Richiedere l'autenticazione a più fattori per le registrazioni dei dispositivi di Intune

Puoi usare Intune insieme ai criteri di accesso condizionale Microsoft Entra per richiedere l'autenticazione a più fattori (MFA) durante la registrazione del dispositivo. Se è richiesta l'autenticazione MFA, i dipendenti e gli studenti che vogliono registrare i dispositivi devono prima eseguire l'autenticazione con un secondo dispositivo e due forme di credenziali. L'autenticazione a più fattori richiede l'autenticazione mediante due o più di questi metodi di verifica:

• Qualcosa che conosce, ad esempio una password o un PIN.
• Qualcosa che possiede e che non può essere duplicato, ad esempio un dispositivo o un telefono attendibile.
• Qualcosa che sono, come un'impronta digitale.

Se un dispositivo non è conforme, all'utente del dispositivo viene richiesto di renderlo conforme prima di iscriversi a Microsoft Intune.

Requisiti

Configurare Intune per richiedere l'autenticazione a più fattori al momento della registrazione del dispositivo

Completare questi passaggi per abilitare l'autenticazione a più fattori durante la registrazione di Microsoft Intune.

1. Accedere all'Interfaccia di amministrazione di Microsoft Intune.

2. Passare a Dispositivi.

3. Espandi Gestisci dispositivi, quindi seleziona Accesso condizionale. Quest'area di Accesso Condizionato corrisponde all'area di Accesso Condizionale disponibile nell'Interfaccia di amministrazione di Microsoft Entra. Per altre informazioni sulle impostazioni disponibili, vedere Creazione di un criterio di accesso condizionale.

4. Scegliere Create new policy.

5. Assegnare un nome ai criteri.

6. Selezionare la categoria Utenti .

   1. Nella scheda Includi scegliere Seleziona utenti o gruppi.
   2. Vengono visualizzate altre opzioni. Selezionare Utenti e gruppi. Si apre un elenco di utenti e gruppi.
   3. Individuare e selezionare gli utenti o i gruppi di Microsoft Entra che si desidera includere nel criterio. Quindi, scegliere Seleziona.
   4. Per escludere utenti o gruppi dal criterio, selezionare la scheda Escludi e aggiungere gli utenti o i gruppi come nel passaggio precedente.

7. Selezionare la categoria successiva, Risorse di destinazione. In questo passaggio si selezionano le risorse a cui si applica il criterio. In questo caso, si desidera applicare i criteri agli eventi in cui utenti o gruppi tentano di accedere all'app di registrazione di Microsoft Intune.

   1. In Selezionare a cosa si applica questo criterio scegliereRisorse (in precedenza app cloud).
   2. Selezionare la scheda Includi .
   3. Scegliere Seleziona risorse. Vengono visualizzate altre opzioni.
   4. In Seleziona (Select), scegliete Nessuno. Un elenco di risorse aperto.
   5. Cercare la registrazione di Microsoft Intune. Quindi scegliere Seleziona per aggiungere l'app.

   Per le registrazioni automatizzate dei dispositivi Apple tramite Impostazione guidata con autenticazione moderna, sono disponibili due opzioni tra cui scegliere. La tabella seguente descrive la differenza tra l'opzione Microsoft Intune e l'opzione di registrazione di Microsoft Intune.

   App cloud	Posizione del prompt MFA	Note sulla registrazione automatica dei dispositivi
   Microsoft Intune	Assistente configurazione, App Portale aziendale	Con questa opzione, l'autenticazione a più fattori è necessaria durante la registrazione e ogni volta che l'utente accede all'app o al sito Web del Portale aziendale. Le richieste di autenticazione a più fattori vengono visualizzate nella pagina di accesso al Portale aziendale.
   Registrazione di Microsoft Intune	Assistente installazione	Con questa opzione, l'autenticazione a più fattori è necessaria durante la registrazione del dispositivo e viene visualizzata come richiesta di autenticazione a più fattori una tantum nella pagina di accesso al Portale aziendale.

   Nota

   L'app cloud di registrazione di Microsoft Intune non viene creata automaticamente per i nuovi tenant. Per aggiungere l'app per i nuovi tenant, un amministratore di Microsoft Entra deve creare un oggetto entità servizio, con ID app d4ebce55-015a-49b5-a083-c84d1797ae8c, in PowerShell o Microsoft Graph.

8. Selezionare la categoria Concessione . In questo passaggio si concede o si blocca l'accesso all'app di registrazione di Microsoft Intune.

   1. Scegliere Concedi accesso.
   2. Selezionare Richiedi autenticazione a più fattori.
   3. Selezionare Richiedi che il dispositivo sia contrassegnato come conforme.
   4. In Per più controlli selezionare Richiedi tutti i controlli selezionati.
   5. Scegliere Seleziona.

9. Seleziona la categoria Sessione . In questo passaggio è possibile usare i controlli di sessione per abilitare esperienze limitate all'interno dell'app di registrazione di Microsoft Intune.

   1. Selezionare Frequenza di accesso. Vengono visualizzate altre opzioni.
   2. Scegliere Ogni volta.
   3. Scegliere Seleziona.

10. Per Abilita criterio, selezionare Attivato.

11. Selezionare Crea per salvare e creare i criteri.

Dopo aver applicato e distribuito questo criterio, gli utenti dei dispositivi che registrano i propri dispositivi visualizzano una richiesta una tantum dell'autenticazione a più fattori.