Migrar políticas heredadas de MFA y SSPR a métodos de autenticación
En este tutorial, vamos a migrar de las políticas heredadas MFA (autenticación multifactor) y SSPR (autoservicio de restablecimiento de contraseña) en Microsoft Entra a la nueva configuración de política de Métodos de autenticación.
Al pasar a la nueva política de métodos de autenticación en Microsoft Entra, ya no dependerá de tener que administrar su configuración de MFA y SSPR desde múltiples portales. Esto le permitirá crear políticas para todo el inquilino desde un único panel.
También verá en la página de política de métodos de autenticación que el 30 de septiembre de 2025, los portales MFA y SSPR heredados se depreciarán y se verá obligado a administrar sus políticas desde el nuevo portal.
Cómo funciona el proceso de migración
La idea detrás del proceso de migración es que puede habilitar lentamente la configuración deseada en el nuevo portal de políticas de métodos de autenticación, mientras sus usuarios aún respetan las políticas de los portales antiguos. Una vez que esté en una etapa en la que haya configurado sus políticas en el nuevo portal y las haya probado exhaustivamente, puede cortar y evitar que las identidades de sus usuarios respeten la configuración anterior del portal.
De esa manera podrá completar la migración sin afectar al usuario final, que siempre es el resultado deseado.
Audite sus políticas MFA existentes
Primero debemos auditar nuestra configuración actual de MFA y documentar qué configuraciones están habilitadas para nuestro inquilino actualmente. Hay dos formas de acceder a la configuración MFA existente para todo el inquilino.
Método 1
- Inicie sesión en el portal de administración de Microsoft Entra de Azure como administrador global y seleccione Azure Active Directory.
3. Seleccione Seguridad en Administrar en el menú de la izquierda.
4. Seleccione Autenticación multifactor.
5. Seleccione Configuración adicional de autenticación multifactor basada en la nube.
Método 2
1. Inicie sesión en https://admin.microsoft.com/ como administrador global
2. Expanda Usuarios y seleccione Usuarios activos.
3. Seleccione Autenticación multifactor en el menú de Usuario activo.
4. Seleccione configuración del servicio.
El uso de cualquiera de los métodos lo llevará a la misma página que le mostrará todas las configuraciones de MFA disponibles actualmente habilitadas para su inquilino. Asegúrese de documentar qué opciones están actualmente habilitadas.
Audite su política SSPR existente
Ahora necesitamos auditar qué política de autoservicio de restablecimiento de contraseña tenemos implementada. Debe asegurarse de documentar:
- Para qué usuarios o grupos está habilitado SSPR
- La cantidad de métodos necesarios (aunque esto aún no se puede configurar en el nuevo portal)
- Los métodos de autenticación disponibles.
- Configuración de las notificaciones
Si bien no todas las configuraciones están disponibles en el nuevo portal de políticas de métodos de autenticación, es importante que documente todo para cuando se agreguen funciones adicionales.
Para acceder a su configuración SSPR:
1. Inicie sesión en el portal de administración de Azure Active Directory como administrador global.
2. Seleccione Azure Active Directory.
3. Seleccione Restablecer contraseña en el menú de la izquierda.
Iniciar la migración a la política de métodos de autenticación.
Ahora que ha auditado su configuración existente de MFA y SSPR, puede comenzar la migración a la política de métodos de autenticación. También es importante que se acostumbre al centro de administración de Microsoft Entra, por lo que a continuación usaremos este portal en lugar del Centro de administración de Azure Active Directory.
1. Comience iniciando sesión en Microsoft Entra y en un administrador global.
2. En el menú de la izquierda, expanda Proteger y proteger y seleccione Métodos de autenticación.
3. Verá la siguiente notificación que dice:
“El 30 de septiembre de 2025, las políticas heredadas de autenticación multifactor y autoservicio de restablecimiento de contraseña quedarán obsoletas y usted administrará todos los métodos de autenticación aquí en la política de métodos de autenticación. Utilice este control para gestionar su migración de las políticas heredadas a la nueva política unificada”.
Seleccione Administrar migración.
4. Al seleccionar esta opción, permitimos que nuestros usuarios respeten las opciones heredadas que tenemos implementadas en los portales heredados y las opciones de política que hemos establecido en la política de Métodos de autenticación. Esto nos permitirá realizar una migración perfecta.
Configure su política de métodos de autenticación
Debería tomarse el tiempo ahora para trabajar con los métodos de autenticación y habilitar cada método uno por uno mientras analiza las configuraciones heredadas que ha auditado.
Lo que es importante saber es que ya no existen configuraciones separadas para SSPR y MFA; cualquier método que habilite en la pantalla anterior se aplicará tanto a SSPR como a MFA.
Dicho esto, parece haber algunas limitaciones actuales inmediatas. No poder aplicar políticas más estrictas para SSPR parece ser el problema evidente; personalmente, me gustaría volver a habilitar la opción para 2 métodos/desafíos de autenticación al restablecer una contraseña de administrador, por ejemplo. Si tiene varios métodos configurados para SSPR, esto ya no será aplicable una vez que migre a la política de métodos de autenticación.
Todas las opciones son bastante sencillas de configurar. Mis nuevas características favoritas son la coincidencia de números en la aplicación Microsoft Authenticator y la capacidad de elegir selectivamente para qué usuarios ciertos métodos de autenticación pueden estar disponibles. Consulte mi tutorial para habilitar la coincidencia de números en Microsoft Authenticator.
Probando su nueva política de métodos de autenticación
Las pruebas son más importantes antes de completar la migración, ya que una vez completada la migración, se ignoran las configuraciones en su portal heredado.
Actualmente, la única forma (y probablemente la mejor) de probar su configuración es revisar y deshabilitar cada método de autenticación en sus antiguos portales MFA y SSPR. Esto le permitirá validar que la configuración que ha configurado en su nueva política funcione como se esperaba.
Realizar pruebas de esta manera es la forma más segura de asegurarse de que no ha perdido ninguna opción y de mantener segura su organización.
Complete la política de migración a métodos de autenticación.
Cuando haya completado las pruebas, puede regresar a la página Administrar migración en el centro de administración de Microsoft Entra, luego seleccionar Migración completa y hacer clic en Guardar.
1. Inicie sesión en el centro de administración de Microsoft Entra.
2. Expanda Proteger y proteger en el menú de la izquierda y seleccione Métodos de autenticación.
3. Seleccione Administrar migración.
3. Seleccione Migración completa y haga clic en Guardar.
Una vez que haya migrado, siempre podrá volver a cambiar la configuración de migración a Migración en curso. Además, si desea conservar su configuración avanzada de SSPR, puede incluso mantener la configuración en progreso hasta la fecha de finalización de septiembre de 2025. La única opción que quedará del portal anterior una vez que complete la migración son las preguntas de seguridad en el portal SSPR.
Migrar con Microsoft Graph PowerShell
Si necesita modificar mediante programación la nueva configuración de migración de la política de autenticación, también puede hacerlo utilizando Microsoft Graph PowerShell. Siga los pasos a continuación para migrar a la política de Métodos de autenticación mediante Microsoft Graph PowerShell.
Comience conectándose a Microsoft Graph con los permisos Policy.ReadWrite.AuthenticationMethod.
Connect-MgGraph -Scopes Policy.ReadWrite.AuthenticationMethodMigrando a 'Migración en curso'
Ejecute el siguiente comando para migrar al estado "Migración en curso":
$params = @{
policyMigrationState = "migrationInProgress"
}
Update-MgPolicyAuthenticationMethodPolicy -BodyParameter $paramsMigrando a 'Migración completa'
Ejecute el siguiente comando para migrar al estado "Migración completa":
$params = @{
policyMigrationState = "MigrationComplete"
}
Update-MgPolicyAuthenticationMethodPolicy -PolicyMigrationState migrationinprogress
Al intentar completar los pasos de migración, es posible que encuentre el siguiente error:
Update-MgPolicyAuthenticationMethodPolicy: La persistencia de la política falló con error: No se pudo guardar el nuevo estado de migración: no se puede pasar a la migración completa hasta que se deshabiliten todos los métodos en la política SSPR heredada. Métodos SSPR heredados actualmente habilitados:
Asegúrese de haber desactivado completamente los métodos de autenticación heredados y de que intenten completar la migración nuevamente.