Cómo configurar campañas de registro para MFA en Microsoft Entra
Una campaña de registro en Microsoft Entra es una excelente manera de alentar a los usuarios a adoptar un método de autenticación multifactor más sólido, lo que ayuda a lograr una mejor postura de seguridad general de su organización y lo encamina hacia la autenticación sin contraseña.
En este tutorial, le mostraré cómo configurar una campaña de registro para la aplicación Microsoft Authenticator en el Centro de administración de Microsoft Entra usando Microsoft Graph PowerShell.
El propósito de las Campañas de Registro
El objetivo de utilizar una campaña de registro es solicitar a los usuarios que inscriban la aplicación Microsoft Authenticator como su método de autenticación principal para la autenticación multifactor. La aplicación Authenticator se considera uno de los métodos más seguros de MFA y, al mismo tiempo, es posiblemente el método más simple y de menor impacto para el usuario final.
Una vez que se completa la campaña de registro y todos los usuarios objetivo se han inscrito en el método de aplicación de autenticación más seguro, los métodos menos seguros, como voz y SMS, se pueden desactivar mediante la política para el inicio de sesión de usuario.
Cómo funcionan las campañas de Registros
Las campañas de registro funcionan solicitando (o empujando) al usuario a registrar la aplicación Microsoft Authenticator según una programación o cada vez que inicia sesión, según la configuración que configure.
Los usuarios a los que se dirige la campaña ya deben estar registrados para la autenticación multifactor utilizando un método menos seguro, como voz o SMS. Cuando ese usuario inicie sesión en su cuenta en un mensaje de inicio de sesión interactivo (como en office.com), primero se le pedirá que complete su desafío MFA existente y luego se le pedirá que 'Mejore su señal- Ins, proteja mejor su cuenta con la aplicación Microsoft Authenticator. Demuestra quién eres fácilmente a través de notificaciones automáticas.'. El usuario puede optar por completar esto ahora o hacer clic en Ahora no y registrarse otro día.
Si el usuario decide registrarse en Microsoft Authenticator de inmediato, será redirigido a la página mysignins.microsoft.com para completar la configuración de la aplicación Authenticator. De lo contrario, pueden optar por saltarse el registro hasta un máximo de 3 veces antes de verse obligados a registrarse.
PREGUNTAS MÁS FRECUENTES
¿A qué inicios de sesión afecta esto?
Las campañas de registro solo solicitarán a los usuarios que se registren para la autenticación multifactor cuando inicien sesión a través de un navegador web. Las ventanas interactivas del navegador durante el inicio de sesión de la aplicación cliente (como Outlook) no se verán afectadas.
¿Cuántas veces puede un usuario omitir el mensaje de registro?
El mensaje de registro se puede omitir un máximo de 3 veces y luego, el usuario se verá obligado a registrarse en la aplicación Microsoft Authenticator.
¿Qué pasa si ya uso una aplicación de autenticación de terceros?
Si no está registrado en la aplicación Microsoft Authenticator, se le pedirá que se registre, independientemente de si ya está utilizando una aplicación de terceros.
¿Puedo seguir accediendo al registro de información de seguridad del usuario con acceso condicional?
Sí, pero tenga en cuenta que si un usuario se ve obligado a registrarse en la aplicación Authenticator después de omitir el mensaje 3 veces y no se encuentra dentro de un área segura donde se le permite registrar información de seguridad, no verá el mensaje. Si bien esto puede resultar útil, también podría verse como una elusión de seguridad.
¿Qué pasa si un usuario cierra su navegador en lugar de hacer clic en "Ahora no"?
Esto se considera lo mismo que omitir el mensaje y contará para el límite de omisión.
Cómo configurar campañas de registro en Microsoft Entra
Siga los pasos a continuación para configurar una campaña de registro en el centro de administración de Microsoft Entra:
1. Inicie sesión en Microsoft Entra
2. En Protección, seleccione Métodos de autenticación > Campaña de registro.
3. Haga clic en Editar y configure los ajustes deseados. Le recomiendo que habilite la campaña de registro con la configuración Días que permiten posponer en 0 y luego oriente a todos los usuarios, excluyendo a los usuarios necesarios.
4. Cuando haya terminado, haga clic en Guardar.
Cómo configurar campañas de registro con Microsoft Graph PowerShell
Para configurar la campaña de registro con Microsoft Graph PowerShell debe utilizar el cmdlet update-MgBetaPolicyAuthenticationMethodPolicy. Para ello, deberá otorgar acceso a todo el inquilino al permiso Policy.ReadWrite.AuthenticationMethod; hágalo con el siguiente comando:
Connect-MgGraph -Scopes Policy.ReadWrite.AuthenticationMethodUna vez autorizada su sesión, utilice el siguiente script para habilitar la Campaña de Registro:
$params = @{
registrationEnforcement = @{
authenticationMethodsRegistrationCampaign = @{
snoozeDurationInDays = 1
state = "enabled"
excludeTargets = @(
)
includeTargets = @(
@{
id = "all_users"
targetType = "group"
targetedAuthenticationMethod = "microsoftAuthenticator"
}
)
}
}
reportSuspiciousActivitySettings = @{
state = "enabled"
includeTarget = @{
targetType = "group"
id = "all_users"
}
voiceReportingCode = 0
}
}
update-MgBetaPolicyAuthenticationMethodPolicy -BodyParameter $params
Una vez que haya ejecutado el script sin errores, use el cmdlet Get-MgBetaPolicyAuthenticationMethodPolicy para verificar que la nueva configuración esté habilitada:
(Get-MgBetaPolicyAuthenticationMethodPolicy).RegistrationEnforcement.AuthenticationMethodsRegistrationCampaign.stateLa experiencia del usuario final
Una vez que la campaña de registro esté habilitada, a los usuarios que no tengan registros de la aplicación Microsoft Authenticator con números coincidentes se les pedirá automáticamente que se inscriban.
Por ejemplo, un usuario navegará a office.com (o un servicio similar de Microsoft 365) y procederá a iniciar sesión. Después del inicio de sesión inicial, se le pedirá que complete su desafío de autenticación multifactor existente.
Una vez completado, aparecerá otro mensaje con el siguiente texto:
Luego, se dirigirá al usuario a la página de registro de seguridad habitual para registrarse en la aplicación Microsoft Authenticator.