Microsoft 365 / Configurar MFA: padrões de segurança ou Acesso Condicional?

Ao aplicar autenticação multifator (MFA) no Microsoft 365, se você precisar de uma proteção básica simples para toda a organização, revise Padrões de Segurança. Se você precisar de políticas condicionais baseadas em usuários, aplicativos, locais ou dispositivos, revise Acesso Condicional. Os dois métodos não devem ser ativados simultaneamente. O acesso condicional requer licenças apropriadas da Microsoft Entra e o design da política.

Diferenças entre Padrões de Segurança e Acesso Condicional

De acordo com a Orientação de Padrões de Segurança da Microsoft e Plano de Implantação de Acesso Condicional, padrões de segurança e acesso condicional não são usados simultaneamente. Para licenças específicas de produtos, verifique as condições mais recentes em Informações sobre Licença do Microsoft Entra.

Registro de MFA, requisitos e conclusão são diferentes

Autenticação multifator (MFA) verifica a identidade usando dois ou mais fatores de autenticação distintos. Uma senha é um fator possível; métodos sem senha compatíveis também podem atender aos requisitos de MFA. Você precisa verificar separadamente o fato de que um aplicativo de autenticação foi registrado, que a MFA foi exigida para um login específico e que esse requisito foi realmente cumprido. Se você apenas registrá-lo sem aplicar a política, a proteção pretendida pode não ser alcançada.

Por outro lado, a ausência de solicitações de autenticação a todo momento não significa que a MFA esteja desativada. O status de autenticação da sessão ou token existente pode ter sido reconhecido, então é determinado a partir do registro de login. Mesmo que a tela de MFA por usuário legada exiba “Desativado”, a MFA pode ser aplicado através de padrões de segurança ou acesso condicional. Não ative a MFA por usuário legada apenas com base nessa indicação.

Perguntas a serem verificadas antes de tomar uma decisão

• Quais políticas de autenticação já estão habilitadas no locatário atual? Um novo locatário pode ter os padrões de segurança ativados.
• Quais métodos de autenticação os administradores e usuários comuns registraram? Um guia de preparação pré-implantação pode ser necessário.
• Existem aplicativos ou dispositivos antigos usando autenticação legada? Você precisa verificar a possibilidade de interrupção do trabalho se bloqueado.
• Você tem uma conta administrativa de emergência e procedimentos de recuperação preparados? Todos os administradores poderiam ser bloqueados devido a políticas de acesso condicional incorretas.
• O usuário possui uma licença para usar os recursos necessários?

Procedimento para revisar as padrões de segurança

1. Faça login no centro de administração Microsoft Entra com as permissões necessárias.
2. [Entra ID] → [Visão Geral] → [Propriedades] para encontrar a localização para gerenciar padrões de segurança. Se a estrutura do menu tiver mudado, pesquise por “Padrões de Segurança” na pesquisa do centro de administração.

3. Registre o status atual e investigue administradores, usuários e aplicativos afetados. Notifique a organização e prepare-se para o registro de autenticação, então decida se deve aplicar.
4. Se você selecionar padrões de segurança, aplique-os via Gerenciar padrões de segurança → Habilitado → Salvar. Configurar padrões de segurança requer pelo menos a função de Administrador de Acesso Condicional. Oriente os usuários através do processo de registro para os métodos de autenticação suportados.
5. Verifique o novo fluxo de login para administradores e usuários gerais, e inspecione os registros de autenticação, registro e login. Inclua no plano de implantação se as sessões de login existentes serão mantidas. Revogar sessões de login existentes afeta o trabalho do usuário, portanto, deve ser realizado dentro de um escopo aprovado após notificação e preparação para suporte.

Os padrões de segurança não fornecem uma forma de adicionar exceções para usuários individuais. Antes de desativar a proteção padrão geral apenas porque certos dispositivos legados precisam contorná-la, revise se você precisa alterar o método de autenticação desses dispositivos ou fazer a transição para um design de acesso condicional. Não programe a orientação ao usuário com base no período de carência de registro de MFA de um documento anterior.

Ao introduzir o acesso condicional

No centro de administração do Microsoft Entra, abra Acesso Condicional → Políticas. Dependendo do layout da tela, pode estar no menu de segurança do Entra ID ou ser encontrado através da pesquisa no centro de administração. Verifique se você possui a função necessária para criar ou modificar políticas e se os usuários afetados têm as licenças necessárias. O acesso condicional comum requer Entra ID P1, e condições baseadas em risco de usuário ou de login requerem P2, etc.

Ao trocar os padrões de segurança, você precisa projetar e verificar uma política alternativa e definir um tempo de transição. Simplesmente desligar os padrões de segurança e criar uma política Somente relatório não fornece proteção equivalente. A Microsoft recomenda ativar imediatamente a política de proteção após desativar os padrões. Portanto, os exercícios Somente relatório abaixo devem ser realizados em um ambiente de teste onde a proteção existente seja mantida ou de acordo com um plano de transição, e não devem ser usados como um passo preparatório para primeiro desativar a proteção em uma organização operacional.

1. Digite um nome na nova política que indique claramente seu propósito e alvo. Por exemplo, escreva algo como "Exigir MFA para usuários piloto."
2. Inclua o grupo de teste nos usuários e compare com as contas-alvo. Contas de emergência devem ser excluídas de bloqueios de login ou políticas restritivas de acordo com o Design de Conta de Acesso de Emergência, e autenticação forte e monitoramento separados devem ser preparados.
3. Determine os aplicativos/recursos a proteger nos recursos-alvo. Não interprete os resultados de testes de um único aplicativo como automaticamente aplicáveis a todos os serviços.
4. Em Conceder (Grant), selecione o requisito de MFA e salve o estado da política como Somente relatório (Report-only). Não misture bloqueio, dispositivos em conformidade e condições de risco desde o início; verifique qual efeito cada requisito produz.
5. Faça login no recurso com uma conta de teste e verifique os alvos, requisitos e causas de falha esperadas da política nos resultados Somente relatório dos eventos de login. Somente relatório não aplica realmente o controle de acesso desta política.

Verificação antes e depois da ativação e reversão

Registre os resultados esperados em uma tabela primeiro. Por exemplo, usuários de teste devem atender aos requisitos de MFA no aplicativo especificado, e usuários fora do alvo não devem ser afetados pela nova política. No entanto, outras políticas ou requisitos de autenticação obrigatórios pela Microsoft podem ser aplicados separadamente, portanto, excluir uma política não significa uma isenção completa de MFA.

Após revisar os resultados Somente relatório e os testes reais, configure a política para Ativada (On) começando com o piloto aprovado. Em seguida, verifique os requisitos de autenticação e os resultados de acesso em novos logins e expanda o alvo. O plano de implantação da Microsoft recomenda revisar os impactos no modo Somente relatório por pelo menos uma semana antes de aplicar a política. Use esse período de observação para coletar resultados de login representativos para funções e aplicativos-chave; apenas o tempo decorrido não é validação suficiente.

Se ocorrer um problema, verifique as políticas aplicadas na guia de Acesso Condicional no evento de falha. Se uma nova política for a causa, use o caminho de acesso administrativo preparado para definir essa política como Somente relatório ou Desativada, e verifique se as proteções existentes são mantidas. Não desative todas as políticas de uma vez nem as deixe como exceções de longo prazo. Após a recuperação, corrija o destino, as condições e os métodos de autenticação, e reaplique a política apenas após passar pelo mesmo teste novamente.