Eseguire una campagna di registrazione per configurare una passkey o un Microsoft Authenticator

È possibile consentire agli utenti di configurare una passkey o un Microsoft Authenticator durante l'accesso. Gli utenti eseguono l'accesso normale, eseguono l'autenticazione a più fattori (MFA) come di consueto e quindi viene richiesto di configurare il metodo di autenticazione di destinazione. È possibile includere o escludere utenti o gruppi per stabilire chi riceve i solleciti e creare campagne mirate per indirizzare gli utenti da metodi di autenticazione meno sicuri verso passkey o Authenticator.

Le campagne di registrazione supportano due metodi di autenticazione:

Passkey (FIDO2): consente agli utenti di registrare una passkey, che include passkey sincronizzati e passkey associati a dispositivo.
Authenticator: consente agli utenti di scaricare e configurare Authenticator per le notifiche push.

Una campagna di registrazione può avere come destinazione un solo metodo di autenticazione alla volta. Non è possibile eseguire campagne sia per Authenticator che per passkey contemporaneamente nello stesso tenant.

È anche possibile definire il numero di giorni in cui un utente può posticipare, o mettere in pausa, il promemoria. Se un utente tocca Skip for now per posticipare la configurazione, viene nuovamente sollecitato al successivo tentativo di autenticazione a più fattori una volta trascorsa la durata di posticipo. È possibile decidere se l'utente può snooze indefinito o fino a tre volte (dopo la quale è necessaria la registrazione).

Durante il normale accesso degli utenti, i criteri di Accesso Condizionale di Microsoft Entra che regolano la registrazione delle informazioni di sicurezza vengono applicati prima che all'utente venga richiesto di configurare un metodo di autenticazione. Ad esempio, se un criterio di accesso condizionale richiede che gli aggiornamenti delle informazioni di sicurezza possano verificarsi solo in una rete interna. Agli utenti non viene richiesto nulla, a meno che non si trovino sulla rete interna.

Prerequisiti

Facoltativamente, è possibile determinare il numero di utenti che hanno registrato ogni metodo di autenticazione prima di configurare la campagna di registrazione. Vedi Report attività dei metodi di autenticazione.
È necessario abilitare l'autenticazione a più fattori, ma non sono previsti requisiti di licenza.
È possibile scegliere tra due campagne di autenticazione:
- Campagne di autenticazione: gli utenti non possono avere già configurato Authenticator per le notifiche push nel proprio account. Abilitare Authenticator per gli utenti nei criteri relativi ai metodi di autenticazione. La modalità di autenticazione deve essere impostata su Qualsiasi o Push. Se la modalità è impostata su Senza password, gli utenti non sono idonei per il nudge. Per altre informazioni, vedere Abilitare l'accesso senza password con Authenticator.
- Campagne passkey: il metodo di autenticazione passkey (FIDO2) deve essere abilitato nei criteri dei metodi di autenticazione. Inoltre, l'interruttore Consenti installazione self-service deve essere abilitato nella configurazione del metodo passkey (FIDO2). Per altre informazioni, vedere Abilitare passkey.

Esperienza utente

Campagna di autenticazione

Quando si è inclusi in una campagna di registrazione per Authenticator, si segue il flusso seguente:

È necessario completare MFA.
Se si è abilitati per le notifiche push di Authenticator e non è configurato, viene richiesto di configurare Authenticator per migliorare l'esperienza di accesso.

Altre funzionalità di sicurezza, come chiavi di accesso senza password, reimpostazione self-service della password o valori predefiniti di sicurezza, potrebbero anche richiedere di eseguire la configurazione.
Selezionare Avanti e completare la configurazione dell'autenticatore.
Se non vuoi configurare Authenticator, puoi selezionare Ignora per ora per posticipare la richiesta fino a 14 giorni, periodo che può essere configurato da un amministratore. Gli utenti con abbonamenti gratuiti e di prova possono posticipare la richiesta fino a tre volte.

Campagna Passkey

Quando si è selezionati per una campagna di registrazione di una passkey, si segue il flusso seguente:

È necessario completare MFA.
Se la registrazione della passkey è abilitata per il tuo account e non è ancora stata registrata alcuna passkey, ti viene chiesto di configurarne una.

Nota

La valutazione passkey nudge determina se si dispone di una passkey locale per la combinazione corrente di dispositivo e browser. Se hai già una passkey locale per questa esperienza, non riceverai alcun suggerimento. La valutazione del nudge si basa su ciascuna combinazione di dispositivo e browser che utilizzi, anziché sull'account utente. Per ulteriori informazioni sui tipi di passkey che soddisfano i requisiti del nudge su ciascuna piattaforma, consulta la sezione Valutazione del nudge delle passkey per piattaforma.
Se non si desidera impostare una passkey, selezionare Ignora per il momento per posticipare il promemoria.
Se si verifica un errore durante la registrazione passkey, viene visualizzata una schermata di errore con un'opzione skip. I salti dalla schermata di errore non vengono conteggiati ai fini del numero limitato di salti consentiti, quindi gli errori di registrazione non impediscono l'accesso.

Abilitare i criteri della campagna di registrazione usando il Interfaccia di amministrazione di Microsoft Entra

Per abilitare una campagna di registrazione nella Interfaccia di amministrazione di Microsoft Entra, seguire questa procedura:

Accedere all'interfaccia di amministrazione di Microsoft Entra come almeno un amministratore dei criteri di autenticazione.
Passare a Entra ID> Metodi di autenticazione> Campagna di registrazione e selezionare Edit.
Per Stato:
- Selezionare Abilitato per abilitare la campagna di registrazione per tutti gli utenti. Quando lo stato è impostato su Abilitato, è possibile configurare il metodo di autenticazione di destinazione, la durata dello snooze, il numero limitato di snooz e le destinazioni di inclusione/esclusione.
- Selezionare gestito da Microsoft per abilitare la campagna di registrazione con le impostazioni predefinite consigliate da Microsoft. Quando si seleziona Microsoft managed, il metodo di autenticazione di destinazione, la durata dello snooze e il numero limitato di snoozes vengono impostati automaticamente e non possono essere configurati. È ancora possibile configurare i target di inclusione/esclusione. Per altre informazioni, vedere Protezione dei metodi di autenticazione in Microsoft Entra ID.
Nota

Quando lo stato è impostato su Microsoft gestito, Microsoft determina le impostazioni ottimali della campagna in base alle procedure consigliate per il tenant. Le seguenti modifiche vengono distribuite in modo incrementale ai tenant:
- Modifiche del metodo di autenticazione mirate da Authenticator a passkey (FIDO2).
- Giorni consentiti per posticipare cambia a un giorno. Questa impostazione non è più configurabile.
- Numero limitato di posticipi diventa Disattivato (posticipi illimitati). Questa impostazione non è più configurabile.
- Destinazione utenti passa dagli utenti che usano chiamate vocali o SMS a tutti gli utenti idonei per l'MFA.
Se il tenant specifica determinati AAGUID nei criteri delle passkey (FIDO2), il metodo di autenticazione interessato non viene aggiornato alle passkey in modalità gestita da Microsoft. Puoi comunque passare a Abilitato e configurare manualmente l'assegnazione delle passkey. Dopo che le modifiche sono entrate in vigore, gli utenti interessati ricevono solleciti per la registrazione della passkey durante l'accesso, dopo aver completato l'autenticazione a più fattori.

Se vuoi abilitare passkey ma non vuoi che la campagna di registrazione abbia come destinazione i passkey, puoi impostare lo stato su Abilitato e target Authenticator. È anche possibile impostare lo stato su Disabilitato. Per altre informazioni su come vengono impostati i valori gestiti Microsoft, vedere Microsoft valori gestiti.
Se lo stato della campagna di registrazione è impostato su Abilitato, è possibile configurare l'esperienza per gli utenti usando un numero limitato di snoozes:
- Se Numero limitato di posticipi è impostato su Abilitato, gli utenti possono ignorare il prompt di interruzione tre volte, dopodiché sono costretti a registrare il metodo di autenticazione richiesto.
- Se il numero limitato di snoozes è impostato su Disabilitato, gli utenti possono snooze un numero illimitato di volte ed evitare la registrazione.
Nota

Quando il numero limitato di snoozes è impostato su Abilitato, il conteggio di snooze viene monitorato per utente e viene salvato in modo permanente tra riavvii o modifiche di configurazione della campagna (inclusi gli aggiornamenti dei metodi di destinazione). Questa impostazione garantisce un'esperienza di registrazione coerente e prevedibile.

I giorni consentiti per snooze impostano il periodo tra due richieste di interrupt successive. Ad esempio, se il periodo è impostato su tre giorni, gli utenti che hanno ignorato la registrazione non vengono più richiesti fino a dopo tre giorni.
Per Metodo di autenticazione selezionare il metodo di destinazione:
- Microsoft Authenticator: invita gli utenti a configurare Authenticator.
- Passkey: consente agli utenti di registrare una passkey (include passkey sincronizzati e passkey associati a dispositivo).
Selezionare tutti gli utenti o i gruppi da escludere dalla campagna di registrazione e quindi selezionare Salva.

Abilitare i criteri della campagna di registrazione usando Graph Explorer

Oltre a usare il Interfaccia di amministrazione di Microsoft Entra, è possibile abilitare i criteri della campagna di registrazione usando Graph Explorer. È necessario utilizzare le API di Microsoft Graph per i criteri dei metodi di autenticazione. Gli utenti a cui è assegnato almeno il ruolo Di amministratore criteri di autenticazione possono aggiornare i criteri.

Per configurare il criterio con Graph explorer:

Accedere a Graph Explorer e assicurarsi di aver acconsentito alle autorizzazioni Policy.Read.All e Policy.ReadWrite.AuthenticationMethod per aprire il riquadro delle autorizzazioni.

Recuperare i criteri dei metodi di autenticazione:

GET https://graph.microsoft.com/v1.0/policies/authenticationmethodspolicy

Aggiorna le sezioni registrationEnforcement e authenticationMethodsRegistrationCampaign del criterio per abilitare il nudging per un utente o un gruppo.

Per aggiornare i criteri, eseguire un PATCH sui criteri dei metodi di autenticazione con solo la sezione aggiornata registrationEnforcement :
```
PATCH https://graph.microsoft.com/v1.0/policies/authenticationmethodspolicy
```

Nella tabella seguente sono elencate authenticationMethodsRegistrationCampaign le proprietà.

Nome	Possibili valori	Descrizione
`snoozeDurationInDays`	Intervallo: da 0 a 14	Definisce il numero di giorni prima che l'utente venga nuovamente sollecitato. Se il valore è `0`, l'utente viene sollecitato durante ogni tentativo di autenticazione a più fattori. Impostazione predefinita: un giorno
`enforceRegistrationAfterAllowedSnoozes`	`true` `false`	Determina se un utente deve eseguire la configurazione dopo tre snoozes. Se `true`, l'utente deve eseguire la registrazione. Se `false`, l'utente può posticipare indefinitamente. Impostazione predefinita: `true`
`state`	`enabled` `disabled` `default`	Consente di abilitare o disabilitare la funzionalità. Il valore predefinito viene usato quando la configurazione non è impostata in modo esplicito e usa il valore predefinito Microsoft Entra ID per questa impostazione. Modificare lo stato in `enabled` (per tutti gli utenti) o `disabled` in base alle esigenze.
`excludeTargets`	Non si applica	Consente di escludere utenti e gruppi diversi da omettere dalla funzionalità. Se un utente si trova in un gruppo escluso e in un gruppo incluso, l'utente viene escluso dalla funzionalità.
`includeTargets`	Non si applica	Consente di includere utenti e gruppi diversi di destinazione della funzionalità.

Nella tabella seguente sono elencate includeTargets le proprietà.

Nome	Possibili valori	Descrizione
`targetType`	`user` `group`	Tipo di entità mirata.
`ID`	Identificatore univoco globale (GUID)	ID dell'utente o del gruppo di destinazione.
`targetedAuthenticationMethod`	`microsoftAuthenticator` `fido2`	Metodo di autenticazione che l'utente è incoraggiato a registrare. Utilizzare `microsoftAuthenticator` per incoraggiare gli utenti a configurare l'app Authenticator oppure `fido2` per incoraggiare gli utenti a registrare una passkey.

Nella tabella seguente sono elencate excludeTargets le proprietà.

Nome	Possibili valori	Descrizione
`targetType`	`user` `group`	Tipo di entità mirata.
`ID`	Una stringa	ID dell'utente o del gruppo di destinazione.

Esempi

Per iniziare, è possibile usare i corpi JSON di esempio seguenti:

Includere tutti gli utenti e l'autenticatore di destinazione.

Se si vuole includere tutti gli utenti nel tenant e inviarli per configurare Authenticator, aggiornare l'esempio JSON seguente con gli identificatori univoci globali pertinenti (GUID) degli utenti e dei gruppi. Quindi, incollalo in Graph Explorer ed esegui PATCH sul endpoint.

{
"registrationEnforcement": {
        "authenticationMethodsRegistrationCampaign": {
            "snoozeDurationInDays": 1,
            "enforceRegistrationAfterAllowedSnoozes": true,
            "state": "enabled",
            "excludeTargets": [],
            "includeTargets": [
                {
                    "id": "all_users",
                    "targetType": "group",
                    "targetedAuthenticationMethod": "microsoftAuthenticator"
                }
            ]
        }
    }
}

Includere tutti gli utenti e i passkey di destinazione.

Se si vuole includere tutti gli utenti nel tenant e inviarli per registrare una passkey, aggiornare l'esempio JSON seguente. Quindi, incollalo in Graph Explorer ed esegui PATCH sul endpoint.

{
"registrationEnforcement": {
        "authenticationMethodsRegistrationCampaign": {
            "snoozeDurationInDays": 1,
            "enforceRegistrationAfterAllowedSnoozes": true,
            "state": "enabled",
            "excludeTargets": [],
            "includeTargets": [
                {
                    "id": "all_users",
                    "targetType": "group",
                    "targetedAuthenticationMethod": "fido2"
                }
            ]
        }
    }
}

Includere utenti o gruppi di utenti specifici.

Se si vogliono includere determinati utenti o gruppi nel tenant, aggiornare l'esempio JSON seguente con i GUID pertinenti di utenti e gruppi. Quindi, incolla il codice JSON in Graph Explorer ed esegui PATCH sull'endpoint.

{
"registrationEnforcement": {
      "authenticationMethodsRegistrationCampaign": {
          "snoozeDurationInDays": 1,
          "enforceRegistrationAfterAllowedSnoozes": true,
          "state": "enabled",
          "excludeTargets": [],
          "includeTargets": [
              {
                  "id": "*********PLEASE ENTER GUID***********",
                  "targetType": "group",
                  "targetedAuthenticationMethod": "microsoftAuthenticator"
              },
              {
                  "id": "*********PLEASE ENTER GUID***********",
                  "targetType": "user",
                  "targetedAuthenticationMethod": "microsoftAuthenticator"
              }
          ]
      }
  }
}

Includere ed escludere utenti o gruppi specifici.

Se si vuole includere ed escludere determinati utenti o gruppi nel tenant, aggiornare l'esempio JSON seguente con i GUID pertinenti di utenti e gruppi. Quindi, incollalo in Graph Explorer ed esegui PATCH sul endpoint.

{
"registrationEnforcement": {
        "authenticationMethodsRegistrationCampaign": {
            "snoozeDurationInDays": 1,
            "enforceRegistrationAfterAllowedSnoozes": true,
            "state": "enabled",
            "excludeTargets": [
                {
                    "id": "*********PLEASE ENTER GUID***********",
                    "targetType": "group"
                },
              {
                    "id": "*********PLEASE ENTER GUID***********",
                    "targetType": "user"
                }
            ],
            "includeTargets": [
                {
                    "id": "*********PLEASE ENTER GUID***********",
                    "targetType": "group",
                    "targetedAuthenticationMethod": "microsoftAuthenticator"
                },
                {
                    "id": "*********PLEASE ENTER GUID***********",
                    "targetType": "user",
                    "targetedAuthenticationMethod": "microsoftAuthenticator"
                }
            ]
        }
    }
}

Identificare i GUID degli utenti per il corpo della richiesta JSON

Accedere all'interfaccia di amministrazione di Microsoft Entra come almeno un amministratore dei criteri di autenticazione.
Nel riquadro Gestisci selezionare Utenti.
Nella pagina Utenti identificare l'utente specifico di destinazione.
Quando si seleziona l'utente specifico, viene visualizzato il relativo ID oggetto, ovvero il GUID dell'utente.

Identifica i GUID di gruppo per il corpo della richiesta JSON

Accedere all'interfaccia di amministrazione di Microsoft Entra come almeno un amministratore dei criteri di autenticazione.
Nel riquadro Gestisci selezionare Gruppi.
Nella pagina Gruppi identificare il gruppo specifico di destinazione.
Selezionare il gruppo per ottenere l'ID oggetto.

Limiti

Il sollecito per la passkey viene valutato per ogni utente in modalità gestita da Microsoft. Quando un utente accede ed è incluso nell'ambito della campagna di registrazione, il profilo passkey viene controllato per le restrizioni. Gli utenti non visualizzano un nudge al termine dell'autenticazione a più fattori se il profilo passkey presenta una delle restrizioni seguenti:

Solo sincronizzato
Solo vincolato al dispositivo
Attestazione applicata
Restrizioni di AAGUID

Valutazione passkey nudge per piattaforma

La campagna di registrazione valuta se un utente ha una passkey locale per la combinazione di dispositivo e browser corrente. La tabella seguente descrive i tipi passkey della piattaforma che eliminano il nudge in ogni combinazione di sistema operativo e browser. Per evitare che il suggerimento venga mostrato su quel dispositivo e browser, un utente deve disporre di almeno un tipo di passkey corrispondente.

Ad esempio, se un utente dispone di una credenziale Windows Hello for Business e accede a Windows con Chrome, il nudge viene eliminato. Tuttavia, se lo stesso utente accede da un Mac con Chrome, viene avvisato perché tale credenziale non si applica a quella piattaforma.

Credential	Windows + Chrome	Windows + Altri	Mac + Chrome	Mac + Altro	iOS	Android
Windows Hello per le aziende	✔️	✔️	-	-	-	-
Chiave d'accesso Microsoft Entra su Windows	✔️	✔️	-	-	-	-
Google Password Manager	✔️	-	✔️	-	-	✔️
Portachiavi iCloud (incluso quello gestito)	-	-	✔️	✔️	✔️	-
Single Sign-On (SSO) di Mac Platform	-	-	✔️	✔️	-	-
Samsung Pass	-	-	-	-	-	✔️
Passkey nell'app Microsoft Authenticator	-	-	-	-	✔️	✔️
Qualsiasi provider nonplatform (ad esempio chiavi di sicurezza o app di autenticazione)	✔️	✔️	✔️	✔️	✔️	✔️

Nota

Gli utenti Linux non ricevono solleciti. I passkey FIDO2 non sono disponibili in Linux.

Domande frequenti

È possibile sollecitare gli utenti all’interno di un’applicazione?

Sì. Le campagne di registrazione supportano visualizzazioni browser incorporate in determinate applicazioni. La campagna non sollecita gli utenti nelle esperienze iniziali o nelle visualizzazioni del browser incorporate in Impostazioni di Windows.

Gli utenti possono ricevere un sollecito durante una sessione SSO?

Il nudge non viene attivato se l'utente ha già eseguito l'accesso con SSO.

È possibile inviare solleciti agli utenti su un dispositivo mobile?

Dipende dalla campagna di registrazione:

Microsoft Authenticator campagne di registrazione non sono supportate nei dispositivi mobili.
Le campagne di registrazione passkey sono supportate nei dispositivi mobili, tra cui:
- Esperienze basate su browser su dispositivi mobili.
- App per dispositivi mobili iOS native. Il supporto nativo delle app per dispositivi mobili Android non è attualmente disponibile.

Quanto dura la campagna?

Puoi abilitare la campagna per tutto il tempo desiderato. Ogni volta che vuoi completare l'esecuzione della campagna, usa l'interfaccia di amministrazione o le API per disabilitare la campagna.

Ogni gruppo di utenti può avere una durata di snooze diversa?

No La durata dello snooze per il prompt è un'impostazione a livello di tenant e si applica a tutti i gruppi nell'ambito previsto.

La funzionalità della campagna di registrazione supporta il nudging degli utenti per configurare MFA usando Authenticator o per registrare una passkey. L'accesso tramite telefono senza password non è un metodo mirato per le campagne di registrazione.

Un utente che effettua l'accesso con un'app di autenticazione diversa da Microsoft visualizza il sollecito?

Sì. Se un utente è abilitato per la campagna di registrazione e il metodo di autenticazione previsto non è stato configurato (Authenticator per le notifiche push o una passkey), all'utente viene richiesto di configurarlo.

Un utente che ha configurato Authenticator esclusivamente per i codici OTP basati sul tempo vede il sollecito?

Sì. Se un utente è abilitato per una campagna di registrazione per Authenticator e Authenticator non è configurato per le notifiche push, all'utente viene richiesto di configurare le notifiche push con Authenticator.

Un utente che ha già una passkey vede il sollecito?

Il passkey nudge valuta se un utente ha una passkey locale per la combinazione corrente di dispositivo e browser. Se l'utente ha già una passkey locale per tale esperienza, non viene eseguito il nudging. Per questo motivo, un utente potrebbe essere insidiato in un dispositivo, ma non in un altro. Per informazioni specifiche sulla piattaforma, consulta la sezione Valutazione di passkey nudge per piattaforma.

È possibile eseguire campagne di registrazione sia per Authenticator che per passkey contemporaneamente?

No Una campagna di registrazione può avere come destinazione un solo metodo di autenticazione alla volta. È possibile specificare come destinazione Authenticator o passkey, ma non entrambi contemporaneamente nello stesso tenant.

No Per offrire un'esperienza utente ottimale, gli utenti non sono in grado di configurare Authenticator nella stessa sessione in cui hanno registrato altri metodi di autenticazione.

È possibile spostare gli utenti per registrare un altro metodo di autenticazione?

Sì. Le campagne di registrazione consentono di incoraggiare gli utenti a configurare Authenticator o a registrare una passkey (FIDO2). Selezionare il metodo di autenticazione di destinazione quando si configura la campagna.

Esiste un modo per nascondere l'opzione snooze e forzare gli utenti a configurare Authenticator?

Impostare Numero limitato di rinvii su Abilitato in modo che gli utenti possano posticipare la configurazione dell'applicazione fino a un massimo di tre volte, dopodiché la configurazione diventa obbligatoria.

Posso inviare un promemoria ai miei utenti se non uso Microsoft Entra MFA?

No Il nudge funziona solo per gli utenti che eseguono l'autenticazione a più fattori usando Microsoft Entra MFA.

Gli utenti guest/B2B nel mio tenant ricevono un suggerimento?

Vengono sollecitati se sono inclusi in una campagna di registrazione per Authenticator. Non ricevono alcun sollecito se sono inclusi in una campagna di registrazione per le passkey, perché il supporto delle passkey per gli utenti ospiti non è attualmente disponibile.

Cosa succede se l'utente chiude il browser?

La chiusura del browser equivale allo snoozing. Se l'installazione è necessaria per un utente dopo che ha rinviato tre volte, l'utente viene sollecitato quando effettua il prossimo accesso.

Perché alcuni utenti non visualizzano un nudge quando sono presenti criteri di accesso condizionale per "Registrare le informazioni di sicurezza"?

Un sollecito non viene visualizzato se un utente rientra nell'ambito di applicazione di un criterio di accesso condizionale che blocca l'accesso alla pagina Registra le informazioni di sicurezza.

Un nudge non viene visualizzato se durante la procedura di accesso appare una schermata delle condizioni d'uso.

Un promemoria non viene visualizzato se l'utente viene reindirizzato durante l'accesso a causa delle impostazioni relative ai controlli personalizzati di Accesso condizionale.

Commenti e suggerimenti

Questa pagina è stata utile?

Last updated on 2026-06-12