Cómo configurar la autenticación multifactor de Microsoft Entra

Quiere habilitar la autenticación multifactor de Microsoft Entra. Hay una MFA por usuario y una MFA basada en acceso condicional. Antes de poder implementar la autenticación multifactor basada en acceso condicional de Microsoft Entra, necesita Microsoft Entra ID P1 o P2. En este artículo, aprenderá cómo configurar paso a paso la autenticación multifactor de Microsoft Entra para todos los usuarios.

Antes de habilitar la autenticación multifactor de Microsoft Entra

No habilite MFA para todos los usuarios a la vez. El equipo de soporte de TI recibirá llamadas telefónicas y correos electrónicos sobre la inscripción en MFA o si las aplicaciones no funcionan.

• Configure primero el acceso condicional MFA con un par de usuarios de prueba o con un grupo piloto antes de aplicar la política MFA para todos los usuarios.

• Cree una instrucción sobre cómo configurar MFA y envíela a los usuarios por correo electrónico, imprímala, colóquela en sus escritorios o colóquela en la intranet.

Microsoft creó excelentes materiales de implementación de autenticación multifactor que puede descargar, editar y enviar a los usuarios. La instrucción que siempre usamos es Configurar la autenticación de la aplicación Microsoft Authenticator.

¿Ya tiene MFA por usuario configurado en el inquilino de Microsoft 365 y desea pasar a MFA basado en acceso condicional? Descubra cómo pasar de MFA por usuario a MFA de acceso condicional.

Verifique la licencia de Microsoft Entra

Verifique que su inquilino tenga Microsoft Entra ID P1 o P2:

1. Inicie sesión en el centro de administración de Microsoft Entra
2. Haga clic en Identidad > Descripción general
3. Busque la Licencia en Información básica

En el siguiente ejemplo, tenemos la licencia Microsoft Entra ID P2.

En el siguiente paso, elegirá los métodos de verificación para los usuarios.

Elija métodos de verificación

Importante: Lea el artículo Migrar MFA y SSPR heredados a la política de métodos de autenticación antes de continuar.

Verifique los métodos de autenticación:

1. Inicie sesión en el centro de administración de Microsoft Entra
2. Haga clic en Protección > Métodos de autenticación > Políticas
3. Habilite los métodos de autenticación que estarán disponibles para los usuarios

Nota: Microsoft recomienda desactivar los métodos SMS y llamada de voz porque no son seguros.

En el siguiente paso, agregará ubicaciones para excluir de MFA.

Configurar ubicaciones con nombre

No desea permitir que los usuarios utilicen MFA cuando estén conectados a una red confiable. Para incluir en la lista de direcciones IP las ubicaciones de direcciones IP, usaremos la función Ubicaciones con nombre en Acceso condicional.

1. Seleccione Acceso condicional > Ubicaciones con nombre
2. Haga clic en ubicación de rangos de IP

3. Agregue el nombre y la ubicación de IP externa
4. Haga clic en Crear

En este ejemplo, agregaremos dos ubicaciones. Se trata de la oficina central y la sucursal que nos gusta excluir de la MFA.

5. Repita y agregue otras ubicaciones

Agregaremos la dirección IP externa de la ubicación de la sucursal para excluirla de MFA.

6. Las direcciones IP externas aparecen en la lista de ubicaciones con nombre de acceso condicional

En el siguiente paso, creará un grupo de seguridad que no sea MFA para las cuentas que excluirá de MFA.

Crear un grupo de seguridad que no sea MFA

Es bueno saber que es necesario excluir las cuentas de servicio de MFA. Las cuentas de servicio son cuentas no interactivas que no están vinculadas a ningún usuario en particular. Por lo general, los utilizan servicios de back-end que permiten el acceso programático a aplicaciones, pero también se utilizan para iniciar sesión en sistemas con fines administrativos. Las cuentas de servicio como estas deben excluirse ya que MFA no se puede completar mediante programación.

Nota: Si no tiene un Active Directory local sincronizado con Microsoft Entra Connect Sync (nube híbrida), cree un grupo de seguridad en Microsoft Entra ID.

1. Vaya a Usuarios y equipos de Active Directory
2. Cree un grupo de seguridad con el nombre Non-MFA

3. Haga doble clic en el grupo de seguridad Non-MFA.

4. Agregue las Cuentas de Servicio al grupo

5. Fuerce la sincronización de Microsoft Entra Connect o espere 30 minutos antes de que los cambios se sincronicen con la nube.

En el siguiente paso, habilitará MFA para todos los usuarios en Microsoft Entra Conditional Access.

Configurar Microsoft Entra acceso condicional MFA

Cree una política de acceso condicional para forzar MFA para todos los usuarios. Puede seleccionar solo un grupo seleccionado de usuarios. Sin embargo, recomendamos habilitar MFA para todos los usuarios.

Paso 1: Nueva Política

Haga clic en Acceso condicional > Crear nueva política.

Paso 2: Nombre

Asígnele el nombre MFA todos los usuarios.

Paso 3: Asignaciones

Haga clic en Usuarios y grupos > Incluir. Seleccione Todos los usuarios.

Haga clic en Excluir. Seleccione Usuarios y grupos. Seleccione el grupo de seguridad No MFA que creó en los pasos anteriores.

¿Tiene Microsoft Entra Connect Sync? No olvide excluir MFA para la cuenta de sincronización de Microsoft Entra Connect. Lea más sobre esto en El acceso condicional MFA interrumpe la sincronización de Azure AD Connect.

¿Tiene más cuentas de servicio y están creadas en Microsoft Entra ID? Cree un grupo de seguridad Non-MFA-Entra en Microsoft Entra ID y agregue estas cuentas al grupo. Después de eso, agregue el grupo de seguridad Non-MFA-Entra a la configuración de política excluida.

Paso 4: aplicaciones o acciones en la nube

Haga clic en Recursos de destino > Aplicaciones en la nube > Incluir. Selecciona Todas las aplicaciones en la nube.

Paso 5: Condiciones

Haga clic en Red > Sí > Incluir. Seleccione Cualquier red o ubicación.

Haga clic en Excluir y seleccione Red y ubicaciones seleccionadas. Seleccione las ubicaciones con nombre que creó en los pasos anteriores.

Paso 6: Conceder

Haga clic en Conceder. Seleccione Conceder acceso. Marque la casilla de verificación Requerir autenticación multifactor. Haga clic en Seleccionar.

Paso 7: habilitar la política

Haga clic en el interruptor Activado para habilitar la política. Seleccione Entiendo que mi cuenta se verá afectada por esta política. Continúe de todos modos. Haga clic en Crear.

Nota: Recuerde probar la política MFA de acceso condicional en un grupo seleccionado de usuarios antes de aplicarla a todos los usuarios.

Supongamos que hace clic en Crear y aparece la siguiente advertencia y error:

• Parece que estás a punto de administrar las configuraciones de seguridad de tu organización. ¡Genial! Primero debe deshabilitar los valores predeterminados de seguridad antes de habilitar una política de acceso condicional.
• Los valores predeterminados de seguridad deben estar deshabilitados para habilitar la política de acceso condicional.

Puede leer el artículo Cómo deshabilitar los valores predeterminados de seguridad en Microsoft Entra ID.

Paso 8: Verifique la política de acceso condicional

Haga clic en Políticas. La política aparece en la lista de políticas de acceso condicional.

Siempre debe exportar políticas de acceso condicional a archivos JSON para realizar copias de seguridad. Supongamos que se editan las políticas y desea restaurarlas, puede importar fácilmente políticas de acceso condicional al inquilino.

Verifica tu trabajo

Después de configurar la política, los usuarios recibirán un mensaje indicándoles que deben configurar MFA cuando utilicen servicios que requieran MFA. Por ejemplo, cuando inician sesión en el portal de Microsoft 365.

Nota: Los usuarios no recibirán una notificación para configurar MFA o la autorización de MFA si se encuentran en ubicaciones excluidas de MFA. En este ejemplo, la oficina central y la sucursal.

A continuación se muestra un ejemplo de cómo se ve cuando un usuario inicia sesión en el portal de Microsoft 365 después de configurar Microsoft Entra Conditional Access MFA.

El usuario ahora utilizará las instrucciones que proporcionó para configurar MFA.

Leer más: Registro seguro de MFA y SSPR con acceso condicional »

Conclusión

Aprendió a configurar la autenticación multifactor de Microsoft Entra. Cree un grupo de seguridad que no sea MFA y agregue las cuentas de servicio a ese grupo. De lo contrario, las cuentas tendrán problemas después de habilitar MFA. Antes de implementar MFA para todos los usuarios, pruebe primero la política en un par de usuarios de prueba o en un grupo piloto. Recuerde crear una instrucción sobre cómo configurar MFA y enviarla a los usuarios.

¿Disfrutaste este artículo? También te puede gustar Instalar y configurar Microsoft Entra Connect. No olvides seguirnos y compartir este artículo.