Configurar la política de acceso condicional en Microsoft Entra

Microsoft recomienda configurar una MFA con una política de acceso condicional cuando tiene una licencia Microsoft Entra ID P1 o P2. Esto significa que primero debe desactivar los valores predeterminados de seguridad y la MFA por usuario para que no haya problemas. En este artículo, aprenderá cómo configurar una política de acceso condicional en el centro de administración de Microsoft Entra y con PowerShell.

¿Qué es la política de acceso condicional?

El acceso condicional le permite hacer cumplir los requisitos de acceso cuando ocurren condiciones específicas.

Una política de acceso condicional es una declaración si-entonces de asignaciones y controles de acceso. Por ejemplo, Si un usuario desea acceder a una aplicación o servicio como Microsoft 365, entonces debe realizar una autenticación multifactor para obtener acceso.

Consulte la siguiente tabla para ver algunos ejemplos de políticas de acceso condicional:

Condiciones:

• Si un usuario está fuera de la dirección IP de la red de la empresa.
• Si un usuario del grupo “Ventas” inicia sesión.

Control S:

• El usuario debe iniciar sesión con autenticación multifactor (MFA).
• El usuario debe ser compatible con Intune.

Las políticas de acceso condicional le permiten crear condiciones que administren controles de seguridad que pueden bloquear el acceso y requerir autenticación multifactor.

Utilice políticas de acceso condicional para aplicar los controles de acceso adecuados cuando sea necesario para mantener segura su organización.

Requisitos de licencia

Necesita uno de los siguientes requisitos para configurar el acceso condicional:

• Licencia Premium Empresarial
• Licencia Microsoft Entra ID P1
• Licencia Microsoft Entra ID P2

Deshabilitar los valores predeterminados de seguridad

Antes de implementar políticas de acceso condicional en su organización, debe desactivar los valores predeterminados de seguridad.

Microsoft protege a todos los inquilinos y habilita los valores predeterminados de seguridad. Esto es un problema si desea configurar una política de acceso condicional porque una vez que desee crear la política de CA, obtendrá el siguiente error.

Para evitar este error, debe desactivar los valores predeterminados de seguridad de su organización antes de configurar una política de acceso condicional.

Deshabilitar los valores predeterminados de seguridad en Microsoft Entra ID

Deshabilite los valores predeterminados de seguridad para su organización en los pasos siguientes:

1. Iniciar sesión en el centro de administración de Microsoft Entra
2. Haga clic en Identidad > Descripción general
3. Haga clic en la pestaña Propiedades
4. Desplácese hacia abajo > Haga clic en Administrar valores predeterminados de seguridad.
5. Seleccione Desactivado
6. Seleccione Mi organización utiliza acceso condicional
7. Haga clic en Guardar

8. Haga clic en Desactivar

Desactivó con éxito los valores predeterminados de seguridad.

Deshabilite los valores predeterminados de seguridad con Microsoft Graph PowerShell

También puede deshabilitar los valores predeterminados de seguridad con Microsoft Graph PowerShell para su organización siguiendo estos pasos:

1. Primero, necesita instalar el módulo Microsoft Graph.

Install-Module Microsoft.Graph -Force

2. Conéctese a Microsoft Graph con los siguientes alcances.

Connect-MgGraph -Scopes "Policy.Read.All", "Policy.ReadWrite.ConditionalAccess"

3. Deshabilite los valores predeterminados de seguridad con el siguiente comando de PowerShell.

Update-MgPolicyIdentitySecurityDefaultEnforcementPolicy -IsEnabled:$false

4. Ejecute el siguiente comando de PowerShell para verificar si deshabilitó los valores predeterminados de seguridad

Get-MgPolicyIdentitySecurityDefaultEnforcementPolicy | ft DisplayName, IsEnabled

5. La salida de PowerShell muestra el valor de Valores predeterminados de seguridad establecido en Falso.

DisplayName       IsEnabled
-----------       ---------
Security Defaults     False

Crear una política de acceso condicional en Microsoft Entra

Hay dos métodos para crear una política de acceso condicional:

• Crear nueva política a partir de plantillas
• Crear nueva política manualmente

Crear una nueva política de acceso condicional a partir de plantillas

Para crear una nueva política de CA a partir de una plantilla, siga estos pasos:

1. Iniciar sesión en el centro de administración de Microsoft Entra
2. Haga clic en Protección > Acceso condicional
3. Ir a Descripción general
4. Haga clic en Crear nueva política a partir de plantillas.

5. Vaya a Seleccione una plantilla
6. Ir a Fundación segura
7. Seleccione la plantilla Requerir autenticación multifactor para todos los usuarios
8. Haga clic en Revisar + Crear

9. Seleccione el estado de la política Activado
10. Haga clic en Crear

Aparece una notificación indicando que se creó correctamente la política de CA: Requerir autenticación multifactor para administradores. La política se habilitará en unos minutos si el Estado de la política está establecido en Activado.

Crear una nueva política de acceso condicional manualmente

Para crear una nueva política de CA manualmente, siga los pasos a continuación:

1. Iniciar sesión en el centro de administración de Microsoft Entra
2. Haga clic en Protección > Acceso condicional
3. Ir a Descripción general
4. Haga clic en Crear nueva política.

5. Escriba el nombre MFA todos los usuarios
6. Haga clic en Usuarios
7. Haga clic en Incluir
8. Seleccione Todos los usuarios

9. Haga clic en Excluir
10. Seleccione Usuarios y grupos
11. Seleccione los usuarios y grupos

12. Haga clic en Recursos de destino.
13. Seleccione aplicaciones en la nube
14. Haga clic en Incluir
15. Seleccione Todas las aplicaciones en la nube

16. Haga clic en Condiciones
17. Haga clic en Ubicaciones
18. Configurar > Seleccione Sí
19. Haga clic en Incluir
20. Seleccione Cualquier ubicación

21. Haga clic en Conceder
22. Seleccione Conceder acceso
23. Seleccione Requerir autenticación multifactor
24. Haga clic en Seleccionar

25. Habilitar política > Haga clic en Activado
26. Seleccione Entiendo que mi cuenta se verá afectada por esta política. Procede de todas maneras.
27. Haga clic en Crear

Aparece la notificación de que creó correctamente la política de CA: MFA todos los usuarios. La política se habilitará en unos minutos.

Verificar la política de acceso condicional en Microsoft Entra

Verifique la política de CA que creó en el centro de administración de Microsoft Entra:

1. Haga clic en Protección > Acceso condicional
2. Haga clic en Políticas

Las dos políticas que creamos aparecen en la lista de políticas de acceso condicional.

Configurar la política de acceso condicional con PowerShell

Configure la política de acceso condicional con PowerShell siguiendo los pasos a continuación.

Instalar Microsoft Graph PowerShell

Antes de comenzar, debe instalar el módulo Microsoft Graph y el módulo Microsoft Graph Beta.

Ejecute los siguientes comandos para instalar los módulos de Microsoft Graph.

Install-Module Microsoft.Graph -Force
Install-Module Microsoft.Graph.Beta -AllowClobber -Force

Conecte Microsoft Graph PowerShell

Debe conectarse a Microsoft Graph PowerShell con los siguientes alcances.

Connect-MgGraph -Scopes "Policy.Read.All", "Policy.ReadWrite.ConditionalAccess"

Ahora ya está todo listo para utilizar los comandos de Microsoft Graph PowerShell.

Obtener una lista de plantillas de políticas de acceso condicional

Para obtener una lista de las plantillas de políticas de acceso condicional, usaremos el cmdlet de PowerShell New-MgBetaIdentityConditionalAccessPolicy.

Ejecute el siguiente comando de PowerShell.

Get-MgBetaIdentityConditionalAccessTemplate | select Id, Name, Description

El resultado de la salida de PowerShell se muestra a continuación.

Id                                   Name                                                                                           Description
--                                   ----                                                                                           -----------
c7503427-338e-4c5e-902d-abe252abfb43 Require multifactor authentication for admins                                                  Require multifactor authentication for privileged administrative accounts to reduce risk of compromise. This p… 
b8bda7f8-6584-4446-bce9-d871480e53fa Securing security info registration                                                            Secure when and how users register for Azure AD multifactor authentication and self-service password reset.     
0b2282f9-2862-4178-88b5-d79340b36cb8 Block legacy authentication                                                                    Block legacy authentication endpoints that can be used to bypass multifactor authentication.
a3d0a415-b068-4326-9251-f9cdf9feeb64 Require multifactor authentication for all users                                               Require multifactor authentication for all user accounts to reduce risk of compromise.
a4072ac0-722b-4991-981b-7f9755daef14 Require multifactor authentication for guest access                                            Require guest users perform multifactor authentication when accessing your company resources.
d8c51a9a-e6b1-454d-86af-554e7872e2c1 Require multifactor authentication for Azure management                                        Require multifactor authentication to protect privileged access to Azure management.
6b619f55-792e-45dc-9711-d83ec9d7ae90 Require multifactor authentication for risky sign-ins                                          Require multifactor authentication if the sign-in risk is detected to be medium or high. (Requires an Azure AD… 
634b6de7-c38d-4357-a2c7-3842706eedd7 Require password change for high-risk users                                                    Require the user to change their password if the user risk is detected to be high. (Requires an Azure AD Premi… 
c26a510a-3b8b-4023-8c44-d4f4c854e9f9 Require compliant or hybrid Azure AD joined device for admins                                  Require privileged administrators to only access resources when using a compliant or hybrid Azure AD joined de… 
4e39a309-931e-4cb1-a371-e2beea168002 Block access for unknown or unsupported device platform                                        Users will be blocked from accessing company resources when the device type is unknown or unsupported.
62e51ccc-c9c3-4554-ac70-066172c81007 No persistent browser session                                                                  Protect user access on unmanaged devices by preventing browser sessions from remaining signed in after the bro… 
6acdf4c3-6815-485c-a57d-2c349d517ba0 Require approved client apps or app protection policies                                        To prevent data loss, organizations can restrict access to approved modern auth client apps with Intune app pr… 
927c884e-7888-4e81-abc4-bd56ded28985 Require compliant or hybrid Azure AD joined device or multifactor authentication for all users Protect access to company resources by requiring users to use a managed device or perform multifactor authenti… 
81fd2072-4876-42b6-8157-c6000693046b Use application enforced restrictions for O365 apps                                            Block or limit access to O365 apps, including SharePoint Online, OneDrive, and Exchange Online content. This p… 
76c03f19-ea37-4656-a772-a183b4ddb81d Require phishing-resistant multifactor authentication for admins                               Require phishing-resistant multifactor authentication for privileged administrative accounts to reduce risk of… 
6364131e-bc4a-47c4-a20b-33492d1fff6c Require multifactor authentication for Microsoft admin portals                                 Use this template to protect sign-ins to admin portals if you are unable to use the "Require MFA for admins" t… 
16aaa400-bfdf-4756-a420-ad2245d4cde8 Block access for users with Insider Risk (Preview)                                             Configure insider risk as a condition to identify potential risky behavior (Requires an Azure AD premium P2 li… 

Muestra una lista de todas las plantillas de políticas de acceso condicional.

Crear política de acceso condicional a partir de plantilla

Puede crear una política de acceso condicional a partir de una plantilla. Vea la lista anterior de todas las plantillas y elija una de ellas.

1. Escriba el número de ID de la plantilla en la línea número 1
2. Ejecute el siguiente script de PowerShell

$CAtemplate = Get-MgBetaIdentityConditionalAccessTemplate -ConditionalAccessTemplateId "a3d0a415-b068-4326-9251-f9cdf9feeb64"

$policyParams = @{
    TemplateId  = $CAtemplate.Id
    DisplayName = $CAtemplate.Name
    State       = "enabled"
}

New-MgIdentityConditionalAccessPolicy @policyParams

Vea el resultado de salida de PowerShell a continuación.

Id                                   CreatedDateTime     Description DisplayName                                      ModifiedDateTime State   TemplateId
--                                   ---------------     ----------- -----------                                      ---------------- -----   ----------
a09f03f4-235c-4dfc-ab7e-f05b50e8206f 31/10/2023 12.02.42             Require multifactor authentication for all users                  enabled a3d0a415-b068-4326-9251-f9cdf9feeb64

Crea la política de Acceso Condicional con la plantilla que elijas.

Crear política de acceso condicional

Para crear una política de acceso condicional, usaremos el cmdlet de PowerShell New-MgIdentityConditionalAccessPolicy.

Ejecute el siguiente script de PowerShell.

Connect-MgGraph -Scopes "Policy.Read.All", "Policy.ReadWrite.ConditionalAccess"

$params = @{
    displayName   = "MFA all users"
    state         = "enabled"
    conditions    = @{
        clientAppTypes = @(
            "All"
        )
        applications   = @{
            includeApplications = @(
                "All"
            )
        }
        users          = @{
            includeUsers  = @(
                "All"
            )
            excludeUsers  = @(
                "f034e5cd-4abb-47ca-895a-48560ec30787"
            )
            excludeGroups = @(
                "99db26ab-a3c8-4eba-a853-de022efa0021"
            )
        }
        locations      = @{
            includeLocations = @(
                "All"
            )
        }
    }
    grantControls = @{
        operator        = "OR"
        builtInControls = @(
            "mfa"
        )
    }
}

New-MgIdentityConditionalAccessPolicy -BodyParameter $params

Crea la nueva política de Acceso Condicional.

Obtenga todas las políticas de acceso condicional

Puede obtener una lista de todas las políticas de acceso condicional que creó mediante el cmdlet de PowerShell Get-MgIdentityConditionalAccessPolicy.

Ejecute el siguiente comando de PowerShell.

Get-MgIdentityConditionalAccessPolicy | ft

Vea el resultado de PowerShell a continuación.

Id                                   CreatedDateTime     Description DisplayName                                      ModifiedDateTime State   TemplateId
--                                   ---------------     ----------- -----------                                      ---------------- -----   ----------
5abe02d2-ff3f-4d31-8b20-7e7c58903462 31/10/2023 10.58.08             MFA all users                                                     enabled
a09f03f4-235c-4dfc-ab7e-f05b50e8206f 31/10/2023 12.02.42             Require multifactor authentication for all users                  enabled a3d0a415-b068-4326-9251-f9cdf9feeb64

¡Eso es todo!

Leer más: Cómo exportar la política de acceso condicional »

Conclusión

Aprendió a configurar la política de acceso condicional para su organización en el centro de administración de Microsoft Entra y con PowerShell. Primero, debe desactivar los valores predeterminados de seguridad de su organización. Luego, puede continuar y configurar una política de acceso condicional.

Disfrutaste este artículo? También te puede interesar Exportar licencias de usuarios de Microsoft 365. No olvides seguirnos y compartir este artículo.