richiesta windows hello for business e mfa durante la registrazione del dispositivo

Question

Buongiorno,

ho la seguente situazione:

pc nuovo. con l'utente amministratore locale aggiungo il dispositivo a Microsoft Entra ID. inserisco le credenziali dell'account aziendale. il dispositivo si riavvia e faccio login con il nuovo account aziendale. prima di terminare l'accesso mi viene richiesta la configurazione di windows hello for business e nella schermata successiva, mi viene richiesto l'attivazione della doppia autenticazione.

Premetto che sia WHfB che MFA sono gestiti tramite accesso condizionale applicato solamente ad un gruppo di utenti.

Come mai mi chiede di attivare MFA al primo login se questo utente non è presente nel gruppo gestito da accesso condizionale?

Grazie

saluti

Answer 1

Buongiono, Andrea,

Agli utenti viene chiesto di registrarsi per MFA a causa della funzionalità di sicurezza predefinita in Azure AD. Microsoft sta rendendo le impostazioni di sicurezza predefinite disponibili a tutti, perché la gestione della sicurezza può essere difficile. Gli attacchi correlati all'identità come password spray, replay e phishing sono comuni nell'ambiente odierno. Oltre il 99,9% di questi attacchi correlati all'identità viene fermato utilizzando l'autenticazione a più fattori (MFA) e bloccando l'autenticazione legacy. L'obiettivo è garantire che tutte le organizzazioni abbiano almeno un livello di sicurezza di base abilitato senza costi aggiuntivi. Le impostazioni di sicurezza predefinite semplificano la protezione della tua organizzazione da questi attacchi correlati all'identità con impostazioni di sicurezza preconfigurate:

• Requiring all users to register for Azure AD Multi-Factor Authentication.
• Requiring administrators to do multifactor authentication.
• Requiring users to do multifactor authentication when necessary.
• Blocking legacy authentication protocols.
• Protecting privileged activities like access to the Azure portal.

Una delle impostazioni preconfigurate nelle impostazioni di sicurezza predefinite è "Tutti gli utenti devono registrarsi per MFA" Gli utenti hanno 14 giorni per registrarsi per Azure AD Multi-Factor Authentication utilizzando l'app Microsoft Authenticator o qualsiasi app che supporti OATH TOTP. Dopo che sono trascorsi 14 giorni, l'utente non può accedere fino al completamento della registrazione. Il periodo di 14 giorni di un utente inizia dopo il primo accesso interattivo riuscito dopo aver abilitato le impostazioni predefinite di sicurezza. Se non vuoi che questa funzionalità sia abilitata nel tuo tenant, puoi disabilitarla seguendo i passaggi seguenti, Accedi al portale di Azure come amministratore della sicurezza, amministratore di Accesso condizionale o amministratore globale. Vai ad Azure Active Directory>Proprietà. Seleziona Gestisci impostazioni predefinite di sicurezza. Imposta l'opzione Abilita impostazioni predefinite di sicurezza su No. Seleziona Salva

Puoi anche fare riferimento all'articolo seguente per maggiori informazioni, https://learn.microsoft.com/en-us/azure/active-directory/fundamentals/concept-fundamentals-security-defaults

Fammi sapere se hai altre domande. "Accetta la risposta" se le informazioni ti sono state utili. Questo aiuterà anche noi e altri nella community.