MFA obbligatoria con Microsoft 365 Business Standard: cosa puoi fare senza accesso condizionale.
Impostazioni predefinite di sicurezza o accesso condizionale: cosa include ogni licenza, come attivare l'MFA e perché gli account di emergenza vanno creati prima.
Con Microsoft 365 Business Standard l'MFA obbligatoria si ottiene con le impostazioni predefinite di sicurezza (security defaults). L'accesso condizionale, cioè regole su misura per utenti, app e dispositivi, richiede almeno Microsoft Entra ID P1, che fa parte di Business Premium e non di Standard.
- Licenza — Impostazioni predefinite: Inclusa (Entra ID Free); Accesso condizionale: Entra ID P1 (Business Premium)
- Personalizzazione — Impostazioni predefinite: Nessuna: acceso o spento; Accesso condizionale: Completa
- Uso insieme — Impostazioni predefinite: No; Accesso condizionale: No
Le due cose non convivono: per usare l'accesso condizionale devi prima disattivare le impostazioni predefinite.
Cosa fanno le impostazioni predefinite
- Tutti gli utenti devono registrare l'MFA. Dal 29 luglio 2024 il periodo di tolleranza di 14 giorni non esiste più.
- Gli amministratori hanno l'MFA a ogni accesso.
- Gli utenti la ricevono quando serve, secondo la valutazione di Microsoft (posizione, dispositivo, ruolo, operazione).
- Blocco dell'autenticazione legacy (per esempio Exchange ActiveSync con autenticazione di base).
- MFA per gli strumenti di gestione Azure.
I metodi che la documentazione cita sono: Microsoft Authenticator con notifica, i codici di Authenticator e le app TOTP di terze parti. Le chiavi FIDO2 non sono elencate tra i metodi delle impostazioni predefinite: prima di basare il progetto su questo, prova con un utente pilota se la chiave registrata soddisfa la richiesta di MFA nel tuo tenant.
Gli account di sincronizzazione di Entra Connect sono esclusi dai prompt MFA.
Prima di attivare: gli account di emergenza
Microsoft raccomanda due account solo cloud (nome @tenant.onmicrosoft.com, non sincronizzati) con ruolo permanente di Global Administrator, per il caso in cui un errore di configurazione ti chiuda fuori. Password lunghe e casuali, conservate offline in due posti diversi, usate solo per l'emergenza e monitorate.
Se usi l'accesso condizionale, escludili dalle regole; con le impostazioni predefinite l'esclusione non è possibile, quindi proteggili con una chiave FIDO2 dedicata.
Come si attivano
- Accedi all'interfaccia di amministrazione di Microsoft Entra con almeno il ruolo Conditional Access Administrator.
- Vai in Entra ID → Panoramica → Proprietà.
- Seleziona Gestisci impostazioni predefinite di sicurezza.
- Imposta Abilitato e salva.
I tenant creati dopo il 22 ottobre 2019 le hanno già attive. Controlla comunque lo stato: se qualcuno le ha disattivate, l'MFA non è obbligatoria.
Quando le attivi, Microsoft consiglia di revocare le sessioni esistenti, così gli utenti già collegati devono registrarsi:
Revoke-MgUserSignInSession -UserId <id-oggetto-utente>
Non toccare i metodi nelle impostazioni del servizio MFA
La documentazione avverte di non disattivare metodi in "Metodi disponibili per gli utenti" nelle impostazioni del servizio MFA: puoi chiuderti fuori dal tenant.
Quando passare a Business Premium
Se vuoi che la chiave FIDO sia l'unico metodo accettato (con la regola forza di autenticazione: MFA resistente al phishing), o se ti servono eccezioni per ufficio, rete o dispositivo, con le impostazioni predefinite non è possibile. Valuta Business Premium per i soli utenti che ne hanno bisogno, oppure per tutti: è una decisione di costo che conviene prendere prima di comprare le chiavi.