4.3K
Autenticación multifactor (MFA) está habilitado de forma predeterminada para todos los usuarios de los inquilinos de Microsoft 365 (ex Office 365). MFA es una gran medida de seguridad que agrega uno o más factores al proceso de autenticación del usuario además de la combinación de nombre de usuario y contraseña. En algunos casos, es posible que un administrador necesite deshabilitar MFA para una cuenta de usuario única o múltiple en Microsoft 365.
Deshabilitar los valores predeterminados de seguridad de Entra ID
La configuración de seguridad predeterminada de Entra ID no permite que MFA se desactive para los usuarios. Estas configuraciones están establecidas por los valores predeterminados de seguridad de Entra ID. Entonces, el primer paso es deshabilitar los valores predeterminados de seguridad para su inquilino de Microsoft 365.
- Inicia sesión en Centro de administración de Microsoft Entra.
- Navegar a Identidad → Descripción general → Propiedades.
- Desplácese hasta el final y haga clic en «Administrar los valores predeterminados de seguridad”.
- Seleccionar Desactivadoelige un Razón para deshabilitar Valores predeterminados de seguridad y haga clic en Ahorrar.
- Cuando se le solicite, haga clic en «Desactivar”para confirmar.
El estado ha cambiado a «Su organización no está protegida por valores predeterminados de seguridad.”
Ahora debe deshabilitar MFA para un solo usuario o para todos los usuarios inquilinos desde el portal Microsoft Entra ID (anteriormente Azure AD) o mediante PowerShell.
Deshabilitar MFA por usuario desde el portal Microsoft Entra ID
MFA se implementa en Entra ID en una configuración por usuario (si no se utiliza el acceso condicional). Por lo tanto, puede utilizar el centro de administración de Microsoft Entra para seleccionar y deshabilitar MFA para un usuario específico.
- Inicie sesión en el centro de administración de Microsoft Entra, haga clic en Usuarios → Todos los usuarios → MFA por usuario.
- La página muestra una lista de usuarios inquilinos y el estado de MFA de cada uno. Seleccione uno o más usuarios cuyo estado sea «Activado«(significa que MFA está habilitado para la cuenta, pero el usuario no ha completado el registro del segundo factor) o «aplicado» y haga clic en «Desactivar» enlace.
- Haga clic en Sí en el mensaje de confirmación.
- Haga clic en Cerrar una vez finalizada la actualización del estado de MFA.
Repita los mismos pasos para desactivar MFA para otros usuarios según sea necesario.
Cómo deshabilitar MFA en Microsoft 365 usando PowerShell
Además, puede usar PowerShell para deshabilitar MFA por usuario para cuentas de Microsoft 365. Esto requiere la Módulo MSOnline para ser instalado en la computadora del administrador.
Instale el módulo MSOnline en Windows PowerShell usando el comando:
Install-Module MSOnline
Una vez instalado, conéctese a Entra ID ejecutando este comando:
Connect-MsolService
Para deshabilitar completamente MFA para una cuenta de usuario en particular, use el siguiente comando:
Set-MsolUser -UserPrincipalName kirill@theitbros.com -StrongAuthenticationRequirements @()
No hay resultados si el comando es exitoso.
Nota. Para volver a habilitar MFA para el usuario, ejecute:
$mfaEnable = New-Object -TypeName Microsoft.Online.Administration.StrongAuthenticationRequirement $mfaEnable.RelyingParty = "*" $mfaEnable.State = "Enabled" Set-MsolUser -UserPrincipalName kirill@theitbros.com -StrongAuthenticationRequirements $mfaEnable The following PowerShell script can be used to list MFA-enabled users (including MFA methods) in the Entra ID tenant: # Get users with Per-User MFA enabled $perUserMFA = Get-MsolUser -All | Where-Object { $_.UserType -eq 'Member' -and $_.StrongAuthenticationRequirements.State } | Select-Object DisplayName, UserPrincipalName, @{N = "MFA State"; E = { $_.StrongAuthenticationRequirements.State } }, @{N = "Default MFA Method"; E = { if ($mfaType = ($_.StrongAuthenticationMethods | Where-Object { $_.IsDefault }).MethodType) { $mfaType } else { 'None' } } } | Sort-Object DisplayName # Show the results $perUserMFA
Para deshabilitar MFA para todos los usuarios de Microsoft 365, use el comando:
Get-MsolUser -All | Set-MsolUser -StrongAuthenticationRequirements @()
Importante. MFA es una característica de seguridad sólida que protege sus cuentas en la nube de Microsoft. Se recomienda tener siempre habilitado MFA para los usuarios. Normalmente, MFA se puede desactivar para cuentas de usuario en los siguientes casos:
— Al migrar a una solución MFA de terceros
— Aplicaciones heredadas que no admiten la autenticación moderna
— Solución de problemas de casos en los que puede ser necesario apagar temporalmente MFA
— Una cuenta de servicio de bajo riesgo con los privilegios mínimos asignados utilizada para ejecutar aplicaciones o servicios
En algunos casos, puede evitar deshabilitar MFA utilizando el acceso condicional de Entra ID. Las políticas de acceso condicional están disponibles en los inquilinos de Entra ID con una licencia del Plan Premium 1 o 2 y permiten agregar reglas adicionales para deshabilitar automáticamente MFA en algunos casos.
Por ejemplo, el acceso condicional permite:
- Deshabilite MFA para subredes de direcciones IP confiables. Los usuarios que inician sesión desde estas subredes de direcciones IP confiables pueden omitir MFA. Ir a hacer clic configuración de servicio > ips de confianza. Bajo «ips de confianza”, marque el “Omitir la autenticación multifactor para solicitudes de usuarios federados en mi intranet» caja. Ingrese cada subred de dirección IP confiable (CIDR) en el cuadro: una entrada por línea.
- Cree una política de acceso condicional para omitir el requisito de MFA al acceder a recursos de Microsoft 365
La desactivación de MFA en cuentas de Microsoft 365 debe planificarse y ejecutarse cuidadosamente para evitar interrupciones. Si decide desactivar MFA, debe tomar medidas adicionales para mitigar los riesgos potenciales, incluida la educación de los usuarios y la configuración de otras medidas de seguridad.
