Deshabilite MFA para un solo usuario mediante la política de acceso condicional en Azure AD

A medida que evoluciona el panorama de la ciberseguridad, una implementación de MFA bien ejecutada actúa como un escudo reforzado, protegiendo incansablemente a M365 de intrusos maliciosos. Sin embargo, en algunos casos, como cuando se utiliza una cuenta rota para iniciar sesión o cuando se ejecutan scripts desatendidos, es necesario evitar el escudo de MFA. Entonces, ¿cómo se pueden eximir cuentas específicas de la AMF? ¡Ahí es donde entran las políticas de acceso condicional?!

Las políticas de acceso condicional se pueden utilizar para deshabilitar MFA para una cuenta de usuario específica. Este enfoque garantiza que pueda manejar situaciones excepcionales sin comprometer la postura de seguridad general.

Entonces, aprendamos cómo deshabilitar MFA para un solo usuario usando la política de acceso condicional.

Elija políticas de CA para omitir MFA para un solo usuario

Si bien los valores predeterminados de seguridad proporcionan una base sólida para la seguridad general, es posible que no ofrezcan la granularidad necesaria para personalizar la configuración de MFA para cuentas individuales. Para abordar esta necesidad, las organizaciones pueden aprovechar las políticas de acceso condicional (CA).

Por cierto, tener una licencia de Azure AD P1 o P2 es el único requisito previo para crear una política de acceso condicional.

Puntos para recordar: Asegúrese de desactivar los valores predeterminados de seguridad, si los ha habilitado para su inquilino. Porque no se pueden utilizar los valores predeterminados de seguridad y las políticas de acceso condicional simultáneamente.

Deshabilitar MFA para un único usuario mediante políticas de acceso condicional

Para habilitar MFA para su organización y excluir a un usuario específico de MFA, siga los pasos a continuación.

1. Primero, inicie sesión en el centro de administración de Microsoft Entra.
2. Luego, navegue hasta el cuadro desplegable "Protección" y seleccione la opción "Acceso condicional".
3. Haga clic en "+ Crear nueva política" para crear una nueva política y darle un nombre adecuado a su política.

4. En Asignación, agregue "Todos los usuarios" en la sección Incluir y elija la cuenta exenta en la sección Excluir que se muestra en la hoja "Usuarios".

   

5. En la sección Controles de acceso, conceda acceso seleccionando "Requerir autenticación multifactor" en la "Hoja Conceder" y luego haga clic en "Seleccionar" para confirmar su elección.
6. Finalmente, habilite la política en modo "Activado" y haga clic en "Crear".

Por lo tanto, se ha creado correctamente una política de acceso condicional que no requiere MFA para la cuenta de usuario especificada. Por lo tanto, no se solicita al usuario la autenticación multifactor.

Nota: Si su organización ya cuenta con políticas de CA, se recomienda crear una nueva política en lugar de modificar cualquiera de las existentes. . También tenga en cuenta que si se menciona al mismo usuario en dos políticas diferentes con configuraciones conflictivas con respecto a la autenticación multifactor (MFA), la política con la configuración más restrictiva tendrá prioridad.

En claro, consideremos las dos políticas:

• Política A: esta política excluirá a un usuario del requisito de MFA.
• Política B: esta política incluirá al mismo usuario en el requisito de MFA.

En este escenario, dado que la Política B es la que aplica MFA para el usuario, tendrá prioridad sobre la Política A. El usuario estará sujeto a MFA según los requisitos establecidos en la Política B, y la exclusión mencionada en la Política A no aplicar.

Hemos cubierto algunos casos adicionales a continuación, que describen la importancia de las políticas de acceso condicional para omitir MFA para necesidades específicas de la organización.

1. Excluir MFA para usuarios y grupos bajo ciertas condiciones
2. Deshabilite MFA para usuarios con roles de Azure AD mediante políticas de CA

Excluir MFA para usuarios y grupos bajo ciertas condiciones

Caso 1: Usuarios/Grupos inician sesión en recursos a través de una red confiable

Aparte del caso mencionado anteriormente, puede omitir MFA para usuarios o grupos bajo ciertas condiciones. Por ejemplo, puede omitir MFA para un usuario o un grupo de miembros cuando acceden a recursos críticos desde una red de oficina confiable mediante la política de CA.

Para lograr esto, debe crear una ubicación con nombre utilizando un rango de IP confiable. Posteriormente, agregue la ubicación nombrada en la hoja de condiciones de la política, dirigiéndose a los usuarios o grupos seleccionados según sus requisitos.

La política configurada eximirá a MFA para usuarios/grupos cuando accedan a recursos críticos desde la red de la oficina confiable. Sin embargo, cuando estos usuarios intenten acceder a los mismos recursos desde fuera de la red de la oficina, aún deberán completar el proceso MFA.

Caso 2: Usuarios/grupos inician sesión en recursos de Microsoft 365 a través de dispositivos compatibles

El requisito de autenticación multifactor (MFA) se puede omitir para los usuarios y grupos que acceden a recursos desde dispositivos que cumplen con los estándares y políticas de seguridad de la organización. En términos más simples, puede reducir la necesidad de MFA para que los usuarios y grupos inicien sesión desde dispositivos compatibles. Para lograr esto, cree una condición de dispositivo como se muestra en la imagen a continuación.

Luego incluya usuarios/grupos específicos según sus requisitos y otorgue acceso solicitando autenticación multifactor.

Esta política requerirá MFA para los usuarios que inicien sesión con dispositivos no compatibles, mientras que los usuarios de dispositivos compatibles tendrán acceso sin MFA.

Deshabilite MFA para roles de Azure AD mediante políticas de CA

Como ventaja adicional, puede omitir MFA para los usuarios con un rol específico de Azure AD. Para lograr esto, puede seguir el mismo procedimiento mencionado anteriormente, pero esta vez, en lugar de excluir usuarios específicos, agregue la función de directorio designada a la sección "Excluir" de la política.

Esta modificación garantizará que los usuarios con el rol especificado puedan acceder sin problemas a M365, mejorando su eficiencia en situaciones críticas.

Nota: Las configuraciones incorrectas en las políticas de acceso condicional pueden afectar significativamente la seguridad y la funcionalidad de su entorno de Microsoft 365, por lo tanto, supervise las políticas de acceso condicional de manera eficaz.

Supervise las políticas de acceso condicional de forma eficaz utilizando AdminDroid

Después de configurar las políticas, debe controlar si las personas designadas han iniciado sesión correctamente y si otras se han sometido a la autenticación MFA. Si bien los métodos de informes nativos ofrecen información sobre los inicios de sesión de los usuarios, a menudo carecen de detalles detallados, como el recuento exacto de inicios de sesión exitosos para cada usuario, la cantidad de inicios de sesión fallidos y otras métricas críticas. Para brindarle información detallada sobre las políticas de acceso condicional, ¡entra AdminDroid!

AdminDroid Azure AD reporter le brinda información detallada sobre las configuraciones de políticas de acceso condicional, evaluaciones de la efectividad de las políticas, análisis del comportamiento del usuario y otra información valiosa. Esta información le ayudará a tener un buen ojo en las políticas de acceso condicional configuradas en Azure AD.

A continuación se muestran algunos de los informes disponibles con AdminDroid que facilitan la gestión eficiente de las políticas de acceso condicional.

Informes de auditoría de inicio de sesión

• Inicios de sesión bloqueados por la política de CA
• Los inicios de sesión aprobaron correctamente la política
• Los inicios de sesión no pudieron eludir la política de CA

Condiciones configuradas en políticas de CA

• Políticas de CA basadas en roles
• Políticas específicas de plataforma/ubicación
• Políticas basadas en ubicación/dispositivo

Políticas de CA con requisito MFA

• Políticas de CA configuradas por MFA
• Condiciones de asignación de políticas habilitadas para MFA

¡Obtenga un control total sobre la administración de Azure Active Directory con AdminDroid!

Es importante destacar que con AdminDroid puede acceder a más de 1800 informes que brindan información sobre el uso, la seguridad y el cumplimiento de los recursos de Microsoft 365, como Exchange Online, OneDrive y SharePoint. En línea, Yammer y más.

Entonces, descubre todo el potencial de AdminDroid con una prueba gratuita de 15 días. Una vez que seas testigo de sus capacidades, estamos seguros de que quedarás enganchado y no querrás mirar atrás.

Por lo tanto, las políticas de acceso condicional proporcionan la solución más eficaz y flexible para implementar MFA granular. Al aprovechar las políticas de acceso condicional, puede personalizar la configuración de MFA para satisfacer sus necesidades específicas sin comprometer la seguridad de su entorno de Microsoft 365.

Espero que haya obtenido suficiente información sobre cómo deshabilitar MFA para un solo usuario mediante la política de CA. Además, no dude en comunicarse con nosotros en la sección de comentarios para cualquier ayuda.