Autenticação preferencial do sistema

A autenticação preferencial do sistema incentiva os utilizadores a iniciar sessão utilizando o método mais seguro que registaram. É uma melhoria importante de segurança para utilizadores que se autenticam usando métodos menos seguros, como palavras-passe ou SMS.

Por exemplo, se um utilizador registou tanto uma palavra-passe como uma chave de acesso, a autenticação preferencial do sistema exige que o utilizador inicie sessão com a chave de acesso em vez da palavra-passe. O usuário ainda pode optar por entrar usando outro método, mas primeiro será solicitado a tentar o método mais seguro que registrou.

A autenticação preferencial do sistema é uma definição gerida pela Microsoft, que é uma política de três estados (ativada, desativada ou gerida pela Microsoft). Se não quiser ativar a autenticação preferencial do sistema, altere o estado de Microsoft gerido para Disabled, ou exclua utilizadores e grupos da política.

Depois de ativada a autenticação preferencial do sistema, o sistema de autenticação faz todo o trabalho. Os utilizadores não precisam de definir nenhum método de autenticação como o predefinido, porque o sistema determina e apresenta sempre o método mais seguro que registaram.

Como a autenticação preferencial pelo sistema se aplica ao início de sessão

A autenticação preferencial por sistema tem três modos:

• Desativado - Sem alterações na lógica de iniciar sessão.
• Ativado - A autenticação preferencial do sistema aplica-se apenas ao segundo fator. O comportamento de início de sessão existente continua a aplicar-se para a autenticação de primeiro fator.
• Gerido pela Microsoft - A autenticação preferida pelo sistema aplica-se tanto à autenticação de primeiro fator como à de segundo fator. O sistema avalia quais as credenciais registadas para o utilizador e seleciona o método mais bem classificado para cada etapa de autenticação.

Tanto os modos Enabled como o Microsoft Managed permitem aos administradores incluir ou excluir utilizadores ou grupos específicos.

Limitações conhecidas

• Quando altera a política de um grupo-alvo, a alteração pode não ter efeito no próximo início de sessão do utilizador. Aplica-se a todos os registos subsequentes depois disso.
• A política de Acesso Condicional é validada apenas para autenticação de segundo fator e não se aplica à autenticação de primeiro fator. A autenticação ocorre primeiro e, depois, o Acesso Condicional avalia a autorização. A autenticação preferencial por sistema não sobrepõe-se às políticas de Acesso Condicional nem aos requisitos de força de autenticação.

Windows Hello para Empresas e macOS Platform SSO na autenticação de primeiro fator

O Windows Hello para Empresas e o macOS Platform SSO são chaves de acesso ligadas ao dispositivo que funcionam apenas como primeiro fator. Como o estado gerido pela Microsoft aplica autenticação preferencial no primeiro fator do sistema, estas credenciais podem ser oferecidas antes da palavra-passe.

Para evitar pedir aos utilizadores uma credencial ligada ao dispositivo que não utilizam ou não conseguem preencher no seu dispositivo atual, a autenticação preferencial do sistema oferece o Windows Hello para Empresas ou macOS Platform SSO no primeiro fator apenas quando o utilizador iniciou sessão mais recentemente com uma chave de acesso. O comportamento depende das chaves de acesso que o utilizador registou:

• Se o utilizador tiver uma chave de acesso diferente do Windows Hello para Empresas ou do SSO da plataforma macOS, a autenticação preferencial do sistema solicita a chave de acesso no primeiro fator, tal como já solicita essa chave no início de sessão do segundo fator.
• Se a única chave de acesso registada do utilizador for o Windows Hello para Empresas ou o SSO da macOS Platform, e o utilizador tiver iniciado sessão mais recentemente com uma chave de acesso, a autenticação preferida do sistema solicita o início de sessão por chave de acesso no primeiro fator.
• Se a única chave de acesso que o utilizador tem registada for o Windows Hello para Empresas ou o SSO de plataforma do macOS, e o início de sessão mais recente do utilizador não tiver sido efetuado com uma chave de acesso, a autenticação preferida pelo sistema ignora-a no primeiro fator e solicita antes o método seguinte com a classificação mais elevada na ordem de credenciais do utilizador.

Os utilizadores podem sempre selecionar Iniciar Sessão de outra forma para escolher um método registado diferente.

Ative a autenticação preferencial do sistema no centro de administração do Microsoft Entra

Por defeito, a autenticação preferencial do sistema é gerida pela Microsoft para todos os utilizadores.

1. Entre no centro de administração do Microsoft Entra com pelo menos a função de Administrador de Política de Autenticação .
2. Aceder a Microsoft Entra ID>Métodos de autenticação>Definições.
3. Para a autenticação preferida pelo sistema, escolha Gerida pela Microsoft, Ativado ou Desativado e inclua ou exclua utilizadores. Os grupos excluídos têm precedência sobre os grupos incluídos.
4. Depois de terminares de fazer quaisquer alterações, seleciona Guardar.

Ative a autenticação preferencial do sistema utilizando APIs Graph

Para permitir a autenticação preferencial do sistema antecipadamente, escolha um único grupo-alvo para a configuração do esquema, como mostrado no exemplo de Pedido .

Propriedades de configuração do recurso do método de autenticação

Por padrão, a autenticação preferencial do sistema é gerida pela Microsoft.

Propriedades da característica alvo

A autenticação preferencial do sistema só pode ser ativada para um único grupo, que pode ser um grupo dinâmico ou aninhado.

Use o seguinte ponto de extremidade da API para habilitar systemCredentialPreferences e incluir ou excluir grupos:

https://graph.microsoft.com/v1.0/policies/authenticationMethodsPolicy

Solicitação

O exemplo a seguir exclui um grupo de destino de exemplo e inclui todos os usuários. Para obter mais informações, consulte Update authenticationMethodsPolicy.

PATCH https://graph.microsoft.com/v1.0/policies/authenticationMethodsPolicy
Content-Type: application/json

{
    "systemCredentialPreferences": {
        "state": "enabled",
        "excludeTargets": [
            {
                "id": "aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb",
                "targetType": "group"
            }
        ],
        "includeTargets": [
            {
                "id": "all_users",
                "targetType": "group"
            }
        ]
    }
}

FAQ

Como é que a autenticação preferencial pelo sistema determina o método mais seguro?

Quando um utilizador inicia sessão, o processo de autenticação verifica quais os métodos registados. O utilizador é convidado a iniciar sessão com o método mais seguro de acordo com a seguinte ordem. A ordem dos métodos é dinâmica e atualiza-se à medida que o panorama de segurança muda. Os utilizadores podem sempre cancelar e escolher um método de login disponível diferente. Se a sua organização tem políticas de Acesso Condicional que exigem métodos de autenticação específicos, essas políticas continuam a ter prioridade sobre a ordem de autenticação preferencial do sistema.

Quando está no estado gerido pela Microsoft, o sistema avalia as credenciais disponíveis e seleciona o método com a classificação mais elevada tanto para a autenticação do primeiro fator como para a do segundo fator.

¹Inclui chaves de segurança, chaves de acesso na aplicação Authenticator, chaves de acesso sincronizadas, Windows Hello para Empresas e SSO da plataforma macOS.

²Inclui hardware ou software TOTP do Microsoft Authenticator, Authenticator Lite ou aplicações de terceiros.

³Inclui SMS e chamadas de voz.

Como a autenticação preferida pelo sistema afeta a extensão do NPS?

A autenticação preferencial do sistema não afeta os utilizadores que iniciam sessão usando a extensão Network Policy Server (NPS). Esses usuários não veem nenhuma alteração em sua experiência de login.

Como funciona a autenticação preferencial por sistema para utilizadores federados?

Para utilizadores federados, o login de primeiro fator mantém-se inalterado. A autenticação preferencial do sistema não se aplica no primeiro fator, pelo que os utilizadores federados continuam a ser encaminhados para o seu fornecedor de identidade externo para iniciar sessão. A autenticação preferencial do sistema aplica-se apenas à autenticação de segundo fator para estes utilizadores.

Como é que a autenticação preferida pelo sistema afeta o início de sessão com o primeiro fator?

Quando definido para gerido pela Microsoft, o sistema aplica a classificação de credenciais tanto à autenticação de primeiro fator como à de segundo fator. Por exemplo, se um utilizador tiver registadas tanto uma palavra-passe como uma chave de acesso, é-lhe pedida a chave de acesso na autenticação de primeiro fator em vez da palavra-passe. O utilizador ainda pode selecionar outras opções de iniciação de sessão.

Quando definido como Habilitado, a classificação das credenciais aplica-se apenas à autenticação de segundo fatores. O comportamento de início de sessão do primeiro fator mantém-se inalterado.

Os utilizadores ainda podem escolher um método de início de sessão diferente?

Yes. A autenticação preferencial pelo sistema solicita aos utilizadores a credencial mais bem classificada, mas os utilizadores ainda podem escolher outros métodos permitidos durante o início de sessão.

Conteúdo relacionado

• Métodos de autenticação no Microsoft Entra ID
• Como executar uma campanha de registro para configurar o Microsoft Authenticator