Autenticazione preferita dal sistema

L'autenticazione preferita dal sistema richiede agli utenti di accedere usando il metodo più sicuro registrato. È un importante miglioramento della sicurezza per gli utenti che eseguono l'autenticazione usando metodi basati sul telefono. Gli amministratori possono abilitare l'autenticazione preferita dal sistema per migliorare la sicurezza dell'accesso e scoraggiare metodi di accesso meno sicuri, ad esempio Short Message Service (SMS).

Ad esempio, se un utente ha registrato sia le notifiche push SMS che Microsoft Authenticator come metodi per MFA, l'autenticazione preferita dal sistema richiede all'utente di accedere usando il metodo di notifica push più sicuro. L'utente può comunque scegliere di accedere usando un altro metodo, ma prima gli/le viene richiesto di provare il metodo più sicuro registrato.

L'autenticazione preferita dal sistema è un'impostazione gestita da Microsoft, che è un criterio a tre stati:

• Abilitato : applica l'autenticazione preferita dal sistema solo al secondo fattore (MFA).
• Gestito da Microsoft : durante l'anteprima, un interruttore applica sia all'autenticazione primaria che a più fattori (anteprima) controlla se la funzionalità si applica anche all'autenticazione primaria. Quando l'interruttore è disattivato (impostazione predefinita), l'autenticazione preferita dal sistema si applica solo al secondo fattore. Quando l'interruttore è attivato, si applica sia al primo che al secondo fattore.
• Disabilitato : disattiva l'autenticazione preferita dal sistema.

Se non si vuole abilitare l'autenticazione preferita dal sistema, impostare lo stato su Disabilitato o escludere utenti e gruppi dai criteri.

Dopo l'abilitazione dell'autenticazione preferita dal sistema, il sistema di autenticazione esegue tutte le operazioni. Gli utenti non devono impostare alcun metodo di autenticazione come predefinito poiché il sistema determina e presenta sempre il metodo più sicuro registrato.

Limitazioni note

• Quando si modificano i criteri per un gruppo di destinazione, la modifica potrebbe non avere effetto sull'accesso successivo dell'utente. Si applica a tutti gli accessi successivi.
• I criteri di accesso condizionale vengono convalidati solo per l'autenticazione a più fattori e non si applicano all'autenticazione a primo fattore.

Abilitare l'autenticazione preferita dal sistema nell'interfaccia di amministrazione di Microsoft Entra

Per abilitare l'autenticazione preferita dal sistema, seguire questa procedura:

1. Accedere all'Interfaccia di amministrazione di Microsoft Entra almeno come Amministratore dei criteri di autenticazione.

2. Eseguire la navigazione verso Microsoft Entra ID>Metodi di autenticazione>Impostazioni.

3. Per l'autenticazione preferita dal sistema, scegliere uno stato (gestito da Microsoft o Abilitato) in base al fatto che si voglia applicare l'autenticazione preferita dal sistema a entrambi i fattori o solo al secondo fattore. È anche possibile includere o escludere utenti o gruppi. I gruppi esclusi hanno la precedenza sui gruppi inclusi.

   Quando si imposta lo stato su Microsoft gestito, viene visualizzata un'opzione per applicare all'autenticazione primaria e a più fattori (anteprima). Attivare l'interruttore per applicare l'autenticazione preferita dal sistema all'autenticazione primaria e secondaria. Quando l'interruttore è disattivato (impostazione predefinita), l'autenticazione preferita dal sistema si applica solo al secondo fattore.

   Ad esempio, lo screenshot seguente mostra come abilitare l'autenticazione preferita dal sistema solo per il gruppo Engineering.

   

4. Dopo aver apportato le modifiche, selezionare Salva.

Abilitare l'autenticazione preferita dal sistema usando le API Graph

Per abilitare in anticipo l'autenticazione preferita dal sistema, è necessario scegliere un singolo gruppo di destinazione per la configurazione dello schema, come illustrato nell'esempio Richiesta .

Proprietà di configurazione delle funzionalità del metodo di autenticazione

Per impostazione predefinita, l'autenticazione preferita dal sistema è gestita da Microsoft.

Proprietà obiettivo della funzionalità

L'autenticazione preferita dal sistema può essere abilitata solo per un singolo gruppo, che può essere un gruppo dinamico o annidato.

Usare l'endpoint API seguente per abilitare systemCredentialPreferences e includere o escludere gruppi:

https://graph.microsoft.com/v1.0/policies/authenticationMethodsPolicy

Richiesta

L'esempio seguente esclude un gruppo di destinazione di esempio e include tutti gli utenti. Per ulteriori informazioni, vedere Aggiorna authenticationMethodsPolicy.

PATCH https://graph.microsoft.com/v1.0/policies/authenticationMethodsPolicy
Content-Type: application/json

{
    "systemCredentialPreferences": {
        "state": "enabled",
        "excludeTargets": [
            {
                "id": "aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb",
                "targetType": "group"
            }
        ],
        "includeTargets": [
            {
                "id": "all_users",
                "targetType": "group"
            }
        ]
    }
}

Domande frequenti

In che modo l'autenticazione preferita dal sistema determina il metodo più sicuro?

Quando un utente esegue l'accesso, il processo di autenticazione controlla quali metodi di autenticazione sono registrati per l'utente. All'utente viene richiesto di accedere con il metodo più sicuro in base all'ordine seguente. L'ordine dei metodi di autenticazione è dinamico e aggiornato man mano che cambia il panorama della sicurezza e man mano che emergono metodi di autenticazione migliori. Gli utenti possono sempre annullare e scegliere un metodo di accesso disponibile diverso. Se l'organizzazione dispone di criteri di accesso condizionale che richiedono metodi di autenticazione specifici, tali criteri continuano a assumere la priorità rispetto all'ordine di autenticazione preferito dal sistema.

¹Include chiavi di sicurezza, passkey nell'app Authenticator, passkey sincronizzati, Windows Hello for Business e macOS Platform SSO.

²Include hardware o software TOTP da Microsoft Authenticator, Authenticator Lite o applicazioni di terze parti.

³Include SMS e chiamate vocali.

In che modo l'autenticazione preferita dal sistema influisce sull'estensione NPS?

L'autenticazione preferita dal sistema non influisce sugli utenti che accedono usando l'estensione Server dei criteri di rete (NPS). Questi utenti non visualizzano alcuna modifica all'esperienza di accesso.

Cosa accade agli utenti che non sono specificati nei criteri dei metodi di autenticazione ma abilitati nei criteri legacy a livello di tenant MFA?

L'autenticazione preferita dal sistema si applica anche agli utenti abilitati per l'autenticazione a più fattori nei criteri di autenticazione a più fattori legacy.

Gli utenti possono comunque scegliere un metodo di accesso diverso?

Sì. L'autenticazione preferita dal sistema richiede agli utenti le credenziali registrate più sicure, ma gli utenti possono comunque scegliere altri metodi consentiti durante l'accesso.

Passaggi successivi

• Metodi di autenticazione in Microsoft Entra ID
• Come eseguire una campagna di registrazione per configurare Microsoft Authenticator