Autenticazione a più fattori preferita dal sistema

L'autenticazione a più fattori (MFA) preferita dal sistema richiede agli utenti di accedere usando il metodo più sicuro registrato. È un importante miglioramento della sicurezza per gli utenti che eseguono l'autenticazione usando metodi basati sul telefono. Gli amministratori possono abilitare l'autenticazione a più fattori preferita dal sistema per migliorare la sicurezza degli accessi e scoraggiare metodi di accesso meno sicuri come gli Short Message Service (SMS).

Ad esempio, se un utente ha registrato sia le notifiche push SMS che Microsoft Authenticator come metodi per MFA, l'autenticazione a più fattori preferita dal sistema richiede all'utente l'accesso usando il metodo di notifica push più sicuro. L'utente può comunque scegliere di accedere usando un altro metodo, ma prima gli/le viene richiesto di provare il metodo più sicuro registrato.

L'autenticazione a più fattori preferita dal sistema è un'impostazione gestita da Microsoft, ovvero un criterio a tre stati. Il valore Gestito da Microsoft di MFA preferito dal sistema è Abilitato. Se non si vuole abilitare l'autenticazione a più fattori preferita dal sistema, modificare lo stato da Gestito da Microsoft a Disabilitato o escludere utenti e gruppi dai criteri.

Dopo l'abilitazione dell'autenticazione a più fattori MFA preferita dal sistema, il sistema di autenticazione esegue tutte le operazioni. Gli utenti non devono impostare alcun metodo di autenticazione come predefinito poiché il sistema determina e presenta sempre il metodo più sicuro registrato.

Con le credenziali preferite dal dispositivo (anteprima), l'autenticazione preferita dal sistema valuta le credenziali disponibili nel dispositivo dell'utente in fase di accesso e richiede all'utente l'opzione più avanzata.

Credenziali preferite dal dispositivo (anteprima)

Le credenziali preferite per il dispositivo sono una funzionalità migliorata di accesso che sostituisce il sistema delle credenziali usate più di recente (MRU). Invece di impostare per impostazione predefinita le credenziali usate per l'ultima volta a livello di account, le credenziali preferite dal dispositivo valutano le credenziali migliori disponibili nel dispositivo dell'utente in fase di accesso.

Ad esempio, se un utente ha eseguito l'accesso in precedenza con SMS ma ha anche una passkey disponibile nel dispositivo, la credenziale preferita dal dispositivo richiede all'utente di usare la passkey.

Modalità credenziali preferite dal dispositivo

Le credenziali preferite dal dispositivo hanno tre modalità:

• Disabilitato : nessuna modifica alla logica di accesso. La logica MRU esistente continua a essere applicata.
• Abilitato: la logica delle credenziali preferite dal dispositivo si applica a un secondo fattore (MFA) solo per utenti con ambito definito.
• Gestito da Microsoft : le credenziali preferite dal dispositivo usano le impostazioni predefinite gestite da Microsoft solo per il secondo fattore (MFA). Un'opzione per Applicare sia all'autenticazione primaria che a quella multifattore (anteprima) controlla se la funzionalità si applica anche all'autenticazione primaria:
  • Off (impostazione predefinita): le credenziali preferite dal dispositivo si applicano solo a un secondo fattore.
  • On : le credenziali preferite dal dispositivo si applicano sia all'autenticazione primaria che a quella secondaria.

Entrambe le modalità abilitate e gestite da Microsoft consentono agli amministratori di includere o escludere utenti o gruppi specifici.

Limitazioni note

• Quando si modificano i criteri per un gruppo di destinazione, la modifica potrebbe non avere effetto sull'accesso successivo dell'utente. Si applica a tutti gli accessi successivi.
• I criteri di accesso condizionale vengono convalidati solo per l'autenticazione a più fattori e non si applicano all'autenticazione a primo fattore.

Abilitare l'autenticazione a più fattori preferita dal sistema nell'interfaccia di amministrazione di Microsoft Entra

Per impostazione predefinita, l'autenticazione a più fattori preferita dal sistema è gestita da Microsoft e abilitata per tutti gli utenti.

1. Accedere all'Interfaccia di amministrazione di Microsoft Entra almeno come Amministratore dei criteri di autenticazione.

2. Eseguire la navigazione verso Microsoft Entra ID>Metodi di autenticazione>Impostazioni.

3. Per l'autenticazione a più fattori preferita dal sistema, scegliere se abilitare o disabilitare in modo esplicito la funzionalità e includere o escludere degli utenti. I gruppi esclusi hanno la precedenza sui gruppi inclusi.

   Quando si imposta lo stato su Microsoft gestito, viene visualizzata un'opzione per applicare all'autenticazione primaria e a più fattori (anteprima). Attivare l'interruttore per applicare la logica delle credenziali preferita dal dispositivo all'autenticazione primaria e secondaria. Quando l'interruttore è disattivato (impostazione predefinita), le credenziali preferite del dispositivo si applicano solo al secondo fattore.

   Ad esempio, lo screenshot seguente mostra come abilitare in modo esplicito MFA preferito dal sistema solo per il gruppo Engineering.

   

4. Dopo aver apportato le modifiche, selezionare Salva.

Abilitare l'autenticazione a più fattori preferita dal sistema usando le API Graph

Per abilitare in anticipo l'autenticazione a più fattori preferita dal sistema, è necessario scegliere un singolo gruppo di destinazione per la configurazione dello schema, come illustrato nell'esempio Richiesta.

Proprietà di configurazione delle funzionalità del metodo di autenticazione

Per impostazione predefinita, l'autenticazione a più fattori preferita dal sistema è gestita da Microsoft ed è abilitata.

Proprietà obiettivo della funzionalità

L'autenticazione a più fattori preferita dal sistema può essere abilitata solo per un singolo gruppo; questo può essere un gruppo dinamico o annidato.

Usare l'endpoint API seguente per abilitare systemCredentialPreferences e includere o escludere gruppi:

https://graph.microsoft.com/v1.0/policies/authenticationMethodsPolicy

Richiesta

L'esempio seguente esclude un gruppo di destinazione di esempio e include tutti gli utenti. Per ulteriori informazioni, vedere Aggiorna authenticationMethodsPolicy.

PATCH https://graph.microsoft.com/v1.0/policies/authenticationMethodsPolicy
Content-Type: application/json

{
    "systemCredentialPreferences": {
        "state": "enabled",
        "excludeTargets": [
            {
                "id": "aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb",
                "targetType": "group"
            }
        ],
        "includeTargets": [
            {
                "id": "all_users",
                "targetType": "group"
            }
        ]
    }
}

Domande frequenti

In che modo l'autenticazione a più fattori preferita dal sistema determina il metodo più sicuro?

Quando un utente esegue l'accesso, il processo di autenticazione controlla quali metodi di autenticazione sono registrati per l'utente. All'utente viene richiesto di accedere con il metodo più sicuro in base all'ordine seguente. L'ordine dei metodi di autenticazione è dinamico e aggiornato man mano che cambia il panorama della sicurezza e man mano che emergono metodi di autenticazione migliori. Gli utenti possono sempre annullare e scegliere un metodo di accesso disponibile diverso. Se l'organizzazione dispone di criteri di accesso condizionale che richiedono metodi di autenticazione specifici, tali criteri continuano a assumere la priorità rispetto all'ordine di autenticazione a più fattori preferito dal sistema.

Quando la credenziale preferita dal dispositivo è abilitata, il sistema valuta le credenziali disponibili nel dispositivo dell'utente e seleziona il metodo più alto da questo elenco.

¹Include chiavi di sicurezza, passkey nell'app Authenticator, passkey sincronizzati, Windows Hello for Business e macOS Platform SSO.

²Include hardware o software TOTP da Microsoft Authenticator, Authenticator Lite o applicazioni di terze parti.

³Include SMS e chiamate vocali.

In che modo l'MFA preferito dal sistema influisce sull'estensione NPS?

L'MFA preferita dal sistema non influisce sugli utenti che accedono usando l'estensione Server dei criteri di rete (NPS). Questi utenti non visualizzano alcuna modifica all'esperienza di accesso.

Cosa accade agli utenti che non sono specificati nei criteri dei metodi di autenticazione ma abilitati nei criteri legacy a livello di tenant MFA?

L'autenticazione a più fattori preferita dal sistema si applica anche agli utenti abilitati per l'autenticazione a più fattori nei criteri di autenticazione a più fattori legacy.

In che modo le credenziali preferite dal dispositivo differisce dal comportamento di accesso precedente?

La logica MRU precedente selezionava la credenziale più recentemente usata dall'utente a livello di account. Le credenziali preferite dal dispositivo sostituiscono questa logica valutando il contesto di dispositivo e le credenziali disponibili in fase di accesso, quindi selezionando il metodo più sicuro applicabile.

Gli amministratori devono configurare le credenziali per ogni dispositivo?

No. L'ordinamento delle credenziali è definito dal sistema. Gli amministratori non devono configurare la priorità delle credenziali per utente o per dispositivo. Le credenziali preferite dal dispositivo valutano automaticamente le credenziali disponibili e supportate nel dispositivo in fase di accesso.

Gli utenti possono comunque scegliere un metodo di accesso diverso con le credenziali preferite dal dispositivo?

Sì. Le credenziali preferite dal dispositivo richiedono agli utenti le credenziali migliori disponibili, ma gli utenti possono comunque scegliere altri metodi consentiti durante l'accesso. Il sistema non modifica il valore predefinito in base alla scelta dell'utente.

Passaggi successivi

• Metodi di autenticazione in Microsoft Entra ID
• Come eseguire una campagna di registrazione per configurare Microsoft Authenticator