Habilitación de la autenticación moderna o básica para Microsoft 365

La autenticación moderna está habilitada de forma predeterminada para todos los inquilinos nuevos de Microsoft 365/Azure. Este protocolo de autenticación es más seguro que la autenticación básica heredada. Microsoft planea bloquear por completo el uso de la autenticación básica para todos los clientes de Microsoft 365 a partir del 1 de octubre de 2021. En este artículo, veremos cómo habilitar o deshabilitar la autenticación básica y moderna en Microsoft 365.

Autenticación moderna frente a autenticación básica

Actualmente, Microsoft admite los siguientes tipos de autenticación para Office 365 (Microsoft 365):

• Autenticación básica: este tipo de autenticación es familiar para todos los usuarios de Windows. La autenticación básica se realiza a través de una ventana de seguridad de Windows simple que solicita una credencial (nombre de usuario y contraseña) y le pide que guarde su contraseña en el Administrador de credenciales de Windows. Este tipo de autenticación no es compatible con MFA (autenticación multifactor) y no es resistente a los ataques de fuerza bruta. Las aplicaciones almacenan y usan explícitamente el nombre de usuario y la contraseña para la autenticación.

  

• La autenticación moderna se basa en los protocolos ADAL (Active Directory Authentication Library) y OAuth 2.0. Las aplicaciones no almacenan ni usan credenciales de usuario, y la autenticación se basa en tokens de tiempo limitado. Modern Auth admite factores de autenticación adicionales, incluido MFA. La ventana para ingresar un nombre de usuario y contraseña al realizar la autenticación moderna se ve así. Aparecerá cuando se conecte a los servicios de Microsoft 365 o se conecte a Azure (incluidas las conexiones de PowerShell).

  

Inicio de sesión de autenticación básica Iniciar sesión en Azure AD

Antes de habilitar la autenticación moderna y deshabilitar la autenticación básica, verifique qué protocolos de autenticación usan sus usuarios y aplicaciones de Microsoft 365.

1. Abra el Portal Azure;

2. Vaya a Azure Active Directory -> Registros de inicio de sesión;

3. Seleccione el intervalo de fechas Último mes;

4. Agregar filtro por campo Aplicación cliente;

5. Seleccione todos los Clientes de autenticación heredados para este filtro.

Esto le permitirá encontrar usuarios y aplicaciones que aún utilizan la autenticación básica. Debe migrar las aplicaciones encontradas al protocolo Modern Auth. En mi caso, la mayoría de los eventos estaban asociados con clientes de correo electrónico nativos en teléfonos inteligentes, deben migrarse a la aplicación MS Outlook.

Microsoft deshabilita automáticamente la autenticación básica para los inquilinos donde no se usa.

¿Cómo habilitar la autenticación moderna para el inquilino de Microsoft 365?

Puede habilitar la autenticación moderna a través del Centro de administración de Microsoft 365.

1. Abra el portal de administración de M365 https://admin.microsoft.com;

2. Vaya a Configuración -> Configuración de la organización -> Autenticación moderna

3. Habilite la opción Activar autenticación moderna para Outlook 2013 para Windows y versiones posteriores;

4. Guarde los cambios.

Your organization has security defaults enabled, which means modern authentication to ‎Exchange Online‎ is required, and basic authentication connections are blocked. You must turn off security defaults in the ‎Azure‎ portal before you can change any settings here.

Tenga en cuenta una serie de opciones en Permitir el acceso a los protocolos de autenticación básicos. Estas son las diversas aplicaciones en las que puede habilitar la autenticación básica.

• cliente de perspectiva

• Exchange ActiveSync (EAS)

• Detección automática

• IMAP4

• POP3

• SMTP autenticado (ejemplo de autenticación SMTP desde telnet)

• Exchange Online PowerShell: (la autenticación básica no es compatible con el módulo EXOv2 PowerShell moderno)

Deshabilite la autenticación básica para todas las aplicaciones y protocolos que definitivamente no la necesitan.

Si tiene políticas de autenticación configuradas en su inquilino de Office 365, puede mostrar la configuración y los protocolos actuales que pueden usar la autenticación básica. Utilice el siguiente comando de PowerShell:

Get-AuthenticationPolicy

En nuestro caso, solo tenemos una política y BasicAuth está deshabilitado para todas las aplicaciones.

AllowBasicAuthActiveSync : False
AllowBasicAuthAutodiscover : False
AllowBasicAuthImap : False
AllowBasicAuthMapi : False
AllowBasicAuthOfflineAddressBook : False
AllowBasicAuthOutlookService : False
AllowBasicAuthPop : False
AllowBasicAuthReportingWebServices : False
AllowBasicAuthRest : False
AllowBasicAuthRpc : False
AllowBasicAuthSmtp : False
AllowBasicAuthWebServices : False
AllowBasicAuthPowershell : False

Por motivos de seguridad, puede crear una política separada con diferentes permisos de autenticación básica para protocolos específicos y asignarla a los usuarios que usan la aplicación heredada. En este ejemplo, permitiremos que un usuario se conecte a Exchange Online a través de una sesión remota de PowerShell con autenticación básica:

Set-AuthenticationPolicy -Identity "BasicAuth_Allow_PoSh" -AllowBasicAuthPowershell:$true
Set-User -Identity k.muller -AuthenticationPolicy "BasicAuth_Allow_PoSh"

Y la política predeterminada bloqueará el protocolo de autenticación heredado:

New-AuthenticationPolicy -Name "BasicAuth_Block"
Set-OrganizationConfig -DefaultAuthenticationPolicy BasicAuth_Block

Además, tenga en cuenta que hay otra opción OAuth2ClientProfileEnabled en la configuración de la organización, que determina si la autenticación moderna está habilitada para el arrendatario:

Get-OrganizationConfig | ft OAuth*

Si

OAuth2ClientProfileEnabled = False

, significa que la autenticación moderna está deshabilitada.

Autenticación moderna en Outlook 365/2019/2016/2013/2010

Tenga en cuenta los detalles de la compatibilidad con la autenticación moderna en diferentes versiones de Outlook:

• Outlook 2010 y versiones anteriores: no son compatibles con la autenticación moderna. Si la autenticación básica está deshabilitada en la configuración del inquilino, estas versiones de Outlook no podrán conectarse a los buzones de correo de Exchange Online en Microsoft 365;

• Outlook 2013: para admitir OAuth, debe establecer dos parámetros de registro en la clave HKEY_CURRENT_USER\SOFTWARE\Microsoft\Office .0\Común\Identidad (

  EnableADAL = 1

  y

  Version = 1

  ;

• Outlook 365, 2019, 2016: la autenticación moderna es compatible de forma predeterminada. Para usar siempre Modern Auth primero, configure el

  AlwaysUseMSOAuthForAutoDiscover = 1

  bajo la clave de registro HKEY_CURRENT_USER\Software\Microsoft\Exchange (si esta opción no está habilitada, Outlook puede solicitar continuamente la contraseña para conectarse);

Puede verificar que el cliente de Outlook esté usando la autenticación moderna para conectarse al buzón de correo de Office 365. Sostener

Ctrl

y haga clic en el icono de Outlook en la bandeja. Asegúrese de que Bearer* esté especificado en el

Authn

en el campo Estado de conexión de Outlook. Esto significa que Outlook está usando autenticación moderna.