Configuración Microsoft Entra configuración de autenticación multifactor

Para personalizar la experiencia del usuario final para la autenticación multifactor (MFA) de Microsoft Entra, puede configurar opciones para notificar actividades sospechosas. La siguiente tabla describe la configuración de Microsoft Entra MFA, y las subsecciones cubren cada configuración con más detalle.

Notificar actividad sospechosa

Cuando se recibe un mensaje MFA desconocido y sospechoso, los usuarios pueden notificar la actividad mediante Microsoft Authenticator o a través de su teléfono. Informar sobre actividad sospechosa está integrado con Microsoft Entra ID Protection para la corrección impulsada por el riesgo, la creación de informes y la administración con privilegios mínimos.

Los usuarios que denuncien como sospechosa una solicitud de MFA se establecen en Usuario con alto riesgo. Los administradores pueden usar directivas basadas en riesgos para limitar el acceso a estos usuarios o habilitar el autoservicio de restablecimiento de contraseña (SSPR) para que los usuarios corrijan los problemas por sí solos.

Si no tiene una licencia de Microsoft Entra ID P2 para directivas basadas en riesgos, puede usar eventos de detección de riesgos para identificar y deshabilitar manualmente los usuarios afectados o configurar la automatización mediante flujos de trabajo personalizados con Microsoft Graph. Para obtener más información sobre cómo investigar y remediar el riesgo de los usuarios, consulte:

• Cómo: Investigar riesgos
• Cómo: Remediar riesgos y desbloquear usuarios

Para habilitar Informar de actividad sospechosa desde la directiva Métodos de autenticación Configuración:

1. Inicie sesión en el Centro de administración de Microsoft Entra como Administrador de directivas de autenticación como mínimo.
2. Vaya a Entra ID>, Métodos de autenticación> y Configuración.
3. Establezca Notificar actividad sospechosa en Habilitado. La característica permanece deshabilitada si elige Administrado por Microsoft. Para más información sobre los valores administrados de Microsoft, consulte Protección de métodos de autenticación en Microsoft Entra ID.
4. Seleccione Todos los usuarios o un grupo específico.
5. Si también carga saludos personalizados para el inquilino, seleccione un Código de informe. El código de informe es el número que los usuarios escriben en su teléfono para notificar actividades sospechosas. El código de informe solo es aplicable si un Administrador de directivas de autenticación también carga saludos personalizados. De lo contrario, el código predeterminado es 0, independientemente de cualquier valor especificado en la directiva.
6. Haga clic en Guardar.

Remediación de riesgos para inquilinos con licencia Microsoft Entra ID P1

Cuando un usuario notifica un mensaje de MFA como sospechoso, el evento se muestra en los registros de inicio de sesión (como un inicio de sesión rechazado por el usuario), en los registros de auditoría y en el informe Detecciones de riesgos.

También puede consultar las detecciones de riesgo y los usuarios marcados como de riesgo mediante Microsoft Graph.

Para la corrección manual, los administradores o el servicio de asistencia pueden pedir a los usuarios que restablezcan su contraseña mediante el restablecimiento de contraseña de autoservicio (SSPR), o hacerlo en su nombre. Para la corrección automatizada, utilice las API de Microsoft Graph o PowerShell para crear una secuencia de comandos que cambie la contraseña del usuario, fuerce el SSPR, revoque las sesiones de inicio de sesión o deshabilite temporalmente la cuenta de usuario.

Remediación de riesgos para inquilinos con licencia Microsoft Entra ID P2

Los inquilinos con una licencia Microsoft Entra ID P2 pueden usar políticas de Acceso Condicional basadas en riesgo para remediar automáticamente el riesgo del usuario, además de las opciones de licencia Microsoft Entra ID P2.

Configure una política que analice el riesgo del usuario en Condiciones>Riesgo del usuario. Busque usuarios con riesgo = alto para bloquearles el inicio de sesión o exigirles que restablezcan su contraseña.

Para obtener más información, consulte Directiva de acceso condicional basado en el riesgo de inicio de sesión.

Tokens OATH

Microsoft Entra ID admite el uso de tokens OATH TOTP SHA-1 que actualizan los códigos cada 30 o 60 segundos. Puede adquirir estos tokens a través del proveedor de su elección.

Los tokens de hardware TOTP de OATH suelen incluir una clave secreta, o valor de inicialización, programada previamente en el token. Necesita introducir esas claves en Microsoft Entra ID tal como se describe en los pasos siguientes. Las claves secretas se limitan a 128 caracteres lo que puede no ser compatible con todos los tokens. La clave secreta solo puede contener los caracteres a-z o A-Z y los dígitos 1-7. Debe estar codificada en Base32.

Los tokens de hardware TOTP de OATH programables que se pueden reinicializar también se pueden configurar con Microsoft Entra ID en el flujo de configuración de los tokens de software.

Los tokens de hardware OATH se admiten como parte de una versión preliminar pública. Para más información sobre las versiones preliminares, consulte Términos de uso complementarios de las versiones preliminares de Microsoft Azure.

Después de adquirir tokens, debe cargarlos en un formato de archivo de valores separados por comas (CSV). Incluya el UPN, el número de serie, la clave secreta, el intervalo de tiempo, el fabricante y el modelo, tal como se muestra en este ejemplo:

upn,serial number,secret key,time interval,manufacturer,model
Helga@contoso.com,1234567,1234567abcdef1234567abcdef,60,Contoso,HardwareKey

1. Inicie sesión en el centro de administración de Microsoft Entra como administrador global.
2. Vaya a Entra ID>Autenticación multifactor>OATH tokens, y cargue el archivo CSV.

En función del tamaño del archivo CSV, puede tardar unos minutos en procesarse. Seleccione Actualizar para obtener el estado. Si hay algún error en el archivo, puede descargar un archivo CSV que enumere los errores. Los nombres de campo del archivo CSV descargado son diferentes de los de la versión cargada.

Una vez solucionados los errores, para activar cada clave, el administrador puede seleccionar Activar en el token y escribir el valor de OTP que se muestra en el token.

Los usuarios pueden tener una combinación de hasta cinco tokens de hardware OATH o aplicaciones de autenticación, como la aplicación Microsoft Authenticator, que está configurada para utilizarse en cualquier momento.

Configuración de las llamadas telefónicas

Si los usuarios reciben llamadas telefónicas de solicitudes de MFA, puede configurar su experiencia, como el identificador del autor de la llamada o el saludo de voz que escuchan.

En Estados Unidos, si no ha configurado el identificador del autor de la llamada de MFA, las llamadas de voz de Microsoft proceden de los números siguientes. Los usuarios con filtros de llamadas no deseadas deben excluir estos números.

Números predeterminados: +1 (855) 330-8653, +1 (855) 336-2194, +1 (855) 341-5605

En la tabla siguiente se enumeran más números para diferentes países o regiones.

Para configurar su propio número de identificador del autor de la llamada, complete los pasos siguientes:

1. Vaya a Entra ID>Autenticación multifactor>Configuración de llamadas telefónicas.
2. Establezca el Número de id. del autor de llamada de MFA en el número que quiera que los usuarios vean en sus teléfonos. Solo se permiten números de Estados Unidos.
3. Selecciona Guardar.

Mensajes de voz personalizados

Puede usar sus propias grabaciones o saludos para la autenticación multifactor de Microsoft Entra. Se pueden usar estos mensajes además de las grabaciones de Microsoft predeterminadas o para reemplazarlas.

Antes de comenzar, tenga en cuenta las restricciones siguientes:

• Los formatos de archivo compatibles son .wav y. mp3.
• El límite de tamaño de archivo es de 1 MB.
• Los mensajes de autenticación deben durar menos de 20 segundos. Los mensajes que duren más de 20 segundos pueden hacer que la verificación cause error. Si el usuario no responde antes de que finalice el mensaje se agota el tiempo de espera de la verificación.

Comportamiento de idioma de mensaje personalizado

Cuando se reproduce un mensaje de voz personalizado para el usuario, el idioma del mensaje depende de los siguientes factores:

• Idioma del usuario.
  • El idioma detectado en el explorador del usuario.
  • Otros escenarios de autenticación pueden comportarse de manera diferente.
• El idioma de otros mensajes personalizados disponibles.
  • El idioma lo elige el administrador, cuando se agrega un mensaje personalizado.

Por ejemplo, si solo hay un mensaje personalizado y está en alemán:

• Un usuario que se autentique en alemán oirá el mensaje personalizado en ese idioma.
• Un usuario que se autentique en inglés oirá el mensaje personalizado en ese idioma.

Valores predeterminados de los mensajes de voz personalizados

Puede usar los siguientes scripts de ejemplo para crear sus propios mensajes personalizados. Estas frases se usan de forma predeterminada si no configura sus propios mensajes personalizados.

Configuración de un mensaje personalizado

Para usar sus propios mensajes personalizados, complete los pasos siguientes:

1. Vaya a Entra ID>Autenticación multifactor>Configuración de llamadas telefónicas.
2. Seleccione Agregar saludo.
3. Elija un tipo de saludo en Tipo, como Saludo (Estándar) o Autenticación correcta.
4. Seleccione el idioma. Consulte la sección anterior sobre el comportamiento del lenguaje de mensajes personalizados.
5. Busque y seleccione un archivo de sonido .mp3 o .wav para cargarlo.
6. Seleccione Agregar y, después, Guardar.

Configuración del servicio MFA

La configuración contraseñas de aplicación, la IP de confianza, las opciones de verificación y la opción recordar la autenticación multifactor en dispositivos de confianza están disponibles en la configuración del servicio. Este es un portal heredado.

Para acceder a la configuración del servicio desde el Centro de administración de Microsoft Entra, vaya a Entra ID>Autenticación multifactor>Primeros pasos>Configurar>Configuración adicional de MFA basada en la nube. Se abre una ventana o pestaña con opciones adicionales de configuración del servicio.

IP de confianza

Las condiciones de ubicación son la manera recomendada de configurar MFA con acceso condicional debido a la compatibilidad con IPv6 y otras mejoras. Para obtener más información sobre las condiciones de ubicación, vea Uso de la condición de ubicación en una directiva de acceso condicional. Para conocer los pasos para definir ubicaciones y crear una directiva de acceso condicional, vea Acceso condicional: Bloquear el acceso por ubicación.

La característica IP de confianza de la autenticación multifactor de Microsoft Entra también omite las solicitudes de MFA a los usuarios que inician sesión desde un intervalo de direcciones IP definido. Puede establecer intervalos de IP de confianza en los entornos locales. Cuando los usuarios se encuentran en una de estas ubicaciones, no hay ningún mensaje de autenticación multifactor de Microsoft Entra. La característica IP de confianza requiere la edición Microsoft Entra ID P1.

Si su organización implementa la extensión NPS para proporcionar MFA en aplicaciones locales, tenga en cuenta que la dirección IP de origen siempre parecerá ser el servidor NPS a través del que fluye el intento de autenticación.

La omisión de las direcciones IP de confianza solo funciona desde la intranet de la empresa. Si selecciona la opción Todos los usuarios federados y un usuario inicia sesión desde fuera de la intranet de la empresa, el usuario tendrá que autenticarse mediante la autenticación multifactor. El proceso es el mismo, incluso si el usuario presenta una notificación de AD FS.

Experiencia del usuario dentro de la red corporativa

Cuando se deshabilita la característica de direcciones IP de confianza, la autenticación multifactor es necesaria para los flujos del explorador. Se necesitan contraseñas de aplicación para las anteriores aplicaciones de cliente enriquecidas.

Cuando se usan direcciones IP de confianza, no se requiere la autenticación multifactor para los flujos del explorador. Las contraseñas de aplicación no son obligatorias para las anteriores aplicaciones de cliente enriquecidas, siempre que el usuario no haya creado una contraseña de aplicación. Después de que la contraseña de aplicación esté en uso, recuerde que esa contraseña sigue siendo necesaria.

Experiencia del usuario fuera de la red corporativa

Independientemente de si se han definido direcciones IP de confianza, la autenticación multifactor es necesaria para los flujos del explorador. Se necesitan contraseñas de aplicación para las anteriores aplicaciones de cliente enriquecidas.

Habilitación de las ubicaciones con nombre mediante el acceso condicional

Puede usar las reglas de acceso condicional para definir ubicaciones con nombre mediante los pasos siguientes:

1. Inicie sesión en el Centro de administración de Microsoft Entra al menos como Administrador de acceso condicional.
2. Vaya a Entra ID>Acceso condicional>Ubicaciones con nombre.
3. Seleccione Nueva ubicación.
4. Escriba un nombre para la ubicación.
5. Seleccione Marcar como ubicación de confianza.
6. Escriba el intervalo de direcciones IP en la notación CIDR del entorno. Por ejemplo, 40.77.182.32/27.
7. Seleccione Crear.

Habilite la característica de direcciones IP de confianza mediante el acceso condicional.

Para habilitar direcciones IP de confianza mediante directivas de acceso condicional, realice los pasos siguientes:

1. Inicie sesión en el Centro de administración de Microsoft Entra al menos como Administrador de acceso condicional.

2. Vaya a Entra ID>Acceso condicional>Ubicaciones con nombre.

3. Seleccione Configurar direcciones IP de confianza de autenticación multifactor.

4. En la página Configuración del servicio, en IP de confianza, elija una de estas opciones:

   • Para solicitudes de usuarios federados cuyo origen esté en mi intranet: para elegir esta opción, active la casilla. Todos los usuarios federados que inicien sesión desde la red corporativa omitirán la autenticación multifactor mediante una notificación que haya emitido AD FS. Asegúrese de que AD FS tiene una regla para agregar la notificación de intranet al tráfico adecuado. Si la regla no existe, cree la siguiente regla en AD FS:

     c:[Type== "https://schemas.microsoft.com/ws/2012/01/insidecorporatenetwork"] => issue(claim = c);

     Nota

     La opción Omitir la autenticación multifactor para las solicitudes de usuarios federados en mi intranet afectará a la evaluación del acceso condicional para las ubicaciones. Cualquier solicitud con el insidecorporatenetwork notificación se trataría como procedente de una ubicación de confianza si se selecciona esa opción.

   • Para solicitudes de un intervalo específico de IP públicas: para elegir esta opción, escriba las direcciones IP en el cuadro de texto mediante la notación CIDR.

     • Para las direcciones IP que se encuentran en el intervalo xxx.xxx.xxx.1 mediante xxx.xxx.xxx.254, use una notación comoxxx.xxx.xxx.0/24.
     • Para una única dirección IP, use una notación como xxx.xxx.xxx.xxx/32.
     • Especifique un máximo de 50 intervalos de direcciones IP. Los usuarios que inician sesión desde estas direcciones IP omiten la autenticación multifactor.

5. Selecciona Guardar.

Habilite la característica de direcciones IP de confianza mediante la configuración del servicio.

Si no quiere usar directivas de acceso condicional para habilitar direcciones IP de confianza, puede definir la configuración del servicio de autenticación multifactor de Microsoft Entra mediante los pasos siguientes:

1. Inicie sesión en el Centro de administración de Microsoft Entra como Administrador de directivas de autenticación como mínimo.

2. Vaya a Entra ID>Autenticación multifactor>Configuraciones adicionales de autenticación multifactor basada en la nube.

3. En la página Configuración del servicio, en IP de confianza, seleccione una de las opciones siguientes (o ambas):

   • Para solicitudes de usuarios federados en mi intranet: para elegir esta opción, active la casilla. Todos los usuarios federados que inicien sesión desde la red corporativa omitirán la autenticación multifactor mediante una notificación que haya emitido AD FS. Asegúrese de que AD FS tiene una regla para agregar la notificación de intranet al tráfico adecuado. Si la regla no existe, cree la siguiente regla en AD FS:

     c:[Type== "https://schemas.microsoft.com/ws/2012/01/insidecorporatenetwork"] => issue(claim = c);

   • Para solicitudes de un intervalo específico de subredes de direcciones IP: para elegir esta opción, escriba las direcciones IP en el cuadro de texto mediante la notación CIDR.

     • Para las direcciones IP que se encuentran en el intervalo xxx.xxx.xxx.1 mediante xxx.xxx.xxx.254, use una notación comoxxx.xxx.xxx.0/24.
     • Para una única dirección IP, use una notación como xxx.xxx.xxx.xxx/32.
     • Especifique un máximo de 50 intervalos de direcciones IP. Los usuarios que inician sesión desde estas direcciones IP omiten la autenticación multifactor.

4. Selecciona Guardar.

Métodos de comprobación

Puede elegir los métodos de verificación que estén disponibles para los usuarios en el portal de configuración del servicio. Cuando los usuarios inscriben sus cuentas en la autenticación multifactor de Microsoft Entra, eligen su método de verificación preferido entre las opciones que ha habilitado. Las instrucciones para el proceso de inscripción de los usuarios se proporcionan en Configuración de mi cuenta para la autenticación multifactor.

Están disponibles los siguientes métodos de verificación:

Para más información, consulte ¿Qué métodos de autenticación y verificación hay disponibles en Microsoft Entra ID?

Habilitar y deshabilitar los métodos de verificación

Para habilitar o deshabilitar los métodos de verificación, complete los pasos siguientes:

1. Inicie sesión en el Centro de administración de Microsoft Entra como Administrador de directivas de autenticación como mínimo.
2. Vaya a Entra ID>Usuarios.
3. Seleccione MFA por usuario.
4. En la opción Autenticación multifactor que está en la parte superior de la página, seleccione Configuración del servicio.
5. En la página de Configuración del servicio, en Opciones de verificación, active o desactive las casillas adecuadas.
6. Selecciona Guardar.

Recordar autenticación multifactor

La característica Recordar la autenticación multifactor permite a los usuarios omitir las verificaciones posteriores durante un número especificado de días, una vez hayan iniciado sesión correctamente en un dispositivo mediante MFA. Para mejorar la facilidad de uso y minimizar el número de veces que un usuario tiene que realizar la autenticación multifactor en un dispositivo determinado, seleccione una duración de 90 días o menos.

Cómo funciona la característica

La característica Recordar autenticación multifactor establece una cookie persistente en el explorador cuando un usuario selecciona la opción No preguntar de nuevo durante X días en el momento del inicio de sesión. No se volverá a pedir al usuario que use MFA desde ese explorador hasta que la cookie expire. Si el usuario abre un explorador diferente en el mismo dispositivo o borra sus cookies, se le pedirá de nuevo la verificación.

La opción No preguntar de nuevo durante X días no está disponible en las aplicaciones sin explorador, independientemente de si la aplicación admite la autenticación moderna. Estas aplicaciones usan tokens de actualización que proporcionan nuevos tokens de acceso cada hora. Cuando se valida un token de actualización, Microsoft Entra ID comprueba que la última autenticación multifactor estaba dentro del número de días especificado.

La característica reduce el número de autenticaciones en las aplicaciones web, que normalmente se solicitan siempre. La característica puede aumentar el número de autenticaciones para los clientes de autenticación moderna, que normalmente se solicita cada 180 días, si se configura una duración inferior. También se puede aumentar el número de autenticaciones cuando se combina con las directivas de acceso condicional.

Habilitar Recordar autenticación multifactor

Para habilitar y configurar la opción para que los usuarios recuerden su estado de MFA y omitan las solicitudes, complete los pasos siguientes:

1. Inicie sesión en el Centro de administración de Microsoft Entra como Administrador de directivas de autenticación como mínimo.
2. Vaya a Entra ID>Usuarios.
3. Seleccione MFA por usuario.
4. En la opción Autenticación multifactor que está en la parte superior de la página, seleccione Configuración del servicio.
5. En la página Configuración del servicio, en Recordar la autenticación multifactor, seleccione la opción Permitir que los usuarios recuerden la autenticación multifactor en dispositivos de confianza.
6. Establezca el número de días para permitir que los dispositivos de confianza omitan las autenticaciones multifactor. Para que la experiencia del usuario sea óptima, amplíe la duración a 90 o más días.
7. Selecciona Guardar.

Marca de un dispositivo como de confianza

Después de habilitar la característica Recordar autenticación multifactor, al iniciar sesión los usuarios pueden marcar un dispositivo como de confianza si seleccionan No volver a preguntar.

Pasos siguientes

Para obtener más información, consulte ¿Qué métodos de autenticación y comprobación están disponibles en Microsoft Entra ID?