoro degli utenti, quindi dovrebbe essere effettuato entro un ambito approvato dopo notifica e preparazione del supporto.

Le impostazioni predefinite di sicurezza non offrono un modo per aggiungere eccezioni per singoli utenti. Prima di disattivare la protezione predefinita generale solo perché alcuni dispositivi legacy devono aggirarla, verifica se è necessario cambiare il metodo di autenticazione per quei dispositivi o passare a una configurazione di accesso condizionale. Non programmare indicazioni per gli utenti basandoti sul periodo di grazia di registrazione MFA di un documento precedente.

Quando si introduce l'accesso condizionale

Nel centro di amministrazione Microsoft Entra, aprire Accesso condizionale → Criteri. A seconda della disposizione dello schermo, potrebbe trovarsi nel menu sicurezza di Entra ID o essere reperibile tramite la ricerca nel centro di amministrazione. Verificare di avere il ruolo necessario per creare o modificare le politiche e che gli utenti interessati abbiano le licenze necessarie. L'accesso condizionale comune richiede Entra ID P1, e le condizioni basate sul rischio dell'utente o dell'accesso richiedono P2, ecc.

Quando si passa dai criteri di sicurezza predefiniti, è necessario progettare e verificare una politica alternativa e impostare un periodo di transizione. Semplicemente disattivare i criteri di sicurezza predefiniti e creare una politica Report-only non fornisce una protezione equivalente. Microsoft raccomanda di attivare immediatamente la politica di protezione dopo aver disabilitato i criteri predefiniti. Pertanto, gli esercizi Report-only riportati di seguito dovrebbero essere eseguiti in un ambiente di test in cui la protezione esistente è mantenuta o secondo un piano di transizione, e non dovrebbero essere utilizzati come passo preparatorio per disabilitare prima la protezione in un'organizzazione operativa.

1. Inserisci un nome nella nuova politica che indichi chiaramente il suo scopo e il target. Ad esempio, scrivilo come "Richiedi MFA per gli utenti pilota."
2. Includere il gruppo di test negli utenti e confrontarlo con gli account di destinazione. Gli account di emergenza dovrebbero essere esclusi dal blocco del login o da politiche restrittive secondo il progetto degli account di accesso di emergenza, e dovrebbe essere predisposta una forte autenticazione separata e monitoraggio.
3. Determinare le app/risorse da proteggere nelle risorse di destinazione. Non interpretare i risultati del test di una singola app come automaticamente applicabili a tutti i servizi.
4. In Concedi (Grant), selezionare il requisito per MFA e salvare lo stato della politica come Report-only. Non mescolare fin dall'inizio il blocco, i dispositivi conformi e le condizioni di rischio; verificare quale effetto produce ciascun requisito.
5. Accedi alla risorsa con un account di test e controlla gli obiettivi, i requisiti e le cause di mancato successo previste della policy nei risultati Report-only degli eventi di accesso. Report-only non applica effettivamente il controllo degli accessi di questa policy.

Verifica prima e dopo l'attivazione e il rollback

Registra prima i risultati previsti in una tabella. Ad esempio, gli utenti di test dovrebbero soddisfare i requisiti MFA nell'app specificata, e gli utenti al di fuori dell'obiettivo non dovrebbero essere influenzati dalla nuova policy. Tuttavia, altre policy o requisiti di autenticazione imposti da Microsoft possono essere applicati separatamente, quindi escludere una policy non significa una completa esenzione MFA.

Dopo aver esaminato i risultati in modalità Report-only e i test effettivi, imposta la policy su Attivato (On) a partire dal pilota approvato. Quindi, verifica i requisiti di autenticazione e i risultati degli accessi nei nuovi login ed espandi l’obiettivo. Il piano di implementazione di Microsoft consiglia di rivedere gli impatti in modalità Report-only per almeno una settimana prima di applicare la policy. Usa quel periodo di osservazione per raccogliere risultati rappresentativi degli accessi per ruoli chiave e applicazioni; il solo tempo trascorso non è una convalida sufficiente.

Se si verifica un problema, controllare le politiche applicate nella scheda Accesso condizionale dell'evento di errore. Se la causa è una nuova politica, utilizzare il percorso di accesso amministrativo preparato per impostare quella politica su Report-only o Disattivato, e verificare che le protezioni esistenti siano mantenute. Non disattivare tutte le politiche contemporaneamente o lasciarle come eccezioni a lungo termine. Dopo il recupero, correggere l'obiettivo, le condizioni e i metodi di autenticazione, e riapplicare la politica solo dopo aver superato nuovamente lo stesso test.