Microsoft 365 / Configuración de MFA: ¿valores predeterminados de seguridad o acceso condicional?
Al aplicar la autenticación multifactor (MFA) en Microsoft 365, si necesita una protección básica simple para toda la organización, revise Valores de seguridad predeterminados. Si necesita políticas condicionales basadas en usuarios, aplicaciones, ubicaciones o dispositivos, revise Acceso condicional. Los dos métodos no están destinados a habilitarse simultáneamente. El acceso condicional requiere licencias de Microsoft Entra apropiadas y diseño de políticas.
Diferencias entre Valores de seguridad predeterminados y Acceso condicional
| Criterios | Valores de seguridad predeterminados | Acceso condicional |
|---|---|---|
| Método de configuración | Paquete de protección básica definido por Microsoft | Los administradores crean políticas combinando objetivos y condiciones |
| Excepciones y granularidad | Difícil hacer ajustes finos como excepciones de usuarios individuales | Se puede diseñar el alcance de aplicación como usuarios, grupos y aplicaciones |
| Licencia | Proporcionado como una función básica | Generalmente requiere Microsoft Entra ID P1 o superior, las funciones basadas en riesgo pueden requerir licencias adicionales como P2. |
| Situaciones adecuadas | Protección básica para organizaciones sin requisitos complejos | Requiere excepciones según el negocio, el estado del dispositivo o las condiciones de ubicación, y un despliegue gradual. |
De acuerdo con la Guía de valores predeterminados de seguridad de Microsoft y el Plan de implementación de acceso condicional, no se utilizan simultáneamente los valores predeterminados de seguridad y el acceso condicional. Para licencias específicas de productos, consulte las condiciones más recientes en Información sobre licencias de Microsoft Entra.
El registro, los requisitos y la finalización de MFA son diferentes.
La autenticación multifactor (MFA) verifica la identidad utilizando dos o más factores de autenticación distintos. Una contraseña es un posible factor; los métodos sin contraseña compatibles también pueden cumplir con los requisitos de MFA. Necesita verificar por separado el hecho de que se registró una aplicación de autenticación, que se requirió MFA para un inicio de sesión específico y que este requisito se cumplió realmente. Si solo la registra sin aplicar la política, la protección prevista puede no lograrse.
Por el contrario, la ausencia de indicaciones de autenticación cada vez no significa que la MFA esté desactivada. El estado de autenticación de la sesión o token existente puede haber sido reconocido, por lo que se determina a partir del registro de inicio de sesión. Incluso si la pantalla de MFA por usuario heredada muestra "Desactivada", la MFA puede aplicarse a través de valores predeterminados de seguridad o acceso condicional. No habilite la MFA heredada por usuario únicamente basándose en esta indicación.
Preguntas para verificar antes de tomar una decisión
- ¿Qué políticas de autenticación ya están habilitadas en el tenant actual? Un tenant nuevo puede tener activados los valores predeterminados de seguridad.
- ¿Qué métodos de autenticación han registrado los administradores y usuarios regulares? Puede ser necesaria una guía de preparación previa al despliegue.
- ¿Existen aplicaciones o dispositivos antiguos que usen autenticación heredada? Debe verificar la posibilidad de interrupción del trabajo si se bloquea.
- ¿Tiene una cuenta de administrador de emergencia y procedimientos de recuperación preparados? Todos los administradores podrían quedar bloqueados debido a políticas de acceso condicional incorrectas.
- ¿El usuario tiene una licencia para usar las funciones requeridas?
Procedimiento para revisar los valores predeterminados de seguridad
- Inicie sesión en el centro de administración de Microsoft Entra con los permisos requeridos.
- [Entra ID] → [Visión general] → [Propiedades] para encontrar la ubicación para gestionar los valores predeterminados de seguridad. Si la estructura del menú ha cambiado, busque “Valores predeterminados de seguridad” en la búsqueda del centro de administración.
- Registre el estado actual e investigue a los administradores, usuarios y aplicaciones afectados. Notifique a la organización y prepare el registro de autenticación, luego decida si aplicarlos.
- Si selecciona valores predeterminados de seguridad, aplíquelos mediante Administrar valores predeterminados de seguridad → Habilitado → Guardar. Configurar los valores predeterminados de seguridad requiere al menos el rol de Administrador de acceso condicional. Guíe a los usuarios a través del proceso de registro para los métodos de autenticación compatibles.
- Verifique el nuevo flujo de inicio de sesión para administradores y usuarios generales, e inspeccione los registros de inscripción de métodos de autenticación y los registros de inicio de sesión. Incluya en el plan de implementación si se mantendrán las sesiones de inicio de sesión existentes. Revocar las sesiones de inicio de sesión existentes afecta el trabajo del usuario, por lo que debe realizarse dentro de un alcance aprobado después de la notificación y la preparación para soporte.
Los valores predeterminados de seguridad no proporcionan una manera de agregar excepciones para usuarios individuales. Antes de desactivar la protección predeterminada general solo porque ciertos dispositivos antiguos necesitan omitirla, revise si necesita cambiar el método de autenticación para esos dispositivos o hacer la transición a un diseño de acceso condicional. No programe la orientación del usuario basándose en el período de gracia de registro de MFA de un documento anterior.
Al introducir el acceso condicional
En el centro de administración de Microsoft Entra, abra Acceso condicional → Políticas. Dependiendo del diseño de la pantalla, puede estar bajo el menú de seguridad de Entra ID o se puede encontrar a través de la búsqueda del centro de administración. Verifique que tenga el rol requerido para crear o modificar políticas y que los usuarios afectados tengan las licencias necesarias. El acceso condicional común requiere Entra ID P1, y las condiciones basadas en el riesgo del usuario o del inicio de sesión requieren P2, etc.
Al cambiar desde las configuraciones de seguridad predeterminadas, es necesario diseñar y verificar una política alternativa y establecer un tiempo de transición. Simplemente desactivar las configuraciones de seguridad predeterminadas y crear una política Solo informe no proporciona una protección equivalente. Microsoft recomienda activar inmediatamente la política de protección después de desactivar las configuraciones predeterminadas. Por lo tanto, los ejercicios de Solo informe a continuación deben realizarse en un entorno de prueba donde se mantenga la protección existente o de acuerdo con un plan de transición, y no deben usarse como un paso preparatorio para desactivar primero la protección en una organización operativa.
- Ingrese un nombre en la nueva política que indique claramente su propósito y objetivo. Por ejemplo, escríbalo así: "Requerir MFA para usuarios piloto."
- Incluya el grupo de prueba en usuarios y compárelo con las cuentas objetivo. Las cuentas de emergencia deben ser excluidas de políticas de bloqueo de inicio de sesión o restringidas según Diseño de Cuentas de Acceso de Emergencia, y se debe preparar una autenticación fuerte y monitoreo por separado.
- Determine las aplicaciones/recursos a proteger en los recursos objetivo. No interprete los resultados de la prueba de una sola aplicación como aplicables automáticamente a todos los servicios.
- En Conceder (Grant), seleccione el requisito de MFA y guarde el estado de la política como Solo informe. No mezcle el bloqueo, dispositivos conformes y condiciones de riesgo desde el principio; verifique qué efecto produce cada requisito.
- Inicie sesión en el recurso con una cuenta de prueba y verifique los objetivos, requisitos y causas de falla esperadas de la política en los resultados de Solo informe de los eventos de inicio de sesión. Solo informe no aplica realmente el control de acceso de esta política.
Verificación antes y después de la activación y reversión
Registre primero los resultados esperados en una tabla. Por ejemplo, los usuarios de prueba deben cumplir con los requisitos de MFA en la aplicación especificada, y los usuarios fuera del objetivo no deben verse afectados por la nueva política. Sin embargo, otras políticas o los requisitos de autenticación exigidos por Microsoft pueden aplicarse por separado, por lo que excluir una política no significa una exención completa de MFA.
Después de revisar los resultados solo del informe y las pruebas reales, configure la política a Activada (On) comenzando con el piloto aprobado. Luego, verifique los requisitos de autenticación y los resultados de acceso en nuevos inicios de sesión y expanda el objetivo. El plan de implementación de Microsoft recomienda revisar los impactos en modo solo informe durante al menos una semana antes de aplicar la política. Use ese período de observación para recopilar resultados de inicio de sesión representativos para roles y aplicaciones clave; el tiempo transcurrido por sí solo no es una validación suficiente.
Si ocurre un problema, revise las políticas aplicadas en la pestaña de Acceso Condicional del evento de fallo. Si una política nueva es la causa, use la ruta de acceso administrativo preparada para configurar esa política en Solo informe o Desactivada, y verifique que se mantengan las protecciones existentes. No apague todas las políticas de una vez ni las deje como excepciones a largo plazo. Después de la recuperación, corrija el objetivo, las condiciones y los métodos de autenticación, y vuelva a aplicar la política solo después de pasar nuevamente la misma prueba.
