Búsqueda de sitios web

Cómo configurar claves de acceso en Microsoft Entra ID

Una clave de acceso es una forma sencilla y segura de iniciar sesión sin tener que ingresar un nombre de usuario o contraseña. También agrega una capa adicional de seguridad para proteger su cuenta. En este artículo, aprenderá cómo configurar claves de acceso en Microsoft Entra ID con Microsoft Authenticator.

Requisitos previos

Microsoft Entra ID permite utilizar claves de acceso para la autenticación sin contraseña. Esta clave de acceso se puede utilizar en lugar de una contraseña y le permite iniciar sesión con su rostro, huella digital o PIN.

Existen algunos requisitos previos antes de habilitar las claves de acceso en Microsoft Entra y registrarlas para los usuarios:

  • Se recomienda migrar MFA y SSPR heredados a la política de métodos de autenticación.
  • Los usuarios deben tener habilitado el método Microsoft Authenticator (MFA).
  • Actualice a la última aplicación Microsoft Authenticator (versión 6.8.7 o posterior)
  • Requiere al menos Android 14 o IOS 17 y superior
  • El móvil y el ordenador deben estar conectados a Internet y tener Bluetooth activado (autenticación entre dispositivos)

Habilitar claves de acceso en Microsoft Entra ID

Hay dos métodos para habilitar claves de acceso en Microsoft Entra ID con la aplicación Microsoft Authenticator:

  • Centro de administración de Microsoft Entra
  • Microsoft Graph PowerShell

Método 1. Centro de administración de Microsoft Entra

Para habilitar claves de acceso en Microsoft Entra, siga estos pasos:

  1. Inicie sesión en el centro de administración de Microsoft Entra
  2. Haga clic en Protección > Métodos de autenticación.
  3. Haga clic en Clave de seguridad FIDO2.

  1. Seleccione Activar
  2. Incluir todos los usuarios
  3. Haga clic en Guardar

  1. Haga clic en Configurar
  2. Permitir configuración de autoservicio > Seleccione Sí
  3. Aplicar certificación > Seleccione No*
  4. Aplicar restricción de clave > Seleccione Sí
  5. Restringir claves específicas > Seleccione Permitir

  6. Seleccione Microsoft Authenticator (Vista previa) y agregará AAGUID para iOS y Android.

    • iOS: 90a3ccdf-635c-4729-a248-9b709135078f
    • Android: de1e552d-db1d-4423-a619-566b625cdc84
  7. Haga clic en Guardar

*Debe seleccionar No para Aplicar atestación porque Microsoft no admite la atestación de claves de acceso en Microsoft Authenticator. De lo contrario, agregará la clave de acceso a su aplicación Authenticator, pero no la agregará a su cuenta de Microsoft Información de seguridad. Además, el siguiente error aparece cuando registra una clave de acceso para un usuario.

Error: Se produjo un error desconocido durante el registro de la clave de acceso. Inténtelo de nuevo o comuníquese con su administrador para obtener ayuda.

  1. La política de claves de seguridad FIDO2 se guarda y habilita correctamente para los usuarios.

Todo está configurado ahora en Microsoft Entra ID. El siguiente paso es lo que el usuario debe hacer en su dispositivo móvil.

Método 2: Microsoft Graph PowerShell

Para habilitar claves de acceso en Microsoft Entra ID con Microsoft Graph PowerShell, siga los pasos a continuación:

  1. Inicie Windows PowerShell como administrador y ejecute el siguiente comando para instalar el módulo Microsoft Graph PowerShell.
Install-Module Microsoft.Graph -Force

Importante: Instale siempre la última versión del módulo Microsoft Graph PowerShell antes de ejecutar un cmdlet o script para evitar errores y resultados incorrectos.

  1. Ejecute el cmdlet Connect-MgGraph con los ámbitos siguientes para autenticarse con Microsoft Graph.
Connect-MgGraph -Scopes "Policy.ReadWrite.AuthenticationMethod"
  1. Ejecute el siguiente script de PowerShell.
Connect-MgGraph -Scopes "Policy.ReadWrite.AuthenticationMethod"

$params = @{
    "@odata.type"                    = "#microsoft.graph.fido2AuthenticationMethodConfiguration"
    id                               = "Fido2"
    state                            = "enabled"
    includeTargets                   = @(
        @{
            id         = "all_users"
            targetType = "group"
        }
    )
    excludeTargets                   = @(
    )
    isSelfServiceRegistrationAllowed = $true
    isAttestationEnforced            = $false
    keyRestrictions                  = @{
        isEnforced      = $true
        enforcementType = "Allow"
        aaGuids         = @(
            "90a3ccdf-635c-4729-a248-9b709135078f",
            "de1e552d-db1d-4423-a619-566b625cdc84"
        )
    }
}

Update-MgPolicyAuthenticationMethodPolicyAuthenticationMethodConfiguration -AuthenticationMethodConfigurationId "Fido2" -BodyParameter $params

4. Verifique el estado y las propiedades del método de autenticación Fido2.

Get-MgPolicyAuthenticationMethodPolicyAuthenticationMethodConfiguration -AuthenticationMethodConfigurationId "Fido2" | Select-Object -ExpandProperty AdditionalProperties

Aparece el siguiente resultado.

Key                              Value
---                              -----
@odata.context                   https://graph.microsoft.com/v1.0/$metadata#authenticationMethodConfigurations/$entity
@odata.type                      #microsoft.graph.fido2AuthenticationMethodConfiguration
isSelfServiceRegistrationAllowed True
isAttestationEnforced            False
keyRestrictions                  {[isEnforced, True], [enforcementType, allow], [aaGuids, System.Object[]]}
includeTargets@odata.context     https://graph.microsoft.com/v1.0/$metadata#policies/authenticationMethodsPolicy/authenticationMethodConfigurations('Fido2')/microsoft.graph.fido2AuthenticationMethodConfiguration/includeTargets  
includeTargets                   {System.Collections.Generic.Dictionary`2[System.String,System.Object]}

Todo está configurado ahora en Microsoft Entra ID. El siguiente paso es lo que el usuario debe hacer en su dispositivo móvil.

Registre la clave de acceso en la aplicación Microsoft Authenticator

El usuario debe registrar la clave de acceso en la aplicación Microsoft Authenticator en su dispositivo móvil. En nuestro ejemplo, lo registraremos en un dispositivo iOS, pero esto también se puede hacer en un dispositivo Android.

Nota: Puede seguir los pasos para registrar Passkey desde el escritorio con su dispositivo móvil o solo desde su dispositivo móvil.

Siga estos pasos para registrar Passkey en Microsoft Authenticator:

  1. Iniciar sesión en Información de seguridad
  2. Haga clic en Agregar método de inicio de sesión.

  1. Seleccione Clave de acceso en Microsoft Authenticator (vista previa)
  2. Haga clic en Agregar

  1. Haga clic en Siguiente

  1. Selecciona tu dispositivo móvil > iPhone o iPad

  1. Sigue los pasos en tu dispositivo móvil iOS

    • Haga clic en Configuración > Contraseñas > Opciones de contraseña
    • Habilite Autocompletar contraseñas y claves de acceso > seleccione Autenticador
  2. Haga clic en Continuar

  1. Haga clic en Siguiente

  1. Haga clic en Entiendo

  1. Seleccione iPhone, iPad o dispositivo Android
  2. Haga clic en Siguiente

  1. Escanea el código QR con tu dispositivo móvil

  1. En su dispositivo móvil recibirá el mensaje > ¿Crear una clave de acceso? Se guardará una clave de acceso para el usuario "Amanda.Hansen@m365info.com" y estará disponible en los dispositivos donde esté instalado Authenticator.
  2. Haga clic en Continuar
  3. En su escritorio, aparece este mensaje > ¡Dispositivo conectado! Continuar en tu dispositivo

  1. Haga clic en Aceptar

  1. Asigne un nombre a su contraseña uno
  2. Haga clic en Listo

  1. Creaste exitosamente una clave de acceso en tu dispositivo iOS

Verificar el inicio de sesión con la clave de acceso

Una vez que habilite las claves de acceso en Microsoft Entra ID y las registre con la aplicación Microsoft Authenticator, podrá usarlas de dos maneras:

  • Desde tu dispositivo móvil
  • Desde su escritorio y dispositivo móvil de Windows (autenticación entre dispositivos)

Usar clave de acceso en dispositivo móvil

Para iniciar sesión con claves de acceso desde el dispositivo móvil, siga estos pasos:

  1. Ir al portal de Microsoft 365
  2. Seleccione Opciones de inicio de sesión

  1. Seleccione Rostro, huella digital, PIN o clave de seguridad

  1. Seleccione la contraseña > Haga clic en Continuar.

Ahora ha iniciado sesión correctamente en su cuenta de Microsoft 365.

Utilice la clave de acceso en computadoras de escritorio y dispositivos móviles

Para iniciar sesión desde el escritorio con claves de acceso, siga estos pasos.

  1. Ir al portal de Microsoft 365
  2. Haga clic en Opciones de inicio de sesión.

  1. En su lugar, haga clic en Rostro, huella digital, PIN o clave de seguridad.

  1. Seleccione iPhone, iPad o dispositivo Android
  2. Haga clic en Siguiente

  1. Escanea el código QR con tu dispositivo móvil
  2. Haz clic en el enlace que aparece en tu dispositivo móvil

  1. En su dispositivo móvil > Haga clic en Continuar para iniciar sesión con su clave de acceso.
  2. El siguiente mensaje aparece en su escritorio > ¡Dispositivo conectado! Continuar en tu dispositivo

¡Eso es todo!

Leer más: Exporte el informe de estado de MFA de todos los usuarios de Microsoft 365 »

Conclusión

Aprendió a configurar claves de acceso en Microsoft Entra ID. Primero debe configurar las claves de acceso en Microsoft Entra ID. Después de eso, el usuario debe usar su dispositivo móvil para registrar la clave de acceso en la aplicación Microsoft Authenticator. A partir de ahora, el usuario puede iniciar sesión con su clave de acceso en lugar de un nombre de usuario y contraseña.

Disfrutaste este artículo? También te puede gustar Administrar la contraseña de los usuarios de Microsoft 365. No olvides seguirnos y compartir este artículo.

Artículos relacionados