Una sola policy per decidere con che cosa ci si autentica

Il punto in cui si decide quali metodi le persone possono registrare e usare è la Authentication methods policy. La si raggiunge nel Microsoft Entra admin center in Entra ID > Authentication methods > Policies, e serve almeno il ruolo Authentication Policy Administrator. Per ogni metodo si sceglie se abilitarlo per tutti gli utenti o per gruppi specifici, e quasi tutti i metodi hanno parametri propri: se abiliti Voice calls, per esempio, decidi anche se oltre al cellulare possa essere usato il telefono dell’ufficio.

I metodi abilitati qui valgono di norma sia per l’autenticazione sia per la reimpostazione della password. Le eccezioni sono strutturali: Passkey (FIDO2) e Windows Hello for Business servono solo per l’autenticazione, mentre le security questions servono solo per il reset. Se ti serve un controllo più fine su quali metodi soddisfano un determinato scenario, la leva è Authentication Strengths, che è una cosa diversa dall’abilitare o disabilitare un metodo.

Un dettaglio operativo che pesa: solo la converged registration experience conosce la Authentication methods policy. Gli utenti che rientrano nella policy ma non nell’esperienza di registrazione convergente non vedono i metodi corretti da registrare.

Migrazione dalle policy legacy: finché non è completa, il vecchio conta ancora

Accanto alla policy moderna sopravvivono due policy legacy: le impostazioni raggiungibili da Entra ID > Multifactor authentication > Getting started > Configure > Additional cloud-based multifactor authentication settings e quelle in Entra ID > Password reset > Authentication methods. Le impostazioni non sono sincronizzate fra le policy, e Microsoft Entra ID le rispetta tutte: un utente abilitato a un metodo in una qualsiasi di esse può registrarlo e usarlo. Per impedire davvero un metodo, va disabilitato ovunque.

Dalla Authentication methods policy si apre Manage migration, che espone tre stati. In Pre-migration la policy moderna vale solo per l’autenticazione e le impostazioni legacy sono rispettate. In Migration in Progress vale per autenticazione e SSPR, ma le legacy sono ancora rispettate. Solo in Migration Complete conta esclusivamente la policy moderna e le legacy vengono ignorate. È qui che nasce la domanda d’esame classica: un utente usa un metodo che credevi spento, e la causa non è la policy moderna ma lo stato di migrazione non completato. Da Migration in Progress non si può tornare a Pre-migration. Attenzione anche a due residui: le security questions oggi si abilitano solo nella legacy SSPR policy, e dopo la migrazione restano attivi il controllo Number of methods required to reset e la SSPR administrator policy.

Password Protection: impedire che la password sia prevedibile

Microsoft Entra Password Protection applica automaticamente a tutti gli utenti del tenant la global banned password list, costruita dalla telemetria Microsoft: non si abilita, non si configura e non si può disattivare, e il contenuto non viene pubblicato. Sopra si aggiunge la custom banned password list, gestita in Entra ID > Authentication methods > Password protection e limitata a un massimo di 1.000 termini.

La regola pratica è inserire i termini base dell’organizzazione (marchi, nomi di prodotto, sedi, abbreviazioni interne) e non le varianti, perché la valutazione le copre già da sola. La password nuova passa per una normalization (tutto in minuscolo, più sostituzioni comuni come 0 verso o, @ verso a), poi per un fuzzy matching con distanza di edit pari a uno e per un substring matching su nome, cognome e nome del tenant, applicato solo a termini lunghi almeno quattro caratteri. Infine viene calcolato un punteggio: ogni termine vietato trovato vale un punto e ogni carattere residuo vale un punto, e la password deve arrivare ad almeno cinque punti per essere accettata.

Sulla stessa pagina convivono due cose che è facile confondere con Password Protection. Lockout threshold e Lockout duration in seconds governano lo smart lockout, che è sempre attivo per tutti i tenant (personalizzarne i valori richiede licenze Microsoft Entra ID P1 o superiori) e difende dai tentativi ripetuti, non dalla scelta di una password debole. Poi c’è Enable password protection on Windows Server Active Directory con il Mode impostabile su Audit o Enforced: estende le stesse liste ai domain controller on-premises tramite gli agenti. In Audit le password deboli generano solo eventi nel log e vengono comunque accettate; in Enforced vengono rifiutate. Audit osserva, non protegge.

SSPR: restituire l’accesso, non impedire scelte deboli

Il self-service password reset risolve il problema opposto: chi ha dimenticato la password rientra da solo. Si configura in Entra ID > Password reset, dove nella pagina Password reset | Properties si sceglie se abilitarlo per Selected (specificando i gruppi) o per All. Nella scheda dei metodi si decide quali sono utilizzabili e, con Number of authentication methods required, se ne servano uno o due. Se un utente non ha registrato il minimo richiesto, vede un errore e deve rivolgersi all’amministratore: cambiare questo numero da uno a due blocca chi aveva registrato un solo metodo.

Sul fronte registrazione, l’opzione Require users to register when signing in interrompe il sign-in finché la registrazione non è completata, e solo se è attiva diventa disponibile Number of days before users are asked to re-confirm their authentication information, valorizzabile da 0 a 730 giorni, dove 0 significa mai. Chi non è obbligato può registrarsi comunque dalla pagina Security info. Ci sono poi le notifiche (Notify users on password resets e Notify all admins when other admins reset their passwords) e, in ibrido, Write back passwords to your on-premises directory più Allow users to unlock accounts without resetting their password, che separa lo sblocco dal reset.

Due punti che l’esame ama. Primo: gli account con ruoli amministrativi sono soggetti a una two-gate password reset policy predefinita, che richiede due dati di autenticazione, vieta le security questions e non è modificabile, e che non dipende dalla Authentication methods policy. Secondo: SSPR e Password Protection non sono alternative né livelli della stessa funzione. SSPR restituisce l’accesso, Password Protection impedisce che la password scelta sia indovinabile, e lo smart lockout rallenta chi prova a indovinarla. Nella prova AB-650, che è in beta con soglia di superamento a 700, aspettati scenari in cui devi scegliere quale dei tre risolve il problema descritto: leggi bene se il sintomo è “non riesco a rientrare”, “ha scelto una password banale” oppure “l’account si blocca”.