Cómo habilitar Microsoft Authenticator para Outlook Mobile

Microsoft Authenticator admite aplicaciones complementarias como Microsoft Outlook para dispositivos móviles para brindar una experiencia "Lite" simplificada para que los usuarios utilicen un sólido método de autenticación multifactor sin instalar aplicaciones MFA adicionales en su dispositivo móvil. El uso de Authenticator Lite en Outlook para dispositivos móviles, en lugar de la aplicación Microsoft Authenticator, proporciona el mismo nivel de protección para las identidades de los usuarios, como la coincidencia de números y la experiencia OTP.

En este tutorial, voy a explicar cómo funciona la experiencia Authenticator Lite, si debe usarla y cómo habilitarla en Entra Portal y usando Microsoft Graph PowerShell.

¿Qué es Authenticator Lite para Outlook móvil?

Authenticator Lite es un método de autenticación multifactor simple y seguro integrado directamente en aplicaciones móviles comunes de Microsoft, más específicamente Outlook para dispositivos móviles en sistemas operativos IOS y Android. Esta experiencia simplificada significa que puede completar OTP segura y autenticación de segundo paso con notificaciones automáticas directamente desde aplicaciones que quizás ya tenga instaladas en su teléfono móvil.

Para Outlook, la experiencia Authenticator Lite está disponible en Android Outlook versión 4.2308.0 y superior y para IOS Outlook 4.2309.0 y superior.

Requisitos previos para Authenticator Lite

1. Debe descargar la aplicación Outlook en sus dispositivos IOS o Android y la aplicación debe estar configurada con su cuenta laboral o escolar. Si no tiene Outlook instalado y configurado, deberá hacerlo primero antes de poder habilitar Authenticator Lite.

2. Debe seguir los pasos a continuación para habilitar las configuraciones necesarias en su inquilino. Esto se puede hacer para todos los usuarios a la vez o implementarse lentamente para usuarios específicos de su organización.

3. Ya debes tener configurado un método de autenticación de segundo factor en tu cuenta. Puede ser cualquier otro método que no sea la aplicación Microsoft Authenticator.

¿Debo utilizar Microsoft Authenticator o Authenticator Lite?

La aplicación completa Microsoft Authenticator le brindará una mejor experiencia. Por ejemplo, si necesita conectarse a más de una cuenta de Microsoft 365, sería más fácil de administrar con la aplicación Microsoft Authenticator completa que con la experiencia Lite en Outlook para dispositivos móviles.

Sin embargo, debe usarlo si actualmente utiliza autenticación basada en SMS o voz y accede a los datos de la empresa a través de Outlook en su dispositivo móvil (sin tener instalada la aplicación Microsoft Authenticator).

¿Autenticator Lite tiene prioridad sobre Microsoft Authenticator?

No. Si tiene la aplicación Microsoft Authenticator instalada en su dispositivo, no podrá registrarse en Authenticator Lite en Outlook para dispositivos móviles ya que la aplicación complementaria (Outlook) detectará que Microsoft Authenticator está instalado y no le solicitará que se registre cuando esté habilitado.

¿Cuál es el estado predeterminado de Authenticator Lite?

De forma predeterminada, Authenticator Lite está configurado en Microsoft Managed. Esto significa que Microsoft puede administrar y controlar el estado predeterminado de Authenticator Lite. Antes del 9 de junio de 2023, el estado Administrado por Microsoft está predeterminado en Deshabilitado; sin embargo, después de esa fecha, Authenticator Lite se habilita automáticamente a menos que usted elija deshabilitarlo.

¿En qué escenarios debo implementar Authenticator Lite?

Authenticator Lite se puede utilizar para simplificar la incorporación de usuarios a la autenticación multifactor y migrarlos desde lugares menos seguros y convenientes autenticación métodos como SMS y Voz.

Negar la necesidad de instalar una aplicación adicional en su dispositivo puede ayudar con la incorporación de nuevos usuarios. Sin embargo, personalmente, encuentro esta experiencia algo innecesaria. Si un usuario tiene instalada la aplicación Outlook para dispositivos móviles, es muy fácil imaginar que ya tiene instalada la aplicación Authenticator. Si aún no utilizan Outlook para dispositivos móviles, la incorporación debería implicar que instalen Microsoft Authenticator como mínimo. No hay ningún argumento en contra de que un usuario instale la aplicación Outlook para dispositivos móviles y acceda a los datos de la empresa en un dispositivo personal sin instalar Microsoft Authenticator; si hubiera una objeción, no debería acceder a los datos de la empresa en ese dispositivo o se debería emitir un dispositivo de la empresa si se considera una necesidad.

Aunque, cuando haya heredado un entorno imperfecto o la autenticación por SMS se implementó anteriormente debido a preferencias personales o falta de aplicación de un método más sólido, Authenticator Lite se puede utilizar como una ganancia rápida para cumplir con los requisitos y puede verse como un paso intermedio para implementar abra la aplicación Microsoft Authenticator. El argumento en contra de esto es que está agregando complejidad adicional para usted y sus usuarios finales. ¿Por qué duplicar sus esfuerzos, documentación y comunicación cuando simplemente podría implementar la aplicación Microsoft Authenticator?

Authenticator Lite es una experiencia conveniente para simplificar la experiencia de MFA del usuario y satisfacer los requisitos de MFA; esto puede resultar útil en entornos simples y como paso intermedio para ayudar en la implementación de MFA. En entornos más complejos, donde algunos usuarios pueden tener segundas cuentas en la nube para tareas privilegiadas, la aplicación Microsoft Authenticator para todos los usuarios proporcionará mayor flexibilidad y coherencia.

Cómo habilitar Authenticator Lite a través de la interfaz de usuario web

Authenticator Lite se puede habilitar a través de la página Métodos de autenticación de Azure Active Directory. Siga los pasos a continuación para habilitarlo para todos los usuarios de su organización.

1. Inicie sesión en Microsoft Entra, expanda Proteger y asegurar y luego seleccione Métodos de autenticación.

2. Seleccione Microsoft Authenticator de la lista de métodos.

3. Seleccione la pestaña Configurar.

4. En Microsoft Authenticator en aplicaciones complementarias, cambie el estado a Activado y haga clic en Guardar.

Cómo habilitar Authenticator Lite con Microsoft Graph

Si necesita habilitar Authenticator Lite mediante programación mediante PowerShell, puede hacerlo con los módulos de Microsoft Graph PowerShell. Si aún no tiene estos módulos instalados, consulte mi guía sobre Cómo instalar el módulo Microsoft Graph PowerShell. Siga los pasos a continuación para habilitar esta configuración con PowerShell:

1. Comience conectándose a Microsoft Graph con el alcance del permiso Policy.ReadWrite.AuthenticationMethods:

Connect-MgGraph -Scope Policy.ReadWrite.AuthenticationMethod

2. Deberá definir el URI para la configuración del método Microsoft Authenticator:

$uri = "https://graph.microsoft.com/beta/authenticationMethodsPolicy/authenticationMethodConfigurations/MicrosoftAuthenticator"

3. Luego use el cmdlet Invoke-MgGraphRequest para obtener la configuración de política de su inquilino y almacenarla dentro de una variable en su sesión. Esto se guardará como una tabla hash en $body y se usará como nuestra carga útil.

$body = Invoke-MgGraphRequest -uri $uri -method GET

4. Ahora es necesario modificar la carga útil para cumplir con nuestra nueva configuración deseada:

$body.featureSettings.companionAppAllowedState.state = `
$body.featureSettings.companionAppAllowedState.state.Replace('disabled','enabled')

5. Si previamente configuró la coincidencia de números a través del portal, también debe eliminar esta configuración de su carga útil. Puede hacerlo usando el siguiente comando:

$body.featureSettings.Remove('numberMatchingRequiredState')

Si no realiza este paso, aparecerá el siguiente error en el siguiente paso:

“code”:”badRequest”,”message”:”La persistencia de la política falló con error: la función de coincidencia de números de Microsoft Authenticator ya no se puede alternar como parte de configuración de características

6. Por último, ejecute el comando Invoke-MgGraphRequest con el método PATCH para actualizar su configuración:

Invoke-MgGraphRequest -uri $uri -body $body -method PATCH

7. Verifique que su configuración haya cambiado usando el siguiente comando:

(Invoke-MgGraphRequest -uri $uri -method GET).featuresettings.companionAppAllowedState

Copie y pegue el script completo a continuación:

#Connect to Microsoft Graph
Connect-MgGraph -Scope Policy.ReadWrite.AuthenticationMethod

#Define the URI
$uri = "https://graph.microsoft.com/beta/authenticationMethodsPolicy/authenticationMethodConfigurations/MicrosoftAuthenticator"

#Get the current configuration
$body = Invoke-MgGraphRequest -uri $uri -method GET

#Modify your payload
$body.featureSettings.companionAppAllowedState.state = $body.featureSettings.companionAppAllowedState.state.Replace('disabled','enabled')
$body.featureSettings.Remove('numberMatchingRequiredState')

#Configure your new policy settings
Invoke-MgGraphRequest -uri $uri -body $body -method PATCH