Cómo obtener el estado MFA de Microsoft Entra

Cuando habilita los valores predeterminados de seguridad o habilita MFA por usuario, en algún momento querrá verificar si han configurado y qué han configurado para la autenticación multifactor. ¿Qué métodos utilizan? ¿Pueden utilizar el inicio de sesión sin contraseña?, etc.

Ahora es posible ver los métodos MFA configurados para sus usuarios en Microsoft Entra. También podemos ver qué métodos son los más utilizados y por supuesto qué usuarios aún no tienen configurado MFA.

En este artículo, veremos las funciones de informes integradas en Microsoft Entra y le mostraré cómo puede exportar fácilmente la información con PowerShell a un archivo de Excel.

Informe Microsoft Entra MFA

Microsoft está pasando de una configuración MFA por usuario a políticas de acceso condicional. De esta manera, tendrá más control sobre cuándo los usuarios deben iniciar sesión con MFA y cuándo no. Pero para configurar políticas de acceso condicional necesitará tener una licencia Azure P1 o P2.

Nota
Para utilizar las funciones de este artículo, necesitará tener la licencia Azure P1 o P2; sin ella, no podrá ver el informe MFA ni exportar los datos con PowerShell.

Consulte este artículo en cambio

Por lo tanto, antes de habilitar políticas de acceso condicional, es una buena idea comprobar qué métodos MFA están utilizando actualmente sus usuarios. Probablemente desee optar por la autenticación sin contraseña, pero para ello sus usuarios deberán haber configurado los métodos correctos.

Para ver los métodos registrados en Microsoft Entra, deberá navegar hasta el informe Métodos de autenticación:

Abra el Centro de administración de Microsoft Entra
Expandir Protección
Abrir Métodos de autenticación
Haga clic en Detalles de registro de usuario

Puede usar la opción de filtro en la parte superior de la página para ver los usuarios sin MFA o los usuarios que no han configurado el restablecimiento de contraseña de autoservicio (SSPR), por ejemplo.

La página Actividad le brindará algunas descripciones generales interesantes de los métodos más utilizados y algunas estadísticas del porcentaje de usuarios sin MFA, por ejemplo.

Obtenga el estado de Entra MFA con PowerShell

He creado scripts de PowerShell antes para obtener el estado de MFA de sus usuarios con PowerShell. Si no tiene una licencia de Azure P1 o P2, puede usar este script para obtener el estado.

El script de este artículo obtendrá el estado MFA de Microsoft Entra mediante Microsoft Graph. La ventaja de este informe es que obtendrá el método predeterminado, mostrará todos los métodos registrados y si el usuario tiene capacidad MFA y sin contraseña.

Nota
Para obtener el método predeterminado, deberá utilizar el módulo beta. Asegúrese de haber instalado también los módulos beta con:

Install-Module Microsoft.Graph.Beta -AllowClobber -Force

Para obtener exactamente los mismos datos que ve en Microsoft Entra, simplemente puede usar el cmdlet Get-MgReportAuthenticationMethodUserRegistrationDetail. Es bueno saber que este cmdlet solo devolverá cuentas que estén habilitadas.

Deberá tener instalado el módulo Microsoft Graph PowerShell y conectarse a Graph con el alcance Reports.Read.All:

# Connect to Graph
Connect-MgGraph -Scopes "Reports.Read.All"

# Get all report data
# Note, we are using the beta module here, so we can get the default method as well
Get-MgBetaReportAuthenticationMethodUserRegistrationDetail

Guión completo

He creado un script que te brinda un poco más de control sobre los usuarios que deseas incluir en tu exportación. Por ejemplo, a menudo quiero comprobar solo los usuarios con licencia o verificar rápidamente los métodos MFA de los administradores.

Puede utilizar los siguientes parámetros para filtrar los resultados:

Solo administradores: $true o $false. Exportará solo usuarios con rol de administrador
Con licencia: Verdadero, Falso, Ambos. Incluye solo a los usuarios con licencia, sin licencia o a todos.
withOutMFAOnly - $true o $false. Exportar solo los usuarios sin MFA
Nombre principal de usuario - . Le permite especificar un nombre principal de usuario para recuperar

El script obtendrá primero todos los datos del informe y luego filtrará a los usuarios solicitados. Técnicamente también es posible obtener solo los datos del informe de los usuarios seleccionados, pero resultó ser mucho más lento que obtener todos los datos primero.

Para obtener los usuarios, realizaremos una solicitud por separado a Microsoft Graph para obtener los usuarios con los filtros aplicados. Si observa la función Get-Users en el script, verá una matriz de selección. Estas son las propiedades que se incluyen en la exportación. Puede ampliar esta lista según sus necesidades, por ejemplo, para obtener información del departamento o el puesto de trabajo del usuario.

El script exportará los siguientes datos a un archivo CSV:

Nombre para mostrar
Dirección de correo electrónico
Nombre principal de usuario
Tipo de usuario (miembro o invitado)
es administrador
Compatible con MFA (cuando es verdadero, entonces los usuarios han configurado MFA)
Método predeterminado de MFA
Método secundario MFA
Métodos registrados en MFA
Capacidad sin contraseña
SSPR registrado
Compatible con SSPR
Administrador del usuario

Puede obtener la última versión del script aquí desde mi repositorio de Github. Para ejecutar el script, guarde el archivo en su directorio de trabajo y ejecute el script con los parámetros opcionales en PowerShell. Lea más sobre la ejecución de scripts de PowerShell en este artículo.

<#
.Synopsis
  Get the MFA status for all users, admin or selected users from Microsoft Entra

.DESCRIPTION
  This script will get the Azure MFA Status for your users. You can query all the users, admins only or a single user.
   
	It will return the MFA Status, MFA type, Default method, SSRP, and registered devices.

.NOTES
  Name: Get-MgEntraMFAStatus
  Author: R. Mens - LazyAdmin.nl
  Version: 1.2
  DateCreated: Feb 2024
  Purpose/Change: Fixed licensed and enabled users

.LINK
  https://lazyadmin.nl
#>
 
[CmdletBinding(DefaultParameterSetName="Default")]
param(
  [Parameter(
    Mandatory = $false,
    ParameterSetName  = "UserPrincipalName",
    HelpMessage = "Enter a single UserPrincipalName or a comma separted list of UserPrincipalNames",
    Position = 0
    )]
  [string[]]$UserPrincipalName,

  [Parameter(
    Mandatory = $false,
    ValueFromPipeline = $false,
    ParameterSetName  = "AdminsOnly"
  )]
  # Get only the users that are an admin
  [switch]$adminsOnly = $false,

  [Parameter(
    Mandatory         = $false,
    ValueFromPipeline = $false,
    ParameterSetName  = "allUsers"
  )]
  [Alias("Licensed")]
  [ValidateSet("true", "false", "both")]
  # Check only the MFA status of users that have license
  [string]$IsLicensed = 'true',

  [Parameter(
    Mandatory         = $false,
    ValueFromPipeline = $true,
    ValueFromPipelineByPropertyName = $true,
    ParameterSetName  = "allUsers"
  )]
  # Get only the users that don't have MFA enabled
  [switch]$withOutMFAOnly = $false,

  [Parameter(
    Mandatory = $false,
    HelpMessage = "Enter path to save the CSV file"
  )]
  [string]$CSVPath = ".\EntraMFAStatus-$((Get-Date -format "MMM-dd-yyyy").ToString()).csv"
)

Function ConnectTo-MgGraph {
  # Check if MS Graph module is installed
  if (-not(Get-InstalledModule Microsoft.Graph)) { 
    Write-Host "Microsoft Graph module not found" -ForegroundColor Black -BackgroundColor Yellow
    $install = Read-Host "Do you want to install the Microsoft Graph Module?"

    if ($install -match "[yY]") {
      Install-Module Microsoft.Graph -Repository PSGallery -Scope CurrentUser -AllowClobber -Force
    }else{
      Write-Host "Microsoft Graph module is required." -ForegroundColor Black -BackgroundColor Yellow
      exit
    } 
  }

  # Connect to Graph
  Write-Host "Connecting to Microsoft Graph" -ForegroundColor Cyan
  Connect-MgGraph -Scopes "Reports.Read.All" -NoWelcome
}


Function Get-Admins{
  <#
  .SYNOPSIS
    Get all user with an Admin role
  #>
  process{
    $admins = Get-MgDirectoryRole | Select-Object DisplayName, Id | 
                %{$role = $_.DisplayName; Get-MgDirectoryRoleMember -DirectoryRoleId $_.id | 
                  where {$_.AdditionalProperties."@odata.type" -eq "#microsoft.graph.user"} | 
                  % {Get-MgUser -userid $_.id }
                } | 
                Select @{Name="Role"; Expression = {$role}}, DisplayName, UserPrincipalName, Mail, Id | Sort-Object -Property Mail -Unique
    
    return $admins
  }
}

Function Get-Users {
  # Set the properties to retrieve
  $select = @(
    'mail'
    'userprincipalname'
    'displayname'
  )

  $properties = $select + "AssignedLicenses"
  
  # Get-MgBetaReportAuthenticationMethodUserRegistrationDetail returns only enabled accounts
  # so we get only enabled accounts here as well.
  $filter = "AccountEnabled eq true and UserType eq 'member'"

  # Check if UserPrincipalName(s) are given
  if ($UserPrincipalName) {
    Write-host "Get specific users" -ForegroundColor Cyan

    $users = @()
    foreach ($user in $UserPrincipalName) 
    {
      try {
        $users += Get-MgUser -UserId $user -Property $properties | select $select -ErrorAction Stop
      }
      catch {
        [PSCustomObject]@{
          DisplayName       = " - Not found"
          UserPrincipalName = $User
          isAdmin           = $null
          MFAEnabled        = $null
        }
      }
    }
  }elseif($adminsOnly) {
    Write-host "Get admins only" -ForegroundColor Cyan

    $users = @()
    foreach ($admin in $admins) {
      $users += Get-MgUser -UserId $admin.UserPrincipalName -Property $properties | select $select
    }
  }else{
    if ($IsLicensed -eq 'true') {
      # Get only licensed users
      $users = Get-MgUser -Filter $filter -Property $properties -all | Where-Object {($_.AssignedLicenses).count -gt 0} | select $select
    }elseif ($IsLicensed -eq 'false') {
      # Get only users without license
      $users = Get-MgUser -Filter $filter -Property $properties -all | Where-Object {($_.AssignedLicenses).count -eq 0} | select $select
    }else{
      $users = Get-MgUser -Filter $filter -Property $properties -all | select $select
    }
  }
  return $users
}

Function Get-Manager {
  <#
    .SYNOPSIS
      Get the manager users
  #>
  param(
    [Parameter(Mandatory = $true)] $userId
  )
  process {
    $manager = Get-MgUser -UserId $userId -ExpandProperty manager | Select @{Name = 'name'; Expression = {$_.Manager.AdditionalProperties.displayName}}
    return $manager.name
  }
}

Function Get-MFAStatusUsers {
  <#
    .SYNOPSIS
      Get all AD users
  #>
  process {
    Write-Host "Collecting users" -ForegroundColor Cyan
    
    # Collect users to get
    $users = Get-Users
    
    # Get all MFA Report data
    $reportData = Get-MgBetaReportAuthenticationMethodUserRegistrationDetail

    Write-Host "Processing" $users.count "users" -ForegroundColor Cyan

    # Collect and loop through all users
    foreach ($reportUser in $reportData) {

      # Check if we want this users in the output
      # Note - it's faster to get all report data and then filter it on the selected users, 
      # then getting the report data for each individual user
      if ($reportUser.UserPrincipalName -notin $users.UserPrincipalName) {
        continue
      }

      Write-Host "- Processing $($reportUser.UserDisplayName)" -ForegroundColor Cyan
    
      # Get the user data from the users array
      $userData = $users | where-object {$_.UserPrincipalName -eq $reportUser.UserPrincipalName}

      # Get the manager of the user (optional)
      $manager = Get-Manager -userId $reportUser.id
      
      # Create output object
      [pscustomobject]@{
        "Name" = $userData.DisplayName
        "Emailaddress" = $userData.mail
        "UserPrincipalName" = $reportUser.UserPrincipalName
        "User Type" = $reportUser.UserType
        "isAdmin" = $reportUser.IsAdmin
        "MFA Capable" = $reportUser.IsMfaCapable
        "MFA Default method" = $reportUser.DefaultMfaMethod
        "MFA Secondary method" = $reportUser.UserPreferredMethodForSecondaryAuthentication
        "MFA Methods Registered" = $reportUser.MethodsRegistered -join ", "
        "Passwordless Capable" = $reportUser.IsPasswordlessCapable
        "SSPR Registered" = $reportUser.IsSsprRegistered
        "SSPR Capable" = $reportUser.IsSsprCapable
        "Manager" = $manager
      }
    }
  }
}

# Connect to Graph
ConnectTo-MgGraph

# Get Admins
# Get all users with admin role
$admins = $null

if ($adminsOnly) {
  $admins = Get-Admins
} 

# Get MFA Status
Get-MFAStatusUsers | Sort-Object Name | Export-CSV -Path $CSVPath -NoTypeInformation

if ((Get-Item $CSVPath).Length -gt 0) {
  Write-Host "Report finished and saved in $CSVPath" -ForegroundColor Green

  # Open the CSV file
  Invoke-Item $CSVPath
}else{
  Write-Host "Failed to create report" -ForegroundColor Red
}

Terminando

Es importante realizar un seguimiento de la configuración de MFA de sus usuarios para mantener seguro su inquilino de Microsoft 3675. Los nuevos informes de Microsoft Entra le permiten rastrear fácilmente a aquellos usuarios que no han completado el proceso de configuración de MFA o que están utilizando métodos de MFA obsoletos.

Aunque el informe en Microsoft Entra proporciona la información más necesaria, con PowerShell podemos incluir datos de contacto, administrador del usuario o detalles del departamento que pueden ser realmente útiles.

Espero que te haya gustado este artículo y este guión. Si tienes alguna pregunta, deja un comentario a continuación.

Cómo obtener el estado MFA de Microsoft Entra

Informe Microsoft Entra MFA

Obtenga el estado de Entra MFA con PowerShell

Guión completo

Terminando

Artículos relacionados